【splunk】一些查询例子

最重要资料：

入门基础：http://docs.splunk.com/Documentation/Splunk/6.5.2/SearchTutorial/WelcometotheSearchTutorial

查询语句写法：http://docs.splunk.com/Documentation/Splunk/6.5.2/SearchReference/WhatsInThisManual

其他：在上面的链接右上角直接输入关键字查询即可

 

1.查找昨日数据中sum(total_count)最多的10个id,并显示这10个id的sum(total_count)随时间的变化

source="/home/splunk/test_data/test.csv"  [search source="/home/splunk/test_data/test.csv" earliest=-d |stats sum(total_count) by id|sort 10 -sum(total_count)|table id]|timechart sum(total_count) bins=1000 by id

 

2.查询昨日数据按id的统计信息，注意null处理

source="/home/splunk/test_data/test.csv" earliest=-d|fillnull value=null |stats sum(total_count) by id

 

3.数据删除, 注意必须要通过有can_delete属性的角色来删除

source="/home/splunk/test_data/test.csv"|delete

 

4.自动读取新数据。设置-数据输入-文件和目录  监控指定文件or目录， 用例行任务更新对应目录或者文件即可。  其实还可以直接调用脚本，但我试验失败了。 

 

5.查找data是空值的记录

sourcetype="csv" | fillnull value=NULL|search data=NULL