Splunk - 搜索语言

Splunk 搜索处理语言 (SPL) 是一种包含许多命令、函数、参数等的语言，用于从数据集中获取所需结果。例如，当您获取搜索词的结果集时，您可能希望进一步从结果集中筛选一些更具体的词语。为此，您需要将一些额外的命令添加到现有命令中。通过学习 SPL 的用法可以实现这一点。

SPL 的组成部分

SPL 包含以下组件。

• 搜索词 - 这些是您要查找的关键词或短语。

• 命令 - 您希望对结果集执行的操作，例如格式化结果或计数。

• 函数 - 您将对结果应用哪些计算。例如求和、平均值等。

• 子句 - 如何对结果集中的字段进行分组或重命名。

让我们在下面部分借助图像来讨论所有组件 -

搜索词

这些是您在搜索栏中提到的词语，用于从满足搜索条件的数据集中获取特定记录。在下面的示例中，我们正在搜索包含两个突出显示的词语的记录。

命令

您可以使用 SPL 提供的许多内置命令来简化分析结果集中数据的过程。在下面的示例中，我们使用 head 命令从搜索操作中筛选出前 3 个结果。

函数

除了命令之外，Splunk 还提供了许多内置函数，这些函数可以接收正在分析的字段作为输入，并在对该字段应用计算后给出输出。在下面的示例中，我们使用Stats avg()函数，该函数计算作为输入的数字字段的平均值。

子句

当我们希望按某个特定字段对结果进行分组，或者希望重命名输出中的某个字段时，我们分别使用group by子句和as子句。在下面的示例中，我们获取了web_application日志中每个文件存在的平均字节大小。如您所见，结果显示了每个文件的名称以及每个文件的平均字节数。