本节书摘来自华章计算机《Splunk智能运维实战》一书中的第2章，第2.5节，作者 [美]乔史·戴昆（Josh Diakun），保罗R.约翰逊（Paul R. Johnson），德莱克·默克（Derek Mock），译 宫鑫，康宁，刘法宗 ，更多章节内容可以访问云栖社区“华章计算机”公众号查看。

2.5　找出浏览量来源最多的网站

Web访问日志还能提供有关网站和访问网站用户的更多信息。了解用户来自哪里可以深入了解潜在客户，也许还能告诉我们哪些营销活动更有效果。获取这一信息需要搜索日志数据中referer_domain字段的值。

本节将通过编写一个搜索语句找到浏览量来源最多的网站。

做好准备

本节操作需运行Splunk Enterprise服务器，导入和第1章相同的样本数据。我们已经很熟悉Splunk搜索栏和时间选择器了。

如何操作

按照下列步骤搜索浏览量来源最多的网站：

1. 登录Splunk服务器。
2. 选择“搜索和报表”应用程序。
3. 设定时间选择器为“过去24小时”，在Splunk搜索栏输入下列搜索后单击搜索图标或按Enter键。
   
4. Splunk返回表格式列表，按照每个网站提供的推荐访问流量进行排序。
   
5. 单击“保存为”，选择“报表”，保存此次搜索结果，将报表命名为cp02_top_referring_websites并单击“保存”。在下一个页面，单击“继续编辑”，回到搜索。

工作原理

将搜索以段的形式分开。

更多内容

本节没有使用top命令，因为这个命令只能提供有限的功能。stats命令远比top命令强大，并且具备很多函数，包括distinct count函数。

使用stats命令代替top命令来搜索浏览量来源排名前十的网站

本节使用stats命令找到了Web访问日志中的所有网站，并按它们的独立推荐访问量将它们排序。如果仅仅显示排名前十位的网站，只需要在搜索语句最后添加head命令，如下所示：

head命令保留了最前面的指定行数。本例中，因为我们进行了降序，所以保留前十行结果也就保留了排名前十的网站。

要理解stats、chart和timechart命令的各种函数功能，可参考Splunk文档，地址为：http://docs.splunk.com/Documentation/Splunk/ latest/SearchReference/CommonStatsFunctions。

另参见