Comando raro no Splunk

O rare comando no Splunk ajuda você a encontrar os valores menos comuns em um campo específico dos seus dados. Isso é útil para identificar eventos incomuns ou pouco frequentes. Por padrão, o rare comando no Splunk retorna os 10 valores menos comuns para um campo especificado.

Encontrar Agentes de Usuário Raros

Para identificar os agentes de usuário menos comuns nos seus registros de acesso à web:

index=web sourcetype=access_logs | rare user_agent 

Isso retorna 10 dos agentes de usuário menos comuns.

Identificar Códigos de Status HTTP Incomuns

Para detectar códigos de status HTTP raros em seus logs de segurança:
Aqui definimos o limite de retornos usando limit

index=security sourcetype=security_logs | rare http_status_code limit=3

Isso retorna os 3 códigos de status HTTP menos comuns, ajudando a identificar respostas incomuns.