Splunk を触り始めたとき、まず最初にぶつかるのが SPL（Search Processing Language）。
文法が独特で「むずかしそう…」と感じる人が多いですが、実は最初に5つのコマンドだけ覚えれば、ほとんどの基本検索はできます。

この記事では、初心者が最短で SPL を理解できるように、最低限必要なコマンドを厳選して解説します。

SPL は「検索 → パイプで加工」の流れだけでできています。

検索条件 | 処理 | 処理 | ...

例えば：

index=web status=500 | stats count by host

意味：

このパイプ（ | ）が SPL のキモです。「検索結果を次の処理に渡す」という意味です。

SPL の中で最も重要。
件数、平均、最大・最小、割合などの集計がすべてできる万能コマンドです。
よく使う例 :
件数を数える

| stats count

折れ線グラフや時系列データ向けのコマンド。

| timechart count

頻出項目を上位順に確認できます。

| top host

| eval rt_ms = response_time * 1000

検索後の結果から絞り込みたいときに使用。

| where response_time > 1000

Splunk の基本検索は、実は以下の5つさえ覚えれば十分です。