Splunk生成命令中是否可使用正则表达式以降低搜索执行耗时？

可以，有两种常用优化思路，都能大幅缩短执行耗时：

• 第一种是用通配符先做索引层过滤，再做正则校验
  你当前慢的核心原因是管道后的regex指令会先拉取该索引下的全量事件再做过滤，没有用到Splunk的索引加速能力。你可以先把正则的固定前后缀放到初始检索条件中，先通过索引快速缩小事件范围，再做精确正则匹配：
  优化后的搜索语句如下：

  index=some_index id=222?00 | regex id="222[1-3]{2}00"
  

  这里的id=222?00是Splunk原生支持的通配符检索，其中?匹配单个任意字符，会直接在索引层面过滤掉所有id不是222开头、00结尾、长度不等于7位的事件，后续regex只需要处理极少量符合基础规则的事件，执行效率会提升数十倍甚至更多。

• 第二种是直接在初始检索段使用正则（Splunk 7.0及以上版本支持）
  较高版本的Splunk支持将正则检索直接下推到索引层执行，不需要放到管道后处理，语法和你原来的写法基本一致，但执行逻辑会优先做索引层过滤，不需要拉全量数据：

  index=some_index | regex id="222[1-3]{2}00"
  

  如果你的id字段是配置过的索引时提取字段，这个方案的执行效率会更高。如果你使用的是7.0以下的低版本Splunk，推荐优先使用第一种通配符前置的方案。

如果这个过滤规则是你频繁使用的，可以将id字段配置为索引时字段，或针对该字段建立加速数据模型，后续同类检索的耗时会进一步降低。

内容的提问来源于stack exchange，提问作者Vad1m