【Splunk】SPL言語_高頻度_コマンド集1_rename_eval_sort_fields

## 目次
__[・rename](https://qiita.com/mizushino/items/b2a7323f3001196b7a79#rename%E3%82%B3%E3%83%9E%E3%83%B3%E3%83%89)__
__[・eval](https://qiita.com/mizushino/items/b2a7323f3001196b7a79#eval%E3%82%B3%E3%83%9E%E3%83%B3%E3%83%89)__
__[・sort](https://qiita.com/mizushino/items/b2a7323f3001196b7a79#sort%E3%82%B3%E3%83%9E%E3%83%B3%E3%83%89)__
__[・fields](https://qiita.com/mizushino/items/b2a7323f3001196b7a79#fields%E3%82%B3%E3%83%9E%E3%83%B3%E3%83%89)__

## SPLコマンド一覧
### ▼RENAMEコマンド

```php:rename
| TABLE <変更したい既存フィールド名> ,<新しいフィールド名>
```
・設定されているフィールド名を好きなフィールド名に変換できる。
・誰にでも可視化しやすくなる。

```php:rename_例1_「dest_ip」を「送信先IPアドレス」にリネーム
| index="sample" sourcetype="example"
| RENAME dest_ip AS 送信先IPアドレス
```
```php:rename_例2_複数リネームし、リネーム前後のフィールドをTABLE表示
| index="sample" sourcetype="example"
| RENAME dest_ip AS 送信先IPアドレス ,src_ip AS 送信元IPアドレス
| TABLE dest_ip ,送信先IPアドレス ,src_ip ,送信元IPアドレス
```

・rename_例2_結果
![キャプチャ.PNG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3501557/e901ae59-f1e6-7f07-147b-8cf41fa601f5.png)


__・例2ポイント：__
リネーム前のフィールド名はサーチしてもデータ表示されなくなる。


<br>

### ▼evalコマンド

```php:eval
| eval <新しく定義したいフィールド名> = (フィールドを定義する条件)
```
・新しいフィールドを作成するコマンド。
・eval関数などの計算の結果をフィールドに書き込む。


```php:eval_例_numberフィールドに1足した数を足し算フィールドに置き換えてTABLETABLE表示する

| index="sample" sourcetype="example"
| eval 足し算= SUM(number + 1)
|TABLE number ,足し算
```
・eval_例_結果
![eval_example.PNG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3501557/ef1329cf-e85a-f443-5f02-a60797857345.png)


<br>

### ▼sortコマンド
```php:sort
| sort <フィールド名>
```
・フィールドの値を並び替えたり、結果出力制限ができる。
・昇順、降順。
・優先順位を付けて、複数のフィールドを並び替えることも可能。
・出力結果の数も指定可能。

```php:sort_例1_出力結果4個のnumber昇順
| index="sample" sourcetype="example"
| sort 4 number
| table number
```
・sort_例1_結果
![number_sort.PNG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3501557/ed49e598-cdf7-facc-dbca-81666ed17348.png)



```php:sort_例2_number降順
| index="sample" sourcetype="example"
| sort - number
| table number
```
・sort_例2_結果
![number_sort.PNG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3501557/db3fff3c-3cc5-3a37-97f4-dc6d2c6f7ec3.png)


```php:sort_例3_出力結果5個のnumber降順下うえでdate降順
| index="sample" sourcetype="example"
| sort 5 - number , - date
| table number ,date
```
・sort_例3_結果
![number_sort_3.PNG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3501557/c9b1a93a-9285-9d1c-c163-1d074febf18f.png)


```php:sort_例4_出力結果無限のdate昇順
| index="sample" sourcetype="example"
| sort 0 date
```
__・例4ポイント：__
出力結果の数を「0」にすると、結果表示される上限を無くすことができる。
※デフォルトだとソート機能は1万行が上限なので、上限超過すると結果が切り捨てられる。

<br>


### ▼fieldsコマンド
```php:fields
| fields <表示したいフィールド名>

| fields - <非表示したいフィールド名>

| fields <並びたい順番にフィールド名1> ,<並びたい順番にフィールド名2> ,・・・ 
```

フィールドの表示や非表示を行う。
フィールドの並び順も変更もできる。

```php:fields_例1_TABLE表示から、mydateとmytimeのみを表示させる
| TABLE src_ip ,dest_ip ,mydate ,mytime ,url
| fields mydate ,mytime
```
・fields_例1_結果
![fields_1.PNG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3501557/d33a2cc0-5249-3e2c-6c78-c3efcd4c2459.png)

```php:fields_例2_TABLE表示から、mydateとmytimeを非表示にする
| TABLE src_ip ,dest_ip ,mydate ,mytime ,url
| fields - mydate ,mytime
```
・fields_例2_結果
![fields_2.PNG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3501557/39da551a-b2d7-3b47-7c94-3e38b78eb6d5.png)


```php:fields_例3_TABLE表示から、src_ipとdest_ipを非表示、url、mytime、mydateの順番に並び替える
| TABLE src_ip ,dest_ip ,mydate ,mytime ,url
| fields - src_ip ,dest_ip
| fields url ,mytime ,mydate
```
・fields_例3_結果
![fields_3.PNG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3501557/cb0198b9-cf45-d70c-1e01-35999bac1ce9.png)
__・例3ポイント__
表示等と順番並び替えはまとめて出来ないので、別々に行う必要がある。