如何為未使用的事件類型創建Splunk查詢？

Question

我發現我可以創建一個Splunk查詢來顯示某個事件類型的結果出現在結果中的次數。

severity=error | stats count by eventtype

這將創建一個表，如下所示：

eventtype    | count
------------------------
myEventType1 | 5
myEventType2 | 12
myEventType3 | 30

到現在為止還挺好。 但是，我想找到零結果的事件類型 。 不幸的是，那些計數為0的變量不會出現在上面的查詢中，因此我不能僅對此進行過濾。

如何為未使用的事件類型創建Splunk查詢？

Answer 1

有許多不同的方法，具體取決於您所說的“事件類型”。 在某個地方，您必須獲取感興趣的列表，然后將其滾動到查詢中。

這是一個版本，假設您的csv包含要查看的事件類型列表...

severity=error 
| stats count as mycount by eventtype
| inputcsv append=t mylist.csv
| eval mycount=coalesce(mycount,0)
| stats sum(mycount) as mycount by eventtype

這是另一個版本，假設您想要一個過去90天內發生的所有事件類型的列表，以及昨天發生的事件數量：

earliest=-90d@d latest=@d severity=error
| addinfo
| stats count as totalcount count(eval(_time>=info_max_time-86400)) as yesterdaycount by eventtype