タグ: dc

これをやるにはdc と values マクロを使います。

SPLの書き方

下記のSPLは、SPLの例です。

sourcetype="fgt_traffic"
| bin span=1h _time
| stats dc(src_ip) as src_ip_count values(src_ip) as src_ip by _time, dest_ip
| table _time, src_ip_count, src_ip, dest_ip

実際に実行するとこうなります。