如何使用splunk获取“唯一”请求的数量

Question

我们目前正在寻找一种使用 splunk 查找给定事件类型的“唯一”请求数量的方法。就像点击 404 的用户数量一样，但我不在乎用户是否点击了两次或 10 次，我只想要出现该错误的用户数量。有没有办法用 splunk 做到这一点？

Answer 1

当然。

假设您的源类型称为“access_combined”并且您定义了状态和用户字段（由 Splunk 自动定义，或由您通过字段提取明确定义），您的搜索可能如下所示：

sourcetype="access_combined" status="404" | 删除用户 | 表用户

或者你也可以试试这个，它使用不同的计数操作：

sourcetype="access_combined" status="404" | 用户统计 dc(status)