Splunk SPL で出現数の少ない順番にTop10を表示させる（tailマクロ）

tail マクロを利用すれば、特定の項目の出現回数を少ない順番に表示させることができます。

SPLの書き方

下記のSPLは、dest_ip（通信先）毎に出現回数をカウントし出現数の少ないTop10を表示させるSPLの例です。

sourcetype="fgt_traffic"
| stats count by dest_ip
| sort - count
| tail 10

実際に実行するとこうなります。

ちなみに多い順にTop10を表示させたい場合は、headを利用します。