Как мы можем написать Splunk Query, чтобы найти subField2, присутствует или нет, и, если он есть, получить количество всех subFiled2

Question

{index: "myIndex", field1: "myfield1", field2: {"subField1": "mySubField1", "subField2": 145, "subField3": 500}, ... ... }

SPL: index: "myIndex" eval result = if (field.subField2) ..... оператор точки работает в SPL?

Answer 1

Предполагая, что ваши данные в формате JSON, это должно сделать это:

index=myIndex sourcetype=srctp field2{}.subField2=*

Если это многозначные поля, вам нужно будет сделать mvexpand сначала

Answer 2

Я предполагаю, что ваши данные в формате JSON. Если это так, вы можете использовать spath для извлечения полей из ваших структурированных данных. Затем просто проверьте, присутствует ли поле с помощью isnotnull

index="myIndex" | spath | where isnotnull(field2.subField2)