Splunk - 검색 결과에서 공유 데이터 확인하기

Splunk를 이용할 때 다수의 중복 값들중에 고유간 값들만 남기고 확인하는 구조로 가져갈 수 있는 방법에 대해서 간단하게 사용할 수 있는 기능이 존재하는데, 바로 dedup 이다.

dedup은 검색 결과에서 중복되는 내용을 삭제해주는 역활을 진행한다.

아래와 같이 특정 필드명을 지정하면, 해당 필드를 기준으로 중복되는 내용들을 삭제해준다.

| dedup id

.

위와 같이 하나의 필드 뿐만 아니라 여러 필드를 지정하게 되면, 해당 필드가 모두 동일한 경우에만 중복으로 보기 때문에 유용하다.

 

| dedup id host