Trabalhando com funções estatísticas - Média, Mediana e Moda com o comando stats

Nesse post, vamos verificar os conceitos estatísticos das medidas de tendência centrais em conjuntos numéricos: média, mediana e moda.

Média é a razão entre a soma dos valores de todos os elementos de um conjunto numérico e o total de elementos deste conjunto.

Trazendo para a realidade do Splunk, quando temos um campo numérico, todos os valores deste campo serão somados e o resultado será dividido entre a quantidade de eventos que possui este campo. Veja o exemplo a seguir utilizando um campo que registra a quantidade de bytes trafegados em cada transação:

index=web | stats avg(bytes)

Aqui também podemos usar a cláusula by para agrupar os valores calculados por algum campo específico. No exemplo a seguir, vamos ver a média de bytes agrupados por endereço IP.

index=web | stats avg(bytes) by clientip

A média nem sempre representa bem o conjunto de dados, pois uma vez que os elementos estejam distribuídos de forma não uniforme, podemos ter um elemento que acrescenta tendência ao nosso conjunto.

Então, podemos usar como medida de tendência a Moda, que é o valor que aparece com maior frequência em um conjunto de dados.

index=web | stats mode(bytes)

Outra medida de tendência que podemos calcular é a Mediana, que é o valor central em um conjunto de dados. Para calcular a Mediana utilizamos o parâmetro median, conforme o seguinte exemplo:

index=web | stats median(bytes)

Logo mais, teremos novas funções do comando stats, assim como novos comandos SPL.

Dúvidas sobre o post? Sugestões de conteúdo? Correções para o conteúdo? Críticas ou elogios?

Por favor, entre em contato conosco através do e-mail wevaluatebr@gmail.com e responderemos o mais rápido possível.

Se gostou, compartilhe este post em suas redes sociais e nos ajude a divulgar este trabalho!

#splunk #siem #cybersecurity #spl #stats #avg #mode #median #groupby #media #mediana #moda