Splunk的錯誤日誌儀表盤

Question

我已經創造Splunk的儀表板，它會顯示在日誌文件中的錯誤報告：

[2011-09-12 14:13:00:605 GMT][com.abc.rest.Security][http-8080-Processor15] ERROR Unable to decrypt token [abc.com=3502639832.36895.0000; path=/] due to error: Input length must be multiple of 16 when decrypting with padded cipher 
[2011-09-12 14:13:00:608 GMT][com.abc.filters.AuthenticationFilter][http-8080-Processor15] DEBUG ValidAuthToken: false 
[2011-09-13 16:43:40:134 GMT][com.abc.PerfManager][http-8080-Processor13] ERROR Operation Failed: GET_ACCOUNT_ORDER [Status Code: 0150 Message: ACCESS_DENIED] 
[2011-09-13 16:43:40:137 GMT][com.abc.rest.ResolvePackage][http-8080-Processor13] WARN MCE error occurred [StatusCode: 0150]. 

上述錯誤在不同的時間&正在發生我想指望那些所有&秀所有這些錯誤的餅圖與他們的數量。基本上，這些錯誤可能是以ERROR開頭的任何錯誤。

我也應該在日誌中獲得Top10警告並記錄它們的數量。

我找不到在Splunk中實現它的好方法。任何人都可以幫助我解決如何實施它splunk？

謝謝！

Answer 1

... | rex "ERROR (?<error_type>[^\[]+)" | stats count by error_type

這樣的事情應該工作。如果它不起作用，請檢查我們的http://splunk-base.splunk.com/answers/。