Splunk 比较来自不同来源的两个 rex 查询答案

【问题标题】：Splunk compare two rex queries from different sourceSplunk 比较来自不同来源的两个 rex 查询
【发布时间】：2020-01-18 12:52:50
【问题描述】：

我有两个问题...

(1)提交日志查询：

index=xxx_prod host="foo.org" 5032 submit | rex "id=PO:(?<PO>\d*)" | dedup PO | table PO _time

(2)保存日志查询：

index=xxx_prod host="bar.org" | rex "savePO.*POId=(?<PO>\d*).*\"responseCode\":200" | dedup PO | table PO _time

我想比较来自不同服务的PO 和timestamp（来自_time 字段）结果，一个是提交事件，另一个是保存事件。我想将其显示为下表

   PO    | submit_date             | save_date               | elapse_time_min | isSave   
 1000001 | 2020-01-18 02:09:49.022 | 2020-01-18 02:51:51q289 | 41              | true
 1000002 | 2020-01-18 03:18:25.780 | 2020-01-18 03:59:08.695 | 49              | true
 1000003 | 2020-01-18 03:18:25.780 |                         |                 | false

【问题讨论】：

标签： splunk splunk-query rex

【解决方案1】：

您将需要查看 transaction 命令，该命令有助于基于字段加入事件，在您的情况下为 PO

(index=xxx_prod host="foo.org" 5032 submit) OR (index=xxx_prod host="bar.org") | rex "id=PO:(?<PO>\d*)" | rex "savePO.*POId=(?<PO>\d*).*\"responseCode\":200" | transaction keeporphans=true PO | eval save_date = _time + duration | convert ctime(save_date) | table _time save_date duration

您需要检查rex 命令提取是否正确，并且上面的transaction 命令使用keeporphans，它会保留没有匹配保存事件的提交事件。

【讨论】：

【解决方案2】：

在这种情况下，您可以在字段 PO 上使用左连接。

index=xxx_prod host="foo.org" 5032 submit | rex "id=PO:(?<PO>\d*)" | dedup PO | table PO _time
|rename _time as submit_date
|join type=left PO
[search index=xxx_prod host="bar.org" | rex "savePO.*POId=(?<PO>\d*).*\"responseCode\":200" | dedup PO | table PO _time
|rename _time as save_date]
|eval elapse_time_min=round((save_date-submit_date)/60),0)
|eval isSave=if(isnull(save_date),"false","true")
|eval save_date=strftime(save_date,"%Y-%m-%dT%H:%M:%S.%Q")
|eval submit_date=strftime(submit_date,"%Y-%m-%dT%H:%M:%S.%Q")

【讨论】：