Splunk - Controlla i file

Splunk Enterprise monitora e indicizza il file o la directory quando vengono visualizzati nuovi dati. È inoltre possibile specificare una directory montata o condivisa, inclusi i file system di rete, a condizione che Splunk Enterprise possa leggere dalla directory. Se la directory specificata contiene sottodirectory, il processo di monitoraggio le esamina ricorsivamente alla ricerca di nuovi file, purché le directory possano essere lette.

È possibile includere o escludere file o directory dalla lettura utilizzando whitelist e blacklist.

Se disabiliti o elimini un input di monitoraggio, Splunk Enterprise non interrompe l'indicizzazione dei file: riferimenti di input. Smette solo di controllare di nuovo quei file.

Si specifica il percorso di un file o di una directory e il processore del monitor consuma tutti i nuovi dati scritti in quel file o directory. In questo modo è possibile monitorare i registri delle applicazioni live, come quelli provenienti dai registri di accesso Web, dalla piattaforma Java 2 o dalle applicazioni .NET e così via.

Aggiungi file a Monitor

Utilizzando l'interfaccia web di Splunk, possiamo aggiungere file o directory da monitorare. Andiamo aSplunk Home → Add Data → Monitor come mostrato nell'immagine qui sotto -

Facendo clic su Monitor, viene visualizzato l'elenco dei tipi di file e delle directory che è possibile utilizzare per monitorare i file. Successivamente, scegliamo il file che vogliamo monitorare.

Successivamente, scegliamo i valori predefiniti poiché Splunk è in grado di analizzare il file e configurare automaticamente le opzioni per il monitoraggio.

Dopo il passaggio finale, vediamo il risultato di seguito che cattura gli eventi dal file da monitorare.

Se uno qualsiasi dei valori nell'evento cambia, il risultato sopra viene aggiornato per mostrare l'ultimo risultato.