splunk - Splunk 查询：查找耗时超过 5 秒的事务

Question

下面是我的搜索属性，想要添加仪表板以显示 elapsedTime 超过 5000 的事务（transID，活动）

2018-03-21 04:08:13.159-05:00 信息 - [http-/0.0.0.0:8080-4] |eventStartTime=2018-03-21 04:08:13.092 CDT|状态=成功|活动=发布->/xyz.com|eventElapsedTime=66|status=SUCCESS|transID=30d2e919-bd4d-4bad-a3c8-52cc69d10b43|eventEndTime=2018-03-21 04:08:13.159 CDT

Answer 1

试试这个查询交易

index=f00 | where eventElapsedTime>5000 | table transID activity

这个是给计数的

index=f00 | where eventElapsedTime>5000 | stats count

运行每个搜索后，单击“另存为”链接以将搜索保存在仪表板面板中。