ELK kibana查询与画图

1、创建查询

在Discover界面的搜索栏输入要查询的字段。查询语法是基于Lucene的查询语法。允许布尔运算符、通配符和字段筛选。注意关键字要大写,搜索框 suosurl:5yb4Qr and visitip:144.91.124.25 。

2、字符串查询

查询可以包含一个或多个字或者短语。短语需要使用双引号引起来。如：

3、正则表达式查询

允许一个字段值在某个区间。[] 包含该值，{}不包含。

4、布尔查询

布尔运算符（AND，OR，NOT）允许通过逻辑运算符组合多个子查询。
运算符AND/OR/NOT必须大写。
NOT type: mysql
sip:[“172.24.20.110” TO “172.24.20.140”]
mysql.method: SELECT AND mysql.size: [10000 TO *]
(mysql.method: INSERT OR mysql.method: UPDATE) AND responsetime: [30 TO *]

5、画图图形说明

Area ：用区块图来可视化多个不同序列的总体贡献。
Data ：用数据表来显示聚合的原始数据。其他可视化可以通过点击底部的方式显示数据表。
Line ：用折线图来比较不同序列。
Markdown ：用 Markdown 显示自定义格式的信息或和你仪表盘有关的用法说明。
Metric ：用指标可视化在你仪表盘上显示单个数字。
Pie ：用饼图来显示每个来源对总体的贡献。
Tile map ：用瓦片地图将聚合结果和经纬度联系起来。
Timeseries ：计算和展示多个时间序列数据。
Vertical bar ：用垂直条形图作为一个通用图形。

进入新增页面后需要选在对应的图形
选择数据源
可视化编辑器
主要操作的节点为以下几个：

工具栏(Toolbar)
工具栏里面其实就是一些搜索建议，当然如果你一进选择了搜索建议基础，那么也许你只需要稍作修改即可；
聚合构建器(Aggregation Builder)
用页面左侧的聚合构建器配置你的可视化要用的 metric 和 bucket 聚合。桶(Buckets) 的效果类似于 SQL GROUP BY 语句。
想更详细的了解聚合，阅读Elasticsearch aggregations reference。
预览画布(Preview Canvas)

下面介绍一下更为细节的一些聚合器字段：

Count count 聚合返回选中索引模式中元素的原始计数。
Unique Count cardinality 聚合返回一个字段的去重数据值。从下拉菜单选择一个字段。

1、Date Histogram date histogram 基于数值字段创建，由时间组织起来。你可以指定时间片的间隔，单位包括秒，分，小时，天，星期，月，年。
2、Histogram 标准 histogram 基于数值字段创建。为这个字段指定一个整数间隔。勾选 Show empty buckets 让直方图中包含空的间隔。
3、Range 通过 range 聚合。你可以为一个数值字段指定一系列区间。点击 Add Range 添加一对区间端点。点击红色 (x) 符号移除一个区间。
4、Date Range date range 聚合计算你指定的时间区间内的值。你可以使用 date math 表达式指定区间。点击 Add Range 添加新的区间端点。点击红色 (/) 符号移除区间。
5、IPv4 Range IPv4 range 聚合用来指定 IPv4 地址的区间。点击 Add Range 添加新的区间端点。点击红色 (/) 符号移除区间。
6、Terms terms 聚合允许你指定展示一个字段的首尾几个元素，排序方式可以是计数或者其他自定义的metric。
7、Filters 你可以为数据指定一组 filters。你可以用 querystring(全文搜索简易检所语法)，也可以用 JSON 格式来指定过滤器，就像在 Discover 页的搜索栏里一样。点击 Add Filter 添加下一个过滤器。
8、Significant Terms 展示实验性的 significant terms 聚合的结果。
9、也许你需要对某一个数据进行计算，你可以使用json表达式：{ “script” : “doc[‘grade’].value * 1.2” } grade代表字段，后面后面是算数表达式。

6、画Markdown信息图

7、画Metric统计图

8、画Vertical bar柱状图

用于排名统计

9、画Pie饼图

统计服务器可以查看服务器是否产生日志

10、画Line折线趋势图

可以监控业务的走势

11、画Data Table报表图

12、说明

在kibana中，不同的分组可以在同一个表格展示例如

Metrics 聚合总数使用 count 或者去重集合 unique count
Buckets 对上面的集合进行分组自动分选择terms 类型字段选择 field 例如 urltype
选择filters 进行字段值的过滤时候，请使用 sys:“iOS” OR “iPhone” OR “iPad” # or 和 “”号