Splunk的 - 由GUID

Question

Splunk: 

{ [-] 
    guid: ABC 
    level: warn 
    message: Analytics Audit: analyticsLoaded 
    source:  client 
    timestamp: 2017-08-07T16:38:38+00:00 } 


{ [-] 
    guid: BAC 
    level: warn 
    message: Analytics Audit: doneWithAnalytics 
    source:  client 
    timestamp: 2017-08-07T16:38:38+00:00 } 

這些消息顯示爲每個GUID兩個不同的消息之間的持續時間。我想獲得第一mesage之間的持續時間「分析審計：analyticsLoaded」顯示出來，並在第二消息「分析審計：doneWithAnalytics」的GUID。在兩條消息之後，兩條消息的平均持續時間顯示爲guid。

基本上做，得到每GUID的持續時間。獲得平均持續時間。

我該怎麼做splunk？

Answer 1

試試這個

index=blah | transaction guid startswith="analyticsLoaded" endswith="doneWithAnalytics" | timechart avg(duration)