Splunk Splunk 7.x Fundamentals Part 1 - Module 9

Để tạo một biểu đồ (cột, đường, hình tròn,..), kết quả tìm kiếm dữ liệu sự kiện thành bảng dữ liệu thống kê. Transforming Command là những lệnh chuyển đổi đưa các kết quả tìm kiếm vào một bảng dữ liệu, các lệnh này “biến đổi” các giá trị ô được chỉ định cho mỗi sự kiện thành các giá trị số, có thể được sử dụng với mục đích thống kê.
Top Command
• Top Command tìm các giá trị phổ biến nhất của một trường nhất định trong tập kết quả
• Theo mặc định, đầu ra hiển thị ở định dạng bảng
• Theo mặc định, trả về 10 kết quả hàng đầu
• Tự động trả về số lượng và cột phần trăm


• Top Command với limit = 20 được tự động thêm vào chuỗi tìm kiếm của bạn khi bạn nhấp vào Top values trong cửa sổ trường


Top Command trên một trường duy nhất
• limit=x trả về x kết quả
• limit=0 trả về kết quả không có giới hạn là bao nhiêu
Top Command trên nhiều trường


Top Command trên một trường với mệnh đề by
Chúng ta cũng có thể thêm một trường khác để hiển thị kết quả của trường 1 cho mỗi tập ở trường 2


Top Command- đổi tên hiển thị countfield
• Mặc định, tên hiển thị của countfied là count



• countfiled=string dùng với mục đích đổi tên hiển thị của một trường




Rare Command
• Lệnh rare trả về các giá trị trường ít phổ biến nhất của một trường nhất định trong kết quả.

Stats Command
• Cho phép tính toán thống kê dữ liệu phù hợp với tiêu chí tìm kiếm
• Các hàm đi cùng bao gồm:

stats count command
• Count trả về số lượng sự kiện phù hợp dựa trên tiêu chí tìm kiếm hiện tại


• Sử dụng mệnh đề as để đổi tên cho trường count



stats count(field) command
Thêm vào một trường làm đối số cho hàm count sẽ trả về số lượng sự kiện trong đó giá trị hiện diện cho trường được chỉ định



stats count by fields command
• by fields trả về số lượng cho mỗi giá trị của một trường theo tên trường



• có thể sử dụng nhiều trường sau lệnh by fields


stats distinct_count(filed)
• hàm distinct_count() hoặc dc() cung cấp số lượng có bao nhiêu giá trị duy nhất cho một trường nhất định trong tập kết quả

stats sum(field) command
• các trường có giá trị là số, sử dụng hàm sum để tính tổng các giá trị của trường đó



stats avg(field) command
• hàm avg cung cấp giá trị trung bình cho các trường số đã cho



Một sự kiện không thể xét trong phép tính khi nó:
- không có trường
- có một trường có giá trị không hợp lệ

stats list(field) command: hàm list liệt kê tất cả giá trị cho một trường nhất định



stats values(field) command: hàm values liệt kê giá trị duy nhất trong một trường nhất định