Splunk - Ricerca secondaria

La ricerca secondaria è un caso speciale della ricerca regolare quando il risultato di una query secondaria o interna è l'input della query primaria o esterna. È simile al concetto di sottoquery nel caso del linguaggio SQL. In Splunk, la query primaria dovrebbe restituire un risultato che può essere inserito nella query esterna o secondaria.

Quando una ricerca contiene una ricerca secondaria, la ricerca secondaria viene eseguita per prima. Le ricerche secondarie devono essere racchiuse tra parentesi quadre nella ricerca primaria.

Esempio

Consideriamo il caso di trovare un file dal registro web che abbia la dimensione massima in byte. Ma questo può variare ogni giorno. Quindi vogliamo trovare solo quegli eventi in cui la dimensione del file è uguale alla dimensione massima ed è una domenica.

Crea la ricerca secondaria

Per prima cosa creiamo la ricerca secondaria per trovare la dimensione massima del file. Usiamo la funzioneStat maxcon il campo denominato byte come argomento. Identifica la dimensione massima del file per l'intervallo di tempo per il quale viene eseguita la query di ricerca.

L'immagine sotto mostra la ricerca e il risultato di questa ricerca secondaria -

Aggiunta della ricerca secondaria

Successivamente, aggiungiamo la query di ricerca secondaria alla query primaria o esterna inserendo la ricerca secondaria tra parentesi quadre. Anche la clausola di ricerca viene aggiunta alla query di ricerca secondaria.

Come si vede, il risultato contiene solo gli eventi in cui la dimensione del file è uguale alla dimensione massima del file trovata considerando tutti gli eventi, e il giorno dell'evento è una domenica.