Splunk 合并多个日志

Question

出于某种原因，splunk 正在合并多个日志。

出于统计原因，每次用户登录时我都会记录。我预计在 splunk 中我会在每个日志中得到一行，如下所示:

TIMESTAMP user of type=1 has logged in
----------------------------
TIMESTAMP user of type=2 has logged in
----------------------------
TIMESTAMP user of type=3 has logged in

等其中 ------------ 表示日志之间的分隔符。

但是，我将多个日志视为一个日志，例如:

TIMESTAMP user of type=1 has logged in
TIMESTAMP user of type=2 has logged in
TIMESTAMP user of type=1 has logged in
-------------------------------
TIMESTAMP user of type=3 has logged in
TIMESTAMP user of type=3 has logged in
--------------------------
TIMESTAMP user of type=2 has logged in
TIMESTAMP user of type=1 has logged in
TIMESTAMP user of type=3 has logged in
TIMESTAMP user of type=1 has logged in
---------------------------------

分组是随机的，每组 1-6 个。我需要能够计算每天有多少登录。因此，回答以下任何一个问题就足够了。

• 为什么 splunk 会“合并”我的日志，我该如何将它们分开？
• 我如何根据行而不是日志进行时间跨度计数(并且仍然保持每种类型的计数)
• 有没有一种方法可以提取一个日志中具有相同键名的多个字段并将它们全部计数？

Answer 1

1. 你可以引用props.conf中的“Line breaking”，你可以试试LINE_BREAKER , SHOULD_LINEMERGE, .. .参见:http://docs.splunk.com/Documentation/Splunk/6.1.3/Admin/Propsconf

2. 有两种方法可以做到这一点。 一个。使用“桶”命令:... | bucket_time 跨度=5min | ... b.使用带有“span”参数的“timechart”或“chart”命令:... |时间图跨度=5分钟

然后……数数。

3. Splunk 中的多值意味着事件中的一个字段具有多个值。我不确定“在一个日志中提取具有相同键名的多个字段”是什么意思，您能举个例子吗？