splunk 学习笔记之二[搜索语法]

splunk 搜索语法

全文搜索

     搜索框直接输入”搜索词“  

 　 purchase

     查找匹配词”purchase“

字段搜索

     字段名=”搜索词“

     source="Sampledata.zip:./apache3.splunk.com/access_combined.log"

     查找数据来源为"Sampledata.zip:./apache3.splunk.com/access_combined.log"

通配符搜索

     source="Sameledata.zip:.apache*"

     查找数据来源为apache开头的所有来源

逻辑组合搜索

    source="Sampledata.zip:./apache3.splunk.com/access_combined.log" purchase NOT 200

    查找数据来源为"Sampledata.zip:./apache3.splunk.com/access_combined.log" 并且字符串匹配词 "purchase" 并且字符串中不匹配200

嵌套搜索

    查找错误码

　 error OR failed OR (souretype = access*(404 OR 500 OR 503))

    当然你可以加上status字段

    (sourcetype=access*(status=404 OR status=500 OR status=503)) hos