Splunk Search

いくつかのvalueを一つにまとめたい

appleman
Contributor

nameというフィールドに、同じappAという名前が、「app A」、「app a」、「App A」などのようにいくつかvalueの入力方法が異なってしまい、stats countした際に別のものとして認識されてしまいます。
eval case()とかで指定すると、他の正常に入ってきているデータが省かれてしまうので、
他にうまくまとめる方法はございますでしょうか。

Tags (3)
0 Karma
1 Solution

melonman
Motivator

以下、一旦小文字に変換してから count してますが、どうでしょうか。

... | eval yourfield=lower(yourfield) | stats count by yourfield

View solution in original post

0 Karma

melonman
Motivator

以下、一旦小文字に変換してから count してますが、どうでしょうか。

... | eval yourfield=lower(yourfield) | stats count by yourfield
0 Karma

appleman
Contributor

これだけだと、nameの中にあるスペースの有無や、日本語と英語で書かれているものを別のものと認識したままになってしまいます。。。。
(例:日本語でグーグルと入っているものと英語でGoogleと入っているものも名前は一緒なので1つのものとしてカウントさせたいです)

0 Karma
Get Updates on the Splunk Community!

Improve Your Security Posture

Watch NowImprove Your Security PostureCustomers are at the center of everything we do at Splunk and security ...

Maximize the Value from Microsoft Defender with Splunk

 Watch NowJoin Splunk and Sens Consulting for this Security Edition Tech TalkWho should attend:  Security ...

This Week's Community Digest - Splunk Community Happenings [6.27.22]

Get the latest news and updates from the Splunk Community here! News From Splunk Answers ✍️ Splunk Answers is ...