Splunk 排序命令
sort 命令按指定字段对所有结果进行排序。如果顺序是降序或升序，则缺失的字段将被视为具有该字段的最小或最大可能值。如果 sort 命令的第一个参数是一个数字，则最多按顺序返回该数量的结果。如果未指定数字，则使用默认限制 10000。如果指定数字 0，则返回所有结果。
按字段类型排序
我们可以为正在搜索的字段指定特定的数据类型。 Splunk 数据集中的现有数据类型可能与我们在搜索查询中强制执行的数据类型不同。在下面的示例中，我们将状态字段按升序排序为数字。另外，url字段是作为字符串搜索的，负号表示排序的降序。
排序上限
我们还可以指定要排序的结果数量，而不是整个搜索结果。下面的搜索结果显示了仅 50 个事件的排序， status 为升序， url 为降序。
使用反向
我们可以使用 reverse 子句来切换整个搜索查询的结果。在需要时无需更改和反转排序结果即可使用现有查询。
很多时候，我们有兴趣找到字段中最常见的可用值。 Splunk 中的 top 命令可帮助我们实现这一目标。它还有助于找到值在事件中出现的频率的计数和百分比。 字段的最高值在最简单的形式中，我们只 ...