如果所有主机名都以相同的字母开头，如何最小化我的Splunk搜索功能？

Question

我有很多主机（服务器），我想搜索所有主机（服务器除外），除了4个不同的主机。

这是我目前要排除的4台服务器的工作：

(host!="ajl2dal8" OR host!="ajl2dal9" OR host!="ajl2atl8" OR host!="ajl2atl9")

虽然这很好用，但它相当可观，并且只有在我需要排除更多情况时才会更长。因为它们都以ajl2开头并且具有atl或dal以及一个数字，所以有什么办法可以使类似的东西起作用：

(host!="ajl2[atl|dal][1|2|3|4]")

Answer 1

搜索命令（隐含在第一个管道之前）不支持正则表达式。但是，您可以像(host!="ajl2*")中那样使用通配符。您可以在第一个管道之后使用where或regex命令使用正则表达式。

... | where NOT match(host, "ajl2[atl|dal][1|2|3|4]") | ...

... | regex host!="ajl2[atl|dal][1|2|3|4]" | ...