Splunk - Lệnh sắp xếp
Các sortlệnh sắp xếp tất cả các kết quả theo các trường được chỉ định. Các trường bị thiếu được coi là có giá trị nhỏ nhất hoặc lớn nhất có thể có của trường đó nếu thứ tự giảm dần hoặc tăng dần, tương ứng. Nếu đối số đầu tiên của lệnh sắp xếp là một số, thì tối đa là nhiều kết quả được trả về theo thứ tự. Nếu không có số nào được chỉ định, giới hạn mặc định là 10000 được sử dụng. Nếu số 0 được chỉ định, tất cả các kết quả được trả về.
Sắp xếp theo loại trường
Chúng ta có thể gán kiểu dữ liệu cụ thể cho các trường đang được tìm kiếm. Kiểu dữ liệu hiện có trong tập dữ liệu Splunk có thể khác với kiểu dữ liệu mà chúng tôi thực thi trong truy vấn tìm kiếm. Trong ví dụ dưới đây, chúng tôi sắp xếp trường trạng thái dưới dạng số theo thứ tự tăng dần. Ngoài ra, trường có tên url được tìm kiếm dưới dạng một chuỗi và dấu âm cho biết thứ tự sắp xếp giảm dần.
Sắp xếp theo giới hạn
Chúng tôi cũng có thể chỉ định số lượng kết quả sẽ được sắp xếp thay vì toàn bộ kết quả tìm kiếm. Kết quả tìm kiếm dưới đây hiển thị việc sắp xếp chỉ 50 sự kiện vớistatus tăng dần và url giảm dần.
Sử dụng Đảo ngược
Chúng ta có thể chuyển đổi kết quả của toàn bộ truy vấn tìm kiếm bằng cách sử dụng mệnh đề đảo ngược. Sẽ rất hữu ích khi sử dụng truy vấn hiện có mà không thay đổi và đảo ngược kết quả sắp xếp khi cần thiết.