Splunk 查询不包含文本的匹配行

Question

要查找包含“gen-application”的日志行，我使用以下搜索查询：

source="general-access.log" "*gen-application*"

如何修改查询以便返回不包含“gen-application”的行？

source="general-access.log" != " gen-application " 返回错误：

Error in 'search' command: Unable to parse the search: Comparator '!=' has an invalid term on the left hand side: 

Answer 1

我会使用NOT运算符。

source="general-access.log" NOT "*gen-application"

请记住，Splunk 还支持AND和OR。