splunk操作手冊

該作品是PDF文件格式請下載 福昕PDF閱讀器

歡迎使用搜索手冊
現(xiàn)在，您已得到了系統(tǒng)中的所有數(shù)據(jù)...那么您想用它來做什么？首先使用 Splunk 的強大搜索功能來查找任何內(nèi)容，
而不只是少數(shù)預(yù)先確定的字段。結(jié)合使用時間和術(shù)語搜索。在 IT 基礎(chǔ)結(jié)構(gòu)的每個層之間查找錯誤，并追蹤在系統(tǒng)發(fā)
生故障之前的極短時間內(nèi)的配置更改。
本手冊介紹搜索語言以及如何在 Splunk 中編寫搜索。
在您開始閱讀相關(guān)搜索內(nèi)容之前，請確保以下幾點：
您有權(quán)訪問本地計算機或遠程服務(wù)器中的數(shù)據(jù)。閱讀《數(shù)據(jù)導(dǎo)入手冊》中有關(guān)如何將數(shù)據(jù)導(dǎo)入 Splunk 的更多
信息。
了解 Splunk 中索引的運作方式。閱讀《管理索引器手冊》中有關(guān) Splunk 如何處理數(shù)據(jù)的詳細信息。
了解字段和知識對象，如來源類型和事件類型。閱讀《知識管理器手冊》中有關(guān) Splunk 知識對象的更多信
息。
熟悉搜索應(yīng)用程序以及搜索和報表儀表板。如果您初次使用 Splunk，“Splunk 教程”是最佳的起點，它會引導(dǎo)您
完成添加數(shù)據(jù)、搜索數(shù)據(jù)以及構(gòu)建簡單的報表和儀表板

關(guān)于搜索管道

您可能聽說過用來描述 Splunk 搜索的“搜索管道”這個術(shù)語�！八阉鞴艿馈笔侵� Splunk 搜索的結(jié)構(gòu)，在此結(jié)構(gòu)中，多個
連續(xù)命令通過管道符 "|" 鏈接在一起。管道符指示 Splunk 使用一個命令（位于管道符左側(cè)）的輸出或結(jié)果作為下一
個命令（位于管道符右側(cè)）的輸入。這樣，您就能夠沿著管道限制或增加每一步的數(shù)據(jù)，直至獲得所需的結(jié)果。
Splunk 搜索從管道開頭的搜索術(shù)語開始執(zhí)行。這些搜索術(shù)語包括關(guān)鍵字、短語、布爾表達式、鍵/值對等，用于指定
要從索引中檢索的事件。
之后可以使用管道符將檢索的事件以輸入形式傳遞搜索命令。搜索命令會指示 Splunk 在從索引中檢索到事件之后如
何處理它們。例如，您可能使用命令篩選不需要的信息、提取更多的信息、評估新字段、計算統(tǒng)計信息、重新排序結(jié)
果或創(chuàng)建圖表。有些命令擁有與其關(guān)聯(lián)的函數(shù)和參數(shù)。您可以利用這些函數(shù)及其參數(shù)來指定命令如何操作結(jié)果以及要
操作哪些字段；例如，如何創(chuàng)建圖表、要計算何種類型的統(tǒng)計信息以及要評估哪些字段。有些命令還允許您使用子句
來指定對搜索結(jié)果的分組方式。

搜索語言組件

Splunk 搜索語言包括所有搜索命令及其函數(shù)、參數(shù)和子句。搜索命令會指示 Splunk 如何處理從索引中檢索到的事
件。例如，您需要使用某一命令篩選不需要的信息、提取更多的信息、評估新字段、計算統(tǒng)計信息、重新排序結(jié)果或
創(chuàng)建圖表。
有些搜索命令擁有與其關(guān)聯(lián)的函數(shù)和參數(shù)。您可以利用這些函數(shù)及其參數(shù)來指定命令如何操作結(jié)果和/或命令操作哪
些字段。例如，您使用函數(shù)來設(shè)置圖表中的數(shù)據(jù)格式、描述要計算的統(tǒng)計信息類型以及指定要評估的字段。有些命令
還允許您使用子句來指定對搜索結(jié)果的分組方式。