splunk/ 명령어 익히기

Multivaluefunctions

list(X) - 중복 출력O

• 100개 이상의 필드 값 중 100개만 보여줌
• 필드 값은 문자열로 표현됨
• chart, stats, timechart 와 함께 사용가능

| makeresults count=1000 | streamstats count AS rowNumber | stats list(rowNumber) AS numbers

• | makeresults count=1000
  1000까지 센 결과 생성
• | streamstats count AS rowNumber
  이벤트 발생을 세고 rowNumer 컬럼이름으로 출력
• | stats list(rowNumber) AS numbers
  rowNumber 컬럼 값만 numbers라는 이름으로 출력
  list(X) X의 결과 값만을 빼옴

values(X) - 중복 출력X

• 사전식 순서로 출력(lexicographical)
• 출력 값의 수를 지정하지 않으면 무제한 출력, limits.conf로 출력 값의 수를 제한 가능, [stats | sistats] 최대값 설정 가능
• 필드 값은 문자열로 저장됨
• chart, stats, timechart, tstats 명령어 활용 가능

| makeresults count=1000 | streamstats count AS rowNumber | stats values(rowNumber) AS numbers

• | makeresults count=1000
  1000까지 센 결과 생성
• | streamstats count AS rowNumber
  이벤트 발생을 세고 rowNumer 컬럼이름으로 출력
• | stats values(rowNumber) AS numbers
  rowNumber 컬럼 값만 numbers라는 이름으로 출력
  values(X) X의 결과 값만을 빼옴
  

list(X) vs values(X)

• list(X) : 모든 이벤트의 결과 값을 출력
• values(x) : 중복되는 값을 제거하고 값을 출력
  
  모든 이벤트의 Date 값을 출력한 list, Date 필드에 입력된 값의 종류를 출력한 values