Splunk仅选择匹配的JSON数据

Question

我将JSON报告加载到Splunk中，这些报告具有许多数组。 当我搜索时：

source=test| search "behavior.system.processes.process{}.fileactivities.fileCreated.call{}.path"="C:\\Windows*"

我经常喜欢显示匹配的数据。 我使用表来做到这一点：

source=test| search "behavior.system.processes.process{}.fileactivities.fileCreated.call{}.path"="C:\\Windows*" | table "behavior.system.processes.process{}.fileactivities.fileCreated.call{}.path"

但是，问题在于，这向我显示了匹配事件的所有fileCreated事件，而不仅仅是从C：\\ Windows开始的事件。

我该如何过滤？

Answer 1

@乔 - 杰夫

我在answer.splunk.com上发布了答案。 请检查以下链接。

https://answers.splunk.com/answers/745093/only-select-matching-json-data.html