logging - 如何使用 splunk 获取“唯一”请求的数量

Question

我们目前正在寻找一种使用 splunk 查找给定事件类型的“唯一”请求数量的方法。就像点击 404 的用户数量一样，但我不在乎用户点击它两次还是 10 次，我只想要出现该错误的用户数量。无论如何用 splunk 做这件事吗？

Answer 1

当然。

假设您的源类型称为“access_combined”并且您定义了状态和用户字段（由 Splunk 自动定义，或由您通过字段提取显式定义）您的搜索可能如下所示：

sourcetype="access_combined" 状态="404" | 去重用户 | 表用户

或者你也可以试试这个，它使用不同的计数操作：

sourcetype="access_combined" 状态="404" | 用户统计 dc(status)