Splunk搜索案列介绍

1，index=mtparam sourcetype=MT_BASERV_HEALTH 

　　| rex field=_raw "baserv UID ===> (?\S+)"
　　| search hostname=HIWMESCBETA02
　　| rex field=_raw "baserv Category ===> (?\S+)"
　　| eval category=replace(category, "^/HIROSHIMA/.../MFG/", "")
　　| rex field=_raw "DSS Avg Utilization ===> (?\d+)"
　　| timechart avg(util) by category useother=false

解释：index：索引

　　　sourcetype：source的类型

　　　rex：提取命令

　　　执行使用Perl正则表达式命名的组的字段提取

　　　Sed：也可以通过 Sed 表达式替换或取代字段中的字符。
　　　regex ：将删除与指定正则表达式不匹配的结果

　　　(?) 分组起别名

　　　rex field=_raw "baserv UID ===> (?\S+)"   作用就是匹配正则，并把匹配的内容作为新的field，名为hostname。 \S：匹配任何非空白字符，+：匹配前一个字符出现1次或者无限次，即至少有1次

　　　eval 评估命令。

　　　该eval命令计算一个表达式并将结果值放入搜索结果字段
　　　如果您指定的字段名称与输出中的字段不匹配，则将新字段添加到搜索结果中。 如果您指定的字段名称与搜索结果中已经存在的字段名称匹配，则eval表达式的结果将覆盖该字段中的值。