Как можно минимизировать функцию поиска Splunk, если все имена хостов начинаются с одинаковых букв?

Question

У меня есть несколько хостов (серверов), и я хочу найти их все, кроме 4 разных.

Вот что я сейчас работаю, чтобы исключить 4 сервера:

(host!="ajl2dal8" OR host!="ajl2dal9" OR host!="ajl2atl8" OR host!="ajl2atl9")

Несмотря на то, что это работает нормально, оно довольно значительное и будет увеличиваться только в том случае, если мне нужно будет исключить больше. Поскольку все они начинаются с ajl2 и имеют либо atl, либо dal и число, могу ли я заставить что-то подобное работать:

(host!="ajl2[atl|dal][1|2|3|4]")

Answer 1

Команда поиска (которая подразумевается перед первым каналом) не поддерживает регулярные выражения. Однако вы можете использовать подстановочные знаки, как в (host!="ajl2*"). Вы можете использовать регулярные выражения после первого канала с командами where или regex.

... | where NOT match(host, "ajl2[atl|dal][1|2|3|4]") | ...

... | regex host!="ajl2[atl|dal][1|2|3|4]" | ...