Splunk - 计算字段

很多时候，我们需要对 Splunk 事件中已有的字段进行一些计算。我们还希望将这些计算的结果存储为新字段，以便以后由各种搜索引用。这可以通过在 Splunk 搜索中使用计算字段的概念来实现。

最简单的示例是显示星期几的前三个字符，而不是完整的星期名称。我们需要应用某些 Splunk 函数来实现对字段的这种操作，并将新结果存储在新的字段名称下。

示例

Web_application 日志文件有两个字段，分别名为 bytes 和 date_wday。bytes 字段中的值是字节数。我们希望将此值显示为 GB。这将需要将该字段除以 1024 以获得 GB 值。我们需要将此计算应用于字节字段。

同样，date_wday 显示星期几的完整名称。但我们只需要显示前三个字符。

这两个字段中的现有值如下图所示 −

要创建计算字段，我们使用 eval 函数。此函数将计算结果存储在新字段中。我们将应用以下两个计算 −

# 将字节除以 1024，并将其存储为名为 byte_in_GB 的字段
Eval byte_in_GB = (bytes/1024)

# 提取星期名称的前 3 个字符。
Eval short_day = substr(date_wday,1,3)

我们将上面创建的新字段添加到我们作为搜索结果的一部分显示的字段列表中。为此，我们选择 所有字段 选项，并在这些新字段的名称上勾选复选标记，如下图所示 −

选择上述字段后，我们可以在搜索结果中看到计算字段，如下所示。搜索查询显示计算字段，如下所示 −