Splunk - Subsearching

Subsearch là một trường hợp đặc biệt của tìm kiếm thông thường khi kết quả của truy vấn phụ hoặc truy vấn bên trong là đầu vào cho truy vấn chính hoặc ngoài. Nó tương tự như khái niệm truy vấn con trong trường hợp của ngôn ngữ SQL. Trong Splunk, truy vấn chính sẽ trả về một kết quả có thể được nhập vào truy vấn ngoài hoặc truy vấn phụ.

Khi một tìm kiếm chứa một tìm kiếm con, tìm kiếm con đó sẽ được chạy trước tiên. Tìm kiếm chính phải được đặt trong dấu ngoặc vuông trong tìm kiếm chính.

Thí dụ

Chúng tôi xem xét trường hợp tìm tệp từ nhật ký web có kích thước byte tối đa. Nhưng điều đó có thể thay đổi mỗi ngày. Sau đó, chúng tôi chỉ muốn tìm những sự kiện có kích thước tệp bằng kích thước tối đa và là ngày Chủ nhật.

Tạo Tìm kiếm con

Trước tiên, chúng tôi tạo tìm kiếm con để tìm kích thước tệp tối đa. Chúng tôi sử dụng chức năngStat maxvới trường có tên byte làm đối số. Điều này xác định kích thước tối đa của tệp cho khung thời gian mà truy vấn tìm kiếm được chạy.

Hình ảnh dưới đây cho thấy tìm kiếm và kết quả của tìm kiếm phụ này -

Thêm tìm kiếm phụ

Tiếp theo, chúng ta thêm truy vấn tìm kiếm phụ vào truy vấn chính hoặc truy vấn ngoài bằng cách đặt tìm kiếm phụ bên trong dấu ngoặc vuông. Ngoài ra, mệnh đề tìm kiếm được thêm vào truy vấn tìm kiếm phụ.

Như chúng ta thấy, kết quả chỉ chứa các sự kiện trong đó kích thước tệp bằng kích thước tệp tối đa được tìm thấy bằng cách xem xét tất cả các sự kiện và ngày diễn ra sự kiện là Chủ nhật.