如何使用Splunk中的where子句进行复合查询？

如何解决如何使用Splunk中的where子句进行复合查询？

我以以下数据为例：

我想查找所有温度超过阈值（有时说80F）的事件。

Temperature=82.4,Location=xxx.165.152.17,Time=Wed Sep 16 07:43:01 PDT 2020,Type=UPS
Temperature=84.2,Location=xxx.165.152.48,Type=UPS
Temperature=82.4,Location=xxx.165.154.21,Location=xxx.165.162.22,Type=UPS
Temperature=77.0,Location=xxx.165.164.17,Type=UPS
Temperature=75.2,Location=xxx.165.170.17,Location=xxx.165.208.12,Type=UPS
Temperature=73.4,Location=xxx.165.224.20,Type=UPS
Temperature=75.3,Location=xxx.165.52.13,Time=Wed Sep 16 07:47:01 PDT 2020,Type=TempSensor
Temperature=77.9,Location=xxx.165.52.14,Type=TempSensor
Temperature=76.3,Location=xxx.165.54.24,Type=TempSensor
Temperature=83.8,Location=xxx.165.48.20,Type=TempSensor
Temperature=73.8,Location=xxx.165.36.21,Type=TempSensor

我可能首先通过以下方法找到温度高于阈值的位置的子集：

| Temperature > 80
| fields Location
| dedup Location

我将查询的位置结果称为“ hot_locations”，

然后我要执行最终查询：

| Location IN hot_locations

我的问题是Splunk查询语言表达规范的语法是什么？也就是说，如何表达嵌入式查询并使用其值执行最终的隔离。

在伪代码中，可能类似于以下内容：

| let hot_locations = {| Temperature > 80
| fields Location
| dedup Location}
| Location IN hot_locations

正确的表达方式是什么？

如果有帮助，我需要仪表板中的逻辑，我想我可以使用输入面板的变量来表示hot_locations的值。

解决方法

Splunk无法标记查询结果。但是，您可以对子搜索进行等效操作。

index=foo [ search index=bar Temperature > 80 | fields Location | format ]

,

应该执行以下操作（前提是字段已正确分解）：

index=ndx sourcetype=srctp Temperature>80 
| eval sorttime=strptime(Time,"%a %B %d %Y %H:%M:%S %Z")
| stats values(Time) as Time by strptime Location Temperature Type
| fields - strptime

strptime将从您的时间戳转换为epoch time ...，以便进行更好的排序。

该步骤 可能是不必要的-根据您的数据实际上的样子-我根据您提供的示例将其添加了

如果您还 需要解析这些字段，那么我将使用正则表达式将这些内容添加到答案中