如何为以下场景构建 Splunk 搜索查询

Question

我能够在 splunk 仪表板中获取多个事件（api 的日志），如下所示

事件 1：

{ "corrId":"12345", "traceId":"srh-1", "apiName":"api1" }

事件 2：

{ "corrId":"69863", "traceId":"srh-2", "apiName":"api2" }

事件 3：

{ "corrId":"12345", "traceId":"srh-3", "apiName":"api3" }

我想通过提供 apiName 并基于检索到的 corrId 值构建 splunk 搜索查询，从一个事件（api 日志）动态检索 corrId（例如：-“corrId”：“12345”），这意味着它将拉所有包含相同corrId ("corrId":"12345") 的事件日志。

输出

在上述情况下，预期结果如下所示

事件 1：

{ "corrId":"12345", "traceId":"srh-1", "apiName":"api1" }

事件 3：

{ "corrId":"12345", "traceId":"srh-3", "apiName":"api3" }

我是 splunk 的新手，请在这里帮助我，如何通过提供 apiName 等其他字段来动态获取 "corrId":"12345" 并基于此构建 Splunk 搜索查询。

我已经尝试如下，但没有运气。

index = "test_srh source=policy.log [ search index = "test_srh source=policy.log | rex field=_raw "apiName":|s+"(?[^"]+)" | search name="api1" | table corrId]

此查询仅提供 event-1 日志，但我们需要包含相同 corrId ("corrId":"12345") 的所有其他事件。在这里感谢快速帮助。

Answer 1

鉴于您明确提取 apiName 字段，我假设 corrId 字段也不会自动提取。这意味着将corrId="12345" 放在基本查询中是行不通的。试试index=test_srh source=policy.log corrId="12345" 来验证。

如果需要提取 corrId 字段，请尝试此查询。

index=test_srh source=policy.log 
| rex "corrId\\":\\"(?<corrId>[^\\"]+)"
| where [ search index = "test_srh source=policy.log 
  | rex "apiName\":\"(?<name>[^\"]+)" 
  | search name="api1" 
  | rex "corrId\\":\\"(?<corrId>[^\\"]+)" 
  | fields corrId | format ]

注意：我还更正了正则表达式以正确提取 apiName 字段。