query-optimization - 有一个连接查询，我需要使用 OR 和 Stats 进行优化，我是 splunk 的新手，我很困惑如何开始

Question

index="index1" sourcetype=sourcetype1 | join commonfield [ search <br>index="index2" sourcetype=sourcetype2 ] | sort _time | stats <br>last(index1field1) as state by index2field1, index1field2, index1field3 <br>| where index1field1 != "UP" | dedup index2field1 | stats count

我想在不使用统计信息和 OR 的情况下优化此查询，有人可以帮我吗？

Answer 1

(index="index1" sourcetype=sourcetype1) OR (index="index2" sourcetype=sourcetype2)
| stats values(*) AS *, values(_*) as * by commonfield

这将是一个相当好的起点。最初引入两组数据，然后合并来自两个源的所有字段，基于commonfield