comparison - 比较两个不同 Splunk 搜索的两列中的值

Question

我是 splunk 的新手，在比较两个不同查询的两列中的值时遇到了问题。

查询 1

index="abc_ndx" source="*/jkdhgsdjk.log" call_id="**" A_to="**" A_from="**" | transaction call_id keepevicted=true | search "xyz event:" | table _time, call_id, A_from, A_to | rename call_id as Call_id, A_from as From, A_to as To

查询 2

index="abc_ndx" source="*/ jkdhgsdjk.log" call_id="**" B_to="**" B_from="**" | transaction call_id keepevicted=true | search " xyz event:"| table _time, call_id, B_from, B_to | rename call_id as Call_id, B_from as From, B_to as To

这是我的两个不同的查询。我想比较 A_from 中的每个值 B_from 中每个值的列列，如果值匹配，则显示 A_from 的那些值.

有可能吗？

我分别运行了两个查询并将每个查询的结果导出到 csv 并使用了 vlookup功能。但问题是有一个 最大 10000 行的限制 可以导出的数据，所以我错过了很多数据，因为我的数据搜索有超过 10000 条记录。
有什么帮助吗？

Answer 1

目前还没有任何数据可以对此进行测试，但是，以下内容应该为您指明正确的方向。

当您整理出第一个查询的表后，您应该将搜索字符串“管道”到 appendcols命令与您的第二个搜索字符串。此命令将允许您运行子搜索并将列“导入”到您的基本搜索中。

一旦你在同一个表中有两列。您可以使用 eval命令创建一个新字段，该字段比较两个值并根据需要分配一个值。

希望这会有所帮助。

http://docs.splunk.com/Documentation/Splunk/5.0.2/SearchReference/Appendcols
http://docs.splunk.com/Documentation/Splunk/latest/SearchReference/Eval