Eval 在Splunk 中的实际用途

最近在向Splunk UBA 中导入数据的时候，总报字段不能被认识，下面就可以通过eval 来创造这些必须的字段来达到要求：

1: | eval tag="network,session,vpn,authentication,start" | makemv delim="," tag

这段SPL 就是可以创造 tag = network,session,vpn,authentication,start 的五种tag, 并且后面的 | makemv delim="," tag ，可以分割成5种tag, 要是没有后面的，就只有一种tag, tag=network,session,vpn,authentication,start,  一整条。

2:｜eval user=username, 就是把event 中 字段username , 等效成user, 在field 中出现两个： user, 还有原来的username.

3: | eval protocol="RADIUS", 注意： 左边的是 双引号，就是去里面的符号，如果是： 单引号，那么就是取它的 value (值）。

4: ｜ eval action=if(action="deny","blocked","allowed")

这条经常用到的，就是在导入防火墙数据的时候，UBA只认action = allow, blocked 的数据，但是我的数据中，有action=deny