regex - 如何忽略Splunk查询中的特定子字符串

Question

需要一些帮助来生成适当的Spunk查询。我正在搜索此文件，但无法提出解决方案。

当前，我想忽略为只有ev31 = error;的日志生成的所有错误警报；学期。如果我们使用NOT ev31 = error;在搜索查询中，它还会删除带有有效错误字词的结果。因此，如果日志同时包含错误和ev31 = error，则当前查询将失败。条款导致错误的结果。

任何人都可以提出一个示例查询，在这里我们可以忽略ev31 = error;术语，但保留带有错误术语的日志。

Answer 1

尝试将要忽略的字符串包含在引号中，这样您的搜索可能看起来像index=myIndex NOT "ev31=error"