使用另一個splunk查詢的結果過濾splunk結果

Question

我想在splunk中使用查詢，提取一個字段列表，然後使用這些結果字段來進一步過濾我的後續splunk查詢。我該怎麼做呢？

Answer 1

一種方法是將數據從第一次搜索傳送到下一次，然後您可以進一步過濾結果。希望下面的簡化搜索字符串會給你如何做到這一點的想法...

index=_internal | head 100 | fields host, sourcetype, source | search sourcetype="splunkd_access" 

欲瞭解更多信息，我建議通過Splunk Search Reference

Answer 2

FORMAT命令讀書可以爲這個特別有用。這是一個過於簡單化的例子，但應該給你一個如何使用它的想法：

首先，制定你的子搜索，將給你你關心的領域。以下是一個正常運行的示例：

|metadata type=hosts index=_internal | table host | format 

嘗試運行此搜索以查看其輸出是什麼樣的。

然後，我們只是將其添加爲您的實際搜索的subsearch：

index=foo sourcetype=bar [|metadata type=hosts index=_internal | table host | format] 

，這將使你從指數FOO，sourceType的酒吧，並從subsearch每個主機的事件。

這實際上是一個非常強大的命令，因爲您可以使用它來動態設置時間範圍以及複雜的布爾過濾器。

More FORMAT documentation can be found here

More complex example of what can be done with FORMAT