json - Splunk 查询从 json 日志事件中检索值并将其获取到表中

Question

我有一个像这样的 json 格式的日志事件

{
   "level":"level  name",
   "exception":"exception message",
   "logger":"com.log",
   "thread":"thread name",
   "message":"exception message",
   "properties":{
      "id":"1234",
      "process":"Process name,
      "host":"host name",
      "type":"type name"
   }
}

我需要一个 splunk 查询来获取主机内部属性作为值，以便在表中获取它。请帮我。

标签： jsonsplunksplunk-querysplunk-hec

Answer 1

你已经尝试过什么？

我怀疑这（或类似的）会起作用，假设 Splunk 已经将此数据识别为 JSON 格式：

index=ndx sourcetype=srctp properties{}.host=*
| rename properties{}.host as hostname
| stats count by hostname