Splunk-サブサーチ

サブ検索は、セカンダリクエリまたは内部クエリの結果がプライマリクエリまたは外部クエリへの入力である場合の通常の検索の特殊なケースです。これは、SQL言語の場合のサブクエリの概念に似ています。Splunkでは、プライマリクエリは外部クエリまたはセカンダリクエリに入力できる1つの結果を返す必要があります。

検索にサブ検索が含まれている場合、サブ検索が最初に実行されます。サブ検索は、プライマリ検索で角括弧で囲む必要があります。

例

最大バイトサイズのWebログからファイルを検索する場合を考えます。しかし、それは毎日変わるかもしれません。次に、ファイルサイズが最大サイズと等しく、日曜日であるイベントのみを検索します。

サブサーチを作成する

最初にサブ検索を作成して、最大ファイルサイズを見つけます。関数を使用しますStat max引数としてbytesという名前のフィールドを使用します。これは、検索クエリが実行される時間枠でのファイルの最大サイズを識別します。

下の画像は、このサブ検索の検索と結果を示しています-

サブサーチの追加

次に、サブ検索を角かっこで囲んで、プライマリクエリまたは外部クエリにサブ検索クエリを追加します。また、検索句がサブ検索クエリに追加されます。

ご覧のとおり、結果には、ファイルサイズがすべてのイベントを考慮して検出された最大ファイルサイズと等しいイベントのみが含まれ、イベント日は日曜日です。