IIS logparser - количество, отличное от cs-uri-query?

Мне нужно посчитать, сколько РАЗНЫХ MAC-адресов, которые получили доступ к моему веб-серверу IIS и имеют значение состояния 1.

Адрес "MAC" и значение "state" находятся в фактическом запросе (cs-uri-query)

Таким образом, журнал может выглядеть так (показано только поле cs-uri-query):

mac=00-20-c2-41-7e-b6&state=1&div=10
mac=00-20-c2-41-7e-b6&state=1&div=10
mac=00-20-c2-41-7e-b6&state=0&div=10
mac=00-10-c3-41-7e-b7&state=1&div=10

В этом случае LogAnalyzer должен считать =2. 2 раза были посещены РАЗНЫЕ MAC с состоянием 1.

Может кто-нибудь помочь мне с SLQ использовать с LogAnalyzer?

Источник

1 ответ

Решение

Попробуйте это:

select count(distinct extract_value(cs-uri-query, 'mac'))
from *.log
where extract_value(cs-uri-query, 'state') = '1'

Вы можете изменить имена полей в зависимости от формата вашего журнала.

Источник
Другие вопросы по тегам