本节书摘来自华章计算机《splunk智能运维实战》一书中的第2章，第2.5节，作者 [美]乔史·戴昆（josh diakun），保罗r.约翰逊（paul r. johnson），德莱克·默克（derek mock），译 宫鑫，康宁，刘法宗 ，更多章节内容可以访问云栖社区“华章计算机”公众号查看。
web访问日志还能提供有关网站和访问网站用户的更多信息。了解用户来自哪里可以深入了解潜在客户，也许还能告诉我们哪些营销活动更有效果。获取这一信息需要搜索日志数据中referer_domain字段的值。
本节将通过编写一个搜索语句找到浏览量来源最多的网站。
做好准备
本节操作需运行splunk enterprise服务器，导入和第1章相同的样本数据。我们已经很熟悉splunk搜索栏和时间选择器了。
如何操作
按照下列步骤搜索浏览量来源最多的网站：
登录splunk服务器。
选择“搜索和报表”应用程序。
设定时间选择器为“过去24小时”，在splunk搜索栏输入下列搜索后单击搜索图标或按enter键。
splunk返回表格式列表，按照每个网站提供的推荐访问流量进行排序。
单击“保存为”，选择“报表”，保存此次搜索结果，将报表命名为cp02_top_referring_websites并单击“保存”。在下一个页面，单击“继续编辑”，回到搜索。
工作原理
将搜索以段的形式分开。
更多内容
本节没有使用top命令，因为这个命令只能提供有限的功能。stats命令远比top命令强大，并且具备很多函数，包括distinct count函数。
使用stats命令代替top命令来搜索浏览量来源排名前十的网站
本节使用stats命令找到了web访问日志中的所有网站，并按它们的独立推荐访问量将它们排序。如果仅仅显示排名前十位的网站，只需要在搜索语句最后添加head命令，如下所示：
head命令保留了最前面的指定行数。本例中，因为我们进行了降序，所以保留前十行结果也就保留了排名前十的网站。
另参见