Getting Data In

リアルタイムアラート作成時の複数フィールドの突合について

midcoffessplunk
Engager

異なるソースタイプ[sourcteype=A1]の中に[user]、[sourcetype=B1]の中に[ap_user]というフィールドがあります。

この2つの[user],[ap_user]のユーザ名が同じであるかどうか判定するリアルタイムアラートを作成したいです。

リアルタイムサーチ時にappendやjoinでサブサーチを利用するとうまくいきませんでした。

これを解決できる方法がありましたら、ご教授下さい。


sourcetype="A1"
|fields user
|join
[
|search sourcetype="B1"
|fields ap_user
]
|table user,ap_user
|eval match=if(user==ap_user, "〇", "×")

Labels (1)
0 Karma
1 Solution

kamlesh_vaghela
SplunkTrust
SplunkTrust

@midcoffessplunk 

この検索を試してみませんか?

 

sourcetype="A1" OR sourcetype="B1"
| eval User = coalesce(user,ap_user)
| stats count by User
| where count > 1

 

 

Thanks
KV
If any of my replies help you to solve the problem Or gain knowledge, an upvote would be appreciated.

 

View solution in original post

kamlesh_vaghela
SplunkTrust
SplunkTrust

@midcoffessplunk 

この検索を試してみませんか?

 

sourcetype="A1" OR sourcetype="B1"
| eval User = coalesce(user,ap_user)
| stats count by User
| where count > 1

 

 

Thanks
KV
If any of my replies help you to solve the problem Or gain knowledge, an upvote would be appreciated.

 

Get Updates on the Splunk Community!

Welcome to the Splunk Community!

(view in My Videos) We're so glad you're here! The Splunk Community is place to connect, learn, give back, and ...

Tech Talk | Elevating Digital Service Excellence: The Synergy of Splunk RUM & APM

Elevating Digital Service Excellence: The Synergy of Real User Monitoring and Application Performance ...

Adoption of RUM and APM at Splunk

    Unleash the power of Splunk Observability   Watch Now In this can't miss Tech Talk! The Splunk Growth ...