graylog2 - 在 graylog2 中查询不同的结果

Question

有没有办法在 graylog2 中进行搜索并且只返回给定字段的不同结果？我想要完成的是一个流或仪表板小部件，它将为我提供来自不同 IP 地址的 IIS 错误数量。

Answer 1

一种方法是

• 将 IP 地址提取为字段 (ip_address)，
• 搜索 IIS 错误
• 在右侧的搜索结果消息字段中，使用 ip_address “快速值”获取特定 IP 地址的错误计数

Answer 2

通过“快速值”查看每个 ip 的错误计数分布的方法很好。有关如何处理唯一性/不同 IP 地址或任何值的提示，可以在 graylog 中使用“card()”表示基数。但是聚合可以通过其他方式完成。

要获取数据表中每个 ip 的错误数，只需添加行并对它们执行 count() 并将搜索查询限制为 http_response:>=500

Answer 3

如果是字段，则“IpAddress:111.111.111.1”将搜索所有以 111.111.111.1 作为 IP 地址的日志。