splunk - 随着时间的推移，小组事件按小时计数

Question

我目前有一个查询聚合过去一小时内的事件，并在事件超过特定阈值时提醒我的团队。该查询最近被意外禁用，结果有时警报应该触发但没有触发。

我的目标是将这个警报查询逻辑应用到上个月，并确定警报会触发多少次，如果它起作用的话。但是，我很难弄清楚如何最好地对这些进行分组。在伪代码中，我基本上我会(运行超过 30 天的时间范围):

  index="some_index" | where count > n | group by hour

希望这是有道理的，如果没有，我很高兴提供一些说明。

提前致谢

Answer 1

这应该让你开始:

index=foo | bin span=1h _time | stats count by _time | where count > n