1: 如果window server 比较多的话,那么eventlog 是会很多的,那么可以根据event code 来过滤,具体的设置:
先去DS (deployment server 上去查到这个index 的inputs.conf 文件,然后
index=abc EventCode IN (4658,4656,4690)
|timechartspan=1m count byEventCode
可以先通过: index=abc | dedup eventCode | table EventCode 来查看哪个eventCode 占比多。
具体的修复可以通过DS 下面的inputs.conf 文件来修复:
/inputs.conf
#####