Splunk получить объединенный результат из 2-х событий

Question

Я пьяный noob пытается написать запрос на пару часов, но пока не удалось. Я хочу подсчитать количество срабатываний команды «install» и код выхода «0» Каждая команда установки записывает журнал в новый файл с форматом «install_timestamp», поэтому я ищу источник = «install *»,

Использование 2-х исходных файлов в качестве примера

source1: 
event1:command=install 
... //a couple of other events 
event100:exit_code=0 

source2: 
event1:command=install -f 
... //a couple of other events 
event100:exit_code=0 

в этом случае я хочу, чтобы результат 1. только 1 вхождение exit_code = 0, когда команда была «установить» (не -f) дело в том, что это что информация для команды и exit_code находится в разных событиях, я могу получить каждое из двух событий отдельно, но могу определить, как получить комбинированный результат.

Любые советы о том, как я могу достичь результата, которого я хочу? - Благодаря!

Answer 1

Это немного грубым, но вы могли бы сделать что-то вроде этого ...

(«Одна строка» НЕ «Bad String») ИЛИ «Другой String» | статистика по источнику | где count> 1

В основном это даст вам список файлов, содержащих события, соответствующие обеим строкам. Для вашего примера это будет что-то вроде ...

("command = install" NOT "-f") ИЛИ "exit_code = 0" | статистика по источнику | где count> 1