Splunk - Sortierbefehl
Das sortBefehl sortiert alle Ergebnisse nach angegebenen Feldern. Die fehlenden Felder werden so behandelt, als hätten sie den kleinstmöglichen oder größtmöglichen Wert dieses Feldes, wenn die Reihenfolge absteigend oder aufsteigend ist. Wenn das erste Argument für den Sortierbefehl eine Zahl ist, werden höchstens so viele Ergebnisse in der angegebenen Reihenfolge zurückgegeben. Wenn keine Nummer angegeben ist, wird das Standardlimit von 10000 verwendet. Wenn die Nummer 0 angegeben ist, werden alle Ergebnisse zurückgegeben.
Sortieren nach Feldtypen
Wir können den durchsuchten Feldern einen bestimmten Datentyp zuweisen. Der vorhandene Datentyp im Splunk-Dataset kann sich von dem Datentyp unterscheiden, den wir in der Suchabfrage erzwingen. Im folgenden Beispiel sortieren wir das Statusfeld in aufsteigender Reihenfolge als numerisch. Außerdem wird das Feld mit dem Namen url als Zeichenfolge durchsucht und das negative Vorzeichen zeigt die absteigende Reihenfolge der Sortierung an.
Bis zu einem Limit sortieren
Wir können auch die Anzahl der Ergebnisse angeben, die anstelle des gesamten Suchergebnisses sortiert werden sollen. Das folgende Suchergebnis zeigt die Sortierung von nur 50 Ereignissen mitstatus als aufsteigend und url als absteigend.
Reverse verwenden
Wir können das Ergebnis einer gesamten Suchabfrage mithilfe der Umkehrklausel umschalten. Es ist nützlich, die vorhandene Abfrage zu verwenden, ohne das Sortierergebnis nach Bedarf zu ändern und umzukehren.