Getting Data In

リアルタイムアラート作成時の複数フィールドの突合について

midcoffessplunk
Engager

異なるソースタイプ[sourcteype=A1]の中に[user]、[sourcetype=B1]の中に[ap_user]というフィールドがあります。

この2つの[user],[ap_user]のユーザ名が同じであるかどうか判定するリアルタイムアラートを作成したいです。

リアルタイムサーチ時にappendやjoinでサブサーチを利用するとうまくいきませんでした。

これを解決できる方法がありましたら、ご教授下さい。


sourcetype="A1"
|fields user
|join
[
|search sourcetype="B1"
|fields ap_user
]
|table user,ap_user
|eval match=if(user==ap_user, "〇", "×")

Labels (1)
0 Karma
1 Solution

kamlesh_vaghela
SplunkTrust
SplunkTrust

@midcoffessplunk 

この検索を試してみませんか?

 

sourcetype="A1" OR sourcetype="B1"
| eval User = coalesce(user,ap_user)
| stats count by User
| where count > 1

 

 

Thanks
KV
If any of my replies help you to solve the problem Or gain knowledge, an upvote would be appreciated.

 

View solution in original post

kamlesh_vaghela
SplunkTrust
SplunkTrust

@midcoffessplunk 

この検索を試してみませんか?

 

sourcetype="A1" OR sourcetype="B1"
| eval User = coalesce(user,ap_user)
| stats count by User
| where count > 1

 

 

Thanks
KV
If any of my replies help you to solve the problem Or gain knowledge, an upvote would be appreciated.

 

Get Updates on the Splunk Community!

.conf24 | Day 0

Hello Splunk Community! My name is Chris, and I'm based in Canberra, Australia's capital, and I travelled for ...

Enhance Security Visibility with Splunk Enterprise Security 7.1 through Threat ...

 (view in My Videos)Struggling with alert fatigue, lack of context, and prioritization around security ...

Troubleshooting the OpenTelemetry Collector

  In this tech talk, you’ll learn how to troubleshoot the OpenTelemetry collector - from checking the ...