empty row 집계

다음은 stats 명령을 이용한 1시간 단위 집계 결과. 발생량이 없는 시간대는 집계에 포함되지 않는다.

발생량이 없는 시간대를 집계에 포함시키려면 chart 명령을 사용하면 됨.

엘라스틱도 기본 집계는 빈 값을 포함하지 않는다.

렌즈는 기본 포함.

물론 스플렁크, 엘라스틱 모두 시계열 차트는 empty row도 집계한다. 그런데 이게 중요한 게 아니고 엘라스틱과 스플렁크 왜 숫자 다르냐(..)

관련 글

• null과 empty
• Sysmon의 unknown process - 3rd