sort

sort operator は、集計検索結果を順序付けします。デフォルトのソート順は降順です。

ソートした後に、top または limit operator を使用して、返されたソート結果の数を削減できます。

order と sort は同義語です。クエリでは、どちらも同じ意味で使用できます。

status AND down | extract "user=(?<user>.*?):" | count (*) group by user | sort by _count
... | count user | top 2 user by _count
... | count user | sort by _count asc

この例では、sourceHost ごとにヒット数をカウントし、ヒット数の順に結果をソートして、上位 10 件のみを表示します。

_sourceCategory=Labs/Apache/Access | count as page_hits by _sourceHost | sort by page_hits | limit 10

結果は次のようになります。

証左にいついては、top operator または limit operator を参照してください。