Splunk - Ordina comando

Il sortIl comando ordina tutti i risultati in base ai campi specificati. I campi mancanti vengono considerati come aventi il ​​valore più piccolo o più grande possibile di quel campo se l'ordine è rispettivamente decrescente o crescente. Se il primo argomento del comando di ordinamento è un numero, vengono restituiti al massimo tanti risultati, in ordine. Se non viene specificato alcun numero, viene utilizzato il limite predefinito di 10000. Se viene specificato il numero 0, vengono restituiti tutti i risultati.

Ordinamento per tipi di campo

Possiamo assegnare un tipo di dati specifico per i campi da cercare. Il tipo di dati esistente nel set di dati Splunk potrebbe essere diverso dal tipo di dati che applichiamo nella query di ricerca. Nell'esempio seguente, ordiniamo il campo dello stato come numerico in ordine crescente. Inoltre, il campo denominato url viene cercato come una stringa e il segno negativo indica l'ordine decrescente di ordinamento.

Ordinamento fino a un limite

Possiamo anche specificare il numero di risultati che verranno ordinati al posto dell'intero risultato della ricerca. Il risultato della ricerca sotto mostra l'ordinamento di soli 50 eventi constatus come ascendente e url come discendente.

Utilizzando Reverse

Possiamo alternare il risultato di un'intera query di ricerca utilizzando la clausola inversa. È utile utilizzare la query esistente senza alterare e invertire il risultato dell'ordinamento come e quando necessario.