Splunk – 顶部命令

很多时候，我们对查找字段中可用的最常见值感兴趣。Splunk 中的top命令可帮助我们实现这一目标。它还有助于找到值在事件中出现的频率的计数和百分比。

字段的最高值

以最简单的形式，我们只获得计数和此类计数相对于事件总数的百分比。在下面的示例中，我们找到了 8 个最高的 productid 值。

字段的最高值

接下来，我们还可以包含另一个字段作为此 top 命令的 by 子句的一部分，以显示每组 field2 的 field1 的结果。在下面的搜索中，我们找到了每个文件名的前 3 个 productid。请注意文件名如何重复 3 次，显示该文件的不同 productid。

显示选项

我们还可以通过 Top 命令使用 Splunk 中可用的其他选项来决定显示特定列。在下面的命令中，我们禁用显示百分比选项并仅按文件名显示顶部产品 ID。