Splunk - Ricerca sul campo
Quando Splunk legge i dati macchina caricati, interpreta i dati e li divide in molti campi che rappresentano un unico fatto logico sull'intero record di dati.
Ad esempio, un singolo record di informazioni può contenere il nome del server, il timestamp dell'evento, il tipo di evento registrato se un tentativo di accesso o una risposta http, ecc. Anche in caso di dati non strutturati, Splunk cerca di dividere i campi in valori chiave accoppia o separali in base ai tipi di dati che hanno, numerico e stringa, ecc.
Continuando con i dati caricati nel capitolo precedente, possiamo vedere i campi del file secure.logfacendo clic sul collegamento mostra campi che aprirà la schermata seguente. Possiamo notare i campi che Splunk ha generato da questo file di registro.
Scegliere i campi
Possiamo scegliere quali campi visualizzare selezionando o deselezionando i campi dall'elenco di tutti i campi. Facendo clic suall fieldsapre una finestra che mostra l'elenco di tutti i campi. Alcuni di questi campi sono contrassegnati da segni di spunta a indicare che sono già selezionati. Possiamo usare le caselle di controllo per scegliere i nostri campi da visualizzare.
Oltre al nome del campo, mostra il numero di valori distinti dei campi, il tipo di dati e la percentuale di eventi in cui è presente questo campo.
Riepilogo del campo
Statistiche molto dettagliate per ogni campo selezionato diventano disponibili facendo clic sul nome del campo. Mostra tutti i valori distinti per il campo, il loro conteggio e le loro percentuali.
Utilizzo dei campi nella ricerca
I nomi dei campi possono anche essere inseriti nella casella di ricerca insieme ai valori specifici per la ricerca. Nell'esempio seguente, ci proponiamo di trovare tutti i record per la data, 15 ottobre per l'host denominatomailsecure_log. Otteniamo il risultato per questa data specifica.