Splunk - Tipi di eventi

Nella ricerca Splunk, possiamo progettare i nostri eventi da un set di dati basato su determinati criteri. Ad esempio, cerchiamo solo gli eventi che hanno un codice di stato http di 200. Questo evento ora può essere salvato come un tipo di evento con un nome definito dall'utente comestatus200 e utilizza questo nome evento come parte delle ricerche future.

In breve, un tipo di evento rappresenta una ricerca che restituisce un tipo specifico di evento o un'utile raccolta di eventi. Ogni evento che può essere restituito dalla ricerca ottiene un'associazione con quel tipo di evento.

Creazione del tipo di evento

Esistono due modi per creare un tipo di evento dopo aver deciso i criteri di ricerca. Uno è quellorununa ricerca e quindi salvarlo come tipo di evento. Un altro èadd a new Event Type from the settings tab. Vedremo entrambi i modi per crearlo in questa sezione.

Utilizzando una ricerca

Considera la ricerca degli eventi che hanno il valore di stato http di 200 e il tipo di evento eseguito di mercoledì. Dopo aver eseguito la query di ricerca, possiamo scegliereSave As opzione per salvare la query come tipo di evento.

La schermata successiva richiede di dare un nome al tipo di evento, scegliere un tag che è opzionale e quindi scegliere un colore con cui verranno evidenziati gli eventi. L'opzione di priorità decide quale tipo di evento verrà visualizzato per primo nel caso in cui due o più tipi di evento corrispondano allo stesso evento.

Infine, possiamo vedere che il tipo di evento è stato creato andando su Settings → Event Types opzione.

Utilizzo del nuovo tipo di evento

L'altra opzione per creare un nuovo tipo di evento è utilizzare il file Settings → Event Types opzione come mostrato di seguito dove possiamo aggiungere un nuovo tipo di evento -

Facendo clic sul pulsante New Event Type otteniamo la seguente schermata per aggiungere la stessa query della sezione precedente.

Visualizzazione del tipo di evento

Per visualizzare l'evento che abbiamo appena creato sopra, possiamo scrivere la seguente query di ricerca nella casella di ricerca e possiamo vedere gli eventi risultanti insieme al colore che abbiamo scelto per il tipo di evento.

Utilizzo del tipo di evento

Possiamo usare il tipo di evento insieme ad altre query. Qui specifichiamo alcuni criteri parziali dal Tipo di evento e il risultato è un mix di eventi che mostra gli eventi colorati e non colorati nel risultato.