Comando «rare» en Splunk

El rare comando en Splunk te ayuda a encontrar los valores menos comunes en un campo específico de tus datos. Esto es útil para detectar eventos inusuales o poco frecuentes. Por defecto, el rare comando en Splunk devuelve los 10 valores menos comunes para un campo especificado.

Encontrar User Agents Raros

Para identificar los user agents menos comunes en tus registros de acceso web:

index=web sourcetype=access_logs | rare user_agent 

Esto devuelve 10 de los user agents menos comunes.

Identificar Códigos de Estado HTTP Inusuales

Para detectar códigos de estado HTTP raros en tus registros de seguridad:
Aquí establecemos el límite de devoluciones usando limit

index=security sourcetype=security_logs | rare http_status_code limit=3

Esto devuelve los 3 códigos de estado HTTP menos comunes, ayudando a detectar respuestas inusuales.