Splunk_常用关键字函数（施工中。。。）

Posted 2020-12-18 congxinglong

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了Splunk_常用关键字函数（施工中。。。）相关的知识，希望对你有一定的参考价值。

只展示查询结果中的前10000条日志.

| head 10000

如果字段1 的值为"a","b","c"中的任意一个,则新字段1 的值为"结果1",否则新字段1 的值为"结果2".

| eval 新字段1=if(字段1 in ("a","b","c"),"结果1","结果2")

生成IP对应的地区信息,会在结果中加入 Country,City 两个字段用来标明日志中IP的所在地.

| iplocation ip
| table Country,City,ip

以上是关于Splunk_常用关键字函数（施工中。。。）的主要内容，如果未能解决你的问题，请参考以下文章