Splunk_命令教学

命令
群组搜索结果具有相同的host和cookie ，发生在30秒内对方，并没有暂停大于5秒到每 transaction fields="host,cookie" maxspan=30s 个活动之间的纪录。 maxpause=5s 群组搜索结果有着同样的价值， from ，最大跨度为30秒，以及之间的停顿事件不大于 transaction fields=from maxspan=30s maxpause=5s 5秒内进行纪录。 群组搜索结果分为4个组的基础上的价值date_hour和date_minute。 群组活动一起，整理他们的cluster_count值，然后返回20个最大的群组（数据大小） 。 kmeans k=4 date_hour date_minute cluster t=0.9 showcount=true | sort - cluster_count | head 20
减少增加栏位,筛选结果
命令
fields host, ip
只保留了host和ip领域，并删除所有内部领域（例如， _time ， _raw等） ，可能会造 fields + host, ip 成问题的Splunk网络。 移除host和ip领域。 fields - host, ip
说明
只保留搜索结果的匹配src或dst价值观。 只保留搜索结果，其_raw字段包含IP地址的非路由A级（ 10.0.0.0 / 8 ） 。 删除重复的结果同一个主机价值。
/base/Documentation/latest/User/SearchPipelineSyntax
SYSTEX Group, SPLUNK Corp 2009
加总搜寻 Summary Index/Search
舉個簡單的Summary Index (SI) 例子. 客戶公司平均一天的瀏覽量是5萬個requests. 客戶要求計算一個月瀏覽公司的來源IP次數, 如果是普通不用SI的搜尋方式是: sourcetype=”apache” startdaysago=30 | stats count(src_ip) 搜尋時間較長, 且有maxresult的限制. 這時可以用SI將每個小時(或每天)的瀏覽公司個各web server的來源IP數先做一個統計存入summary index. 等到需要做月統計時, 只需加總summary index內已做好的每個小時的結果. 搜尋時間短. Summary Index 的搜尋名稱如下: Summary - hourly source ip count 語法如下: Sourcetype=”apache” starthoursago=2 endhoursago=1 | stats count(src_ip) as src_ip_count 出月報表時的搜尋語法如下: Index=summary info_search_name=”hourly source ip count by web server” | stats sum(src_ip_count) (下這個搜尋語法時需搭 配時間範圍, 例如 04/01/2008:00:00:00 到 04/30/2008:23:59:59) 這時月報表的搜尋語法搜尋時所要過濾的不是平均一天5萬個, 30天 150萬的事件量, 而是一天24個, 30天720個的事件量. Reference Alex Email
/base/Documentation/latest/User/SearchCheatsheet
SYSTEX Group, SPLUNK Corp 2009
自定义栏位搜寻 Search Cheatsheet
说明
自动转换栏位,改变为数字型态 金额栏位转型为 virt, K 日,时分秒转型 format (D+HH:MM:SS) to seconds. For example, if delay="00:10:15", the resulting value will bedelay="615". 数值文字型态资料,转换为数值型态,以利计算 if duration="212 sec", the resulting value will be duration="212". 重新定义栏位名称 Rename the _ip field as IPAddress. 更改结果名称: localhost to host
增加栏位/Add Field
命令
extract pairdelim="|;", kvdelim="=:", auto=f
提取物栏位/值对 (field/value )从XML格式数据。 xmlkv自动提取物的 xmlkv 价值之间的XML标记。 提取COMMAND现场时，发生在行包含“ splunkd ” 。 提取物“ ，由”和“到”字段使用正则表达式。 如果原材料事件包 含“者：苏珊为：鲍勃” ，然后由=苏珊并=鲍勃。 增加栏位: comboIP. Values of comboIP = "sourceIP + "/" + destIP". 增加栏位: velocity. Values of velocity = distance field value / time field value 增加位置信息（基于IP地址）的头20事件含有“ 404 ” ，并从从 webserver1 。 multikv fields COMMAND filter splunkd rex field=_raw "From: (?<from>.*) To: (?<to>.*)" strcat sourceIP "/" destIP comboIP eval velocity=distance/time head 20 | iplocation
命令
search src="10.9.165.*" OR dst="10.9.165.8" regex _raw=(?<!\d)10.\d{1,3}\.\d{1,3}\.\d{1,3}(?!\d) dedup host
/base/Documentation/latest/User/SearchCheatsheet
Splunk Search 命令教学-天龙八步
版本:v 1.00 精诚中国资讯中心
搜尋命令教學 Search Tech
1.基本命令語法 Search Syntax 2.複式搜尋方式 Search Pipeline Syntax 3.子搜尋方式 Sub Search 4. 加总搜寻 Summary Index/Search 5. 自定义栏位搜寻 Search Cheatsheet 6. 自定义日志格式及类型 Source type setting
SYSTEX Group, SPLUNK Corp 2009
基本命令語法 Search Syntax
用途说明 范例 范例解释
单一字眼搜寻 多字眼查询
模糊查询 * 符号说明 布林代数(Boolean ) OR , AND, NOT 比较语法
“error” “apache error 449 “
Source=*.log :! % $ / \ [ ] { } < > @ = + & NOT ( A OR B) 等於 =, 不等於 !=, 大於 >, 小於 <
search_command ::= search search_argument search_argument ::= keyword | field="value" | modifier="value" | subsearch subsearch ::= search_command "[" [ search ] "]" Example: sourcetype="access_combined" [search sourcetype="access_combined" | stats count by client_ip | search count<10 | fields +client_ip]
SYSTEX Group, SPLU寻 Search Cheatsheet
说明
提取物栏位/值对 (field/value )和重载领域提取设置磁盘。 提取物栏位/值的配(field/value )对，是划定的“ | ” ，和价值观的领 域，划定"=:". extract reload=true
一般搜寻条件 = data_generation_command /base/Documentation/latest/User/SearchPipelineSyntax
SYSTEX Group, SPLUNK Corp 2009
子搜寻方式 Sub Search
代表查询所有 包含 error 字眼,大小写 不影响查询结果 代表 “apache” and “error” and “449”
要查询某 Source= xx.log, 所有Log, 可 以使用 *.log (可能他原本区隔by日) 左边符号可以使用,但是搜寻会自动转 为ASCII符号编码 注意,大写
/base/Documentation/latest/User/SearchCheatsheet
SYSTEX Group, SPLUNK Corp 2009
自定义栏位搜寻 Search Cheatsheet
说明
只保留了host和ip领域，并显示它们依次为： host ， ip 。
整理结果 Order Result
命令
/base/Documentation/latest/User/SearchCheatsheet