查找表和显示输出中的 Splunk 比较

Question

我有 2 个查找文件

1. lookup1.csv 和
2. lookup2.csv

lookup1.csv有如下数据

name, designation, server, ipaddress, dept
tim, ceo, hostname.com, 1.2.3.5, alldept
jim, vp, myhost.com, 1.0.3.5, marketing
pim, staff, nohost.com, 4.0.4.8, hr

lookup2.csv有如下数据

cidr, location
1.2.3.0/24, dc
1.0.3.0/24, carolina
3.4.7.0/24, tx

我想在lookup1.csv中查找字段ipaddress，在lookup2.csv中使用字段cidr查找前3位数字，如x.x.x，并获取位置字段（如果它们匹配）。如果 ip 地址与 cidr 的前 3 位数字不匹配，则该位置应标记为“未知”。

预期o/p

tim, ceo,1.2.4.5, dc
jim, vp, 1.0.3.5, carolina
pim, staff, 4.0.4.8, unkown

我正在使用 2 个查找表在 splunk 中查找搜索命令。提前致谢。到目前为止，我的搜索尚未产生任何好的结果，但我仍在努力。

Answer 1

使用

isnull()

函数来确定

lookup

是否成功。

| inputlookup lookup1.csv 
| lookup lookup2.csv cidr AS ipaddress OUTPUT location 
| eval location=if(isnull(location), "unknown", location)
| table name designation server ipaddress dept location