Splunk - Dauer zwischen zwei verschiedenen Nachrichten von GUID

Question

Splunk: 

{ [-] 
    guid: ABC 
    level: warn 
    message: Analytics Audit: analyticsLoaded 
    source:  client 
    timestamp: 2017-08-07T16:38:38+00:00 } 


{ [-] 
    guid: BAC 
    level: warn 
    message: Analytics Audit: doneWithAnalytics 
    source:  client 
    timestamp: 2017-08-07T16:38:38+00:00 } 

Diese Nachrichten werden für jede GUID angezeigt. Ich möchte die Dauer zwischen der ersten Meldung "Analytics Audit: analyticsLoaded" und der zweiten Meldung "Analytics Audit: doneWithAnalytics" von guid ermitteln. Und erhalten Sie die durchschnittliche Dauer für beide Nachrichten, die nach den zwei Nachrichten zu einer GUID angezeigt werden.

Grundsätzlich, erhalten Sie die Dauer pro GUID. Erhalten Sie die durchschnittliche Dauer.

Wie kann ich das in Splunk tun?

Answer 1

Versuchen Sie, diese

index=blah | transaction guid startswith="analyticsLoaded" endswith="doneWithAnalytics" | timechart avg(duration)