Query influxDB - Suricata Top Port

[federicop]

Ciao,
sto cercando di creare una query per avere restituite le principali dest_port che risultano dai logstahs.

ovviamente risco a trovare la tabella e ad estrapolare i dati, con la seguente query SELECT "dest_port" FROM "logstash" WHERE ("action" <> 'block' AND "action" <> 'pass') AND $timeFilter, ma avendo la prima colonna "TIME" non posso raggrupparle.

Devo ottenere solo il conteggio delle "dest_port" ma non mi prende il group by "dest_port".

sapete come posso risolvere?