Как получить номер «уникального» запроса с помощью Spunk

Question

В настоящее время мы ищем способ найти номер «уникального» запроса для данного типа события с помощью splunk. Как и число пользователей, которые набрали 404, но мне все равно, ударил ли пользователь дважды или 10 раз, я просто хочу количество пользователей, у которых была эта ошибка. Есть ли в любом случае сделать это с Splunk?

Answer 1

Конечно.

Предполагая, что ваш тип источника называется "access_combined", и у вас есть статус и пользовательское поле, определенное (либо Splunk автоматически, либо явно вами через Field Extraction), ваш поиск может выглядеть так:

sourcetype = "access_combined" status = "404" |дедуплировать пользователя |пользователь таблицы

ИЛИ вы можете попробовать и этот, который использует отдельную операцию подсчета:

sourcetype = "access_combined" status = "404" |stats dc (status) пользователя