Splunk-계산 된 필드

여러 번 Splunk 이벤트에서 이미 사용 가능한 필드에 대해 몇 가지 계산을해야합니다. 또한 이러한 계산 결과를 나중에 다양한 검색에서 참조 할 새 필드로 저장하려고합니다. 이것은 Splunk 검색에서 계산 된 필드의 개념을 사용하여 가능합니다.

가장 간단한 예는 완전한 요일 이름 대신 요일의 처음 세 문자를 표시하는 것입니다. 이러한 필드 조작을 수행하고 새 필드 이름으로 새 결과를 저장하려면 특정 Splunk 함수를 적용해야합니다.

예

Web_application 로그 파일에는 bytes 및 date_wday라는 두 개의 필드가 있습니다. 바이트 필드의 값은 바이트 수입니다. 이 값을 GB로 표시하려고합니다. GB 값을 얻으려면 필드를 1024로 나누어야합니다. 이 계산을 bytes 필드에 적용해야합니다.

마찬가지로 date_wday는 요일의 전체 이름을 표시합니다. 그러나 처음 세 문자 만 표시하면됩니다.

이 두 필드의 기존 값은 아래 이미지에 나와 있습니다.

eval 함수 사용

계산 된 필드를 만들기 위해 eval 함수를 사용합니다. 이 함수는 계산 결과를 새 필드에 저장합니다. 아래 두 가지 계산을 적용 할 것입니다.

# divide the bytes with 1024 and store it as a field named byte_in_GB
Eval byte_in_GB = (bytes/1024)

# Extract the first 3 characters of the name of the day.
Eval short_day = substr(date_wday,1,3)