在Splunk中,如何找到基于管道分隔符的单词数,并向其添加值,然后将其分配给新的字段



Hi在下面显示这样的事件

今天的问候信息=你好|myname|name|is|Alice|myname|is|bob"}

我如何计算message="}之间的字数。我有一个|分隔符,它应该可以帮助我获得介于两者之间的字数。但对于每一次计数,我都想添加一个特定的数字

例如,对于上面的日志,我将基于|分隔符获得介于两者之间的8个单词作为计数。但对于每一次计数,我都想添加一些新的数字,比如8+2,并将要更新的值添加到一个新的splink字段中。

这将有助于计算是否有任何事件超过该值的阈值,然后我可以触发警报。

请有人帮我拿这个。

您可以尝试以下操作,将字符串拆分为每个单词的多值字段,然后计算该字段中的值数。然后,您可以根据需要在末尾添加任意数字。

| eval msg_mv=split(msg,"|")
| eval words = mvcount(msg_mv)-1
| eval final_count = words+2

相关内容

  • 没有找到相关文章

最新更新