splunk学习笔记——lookup table

最新推荐文章于 2024-05-13 11:10:27 发布

林动破千穹

最新推荐文章于 2024-05-13 11:10:27 发布

阅读量6.3k

点赞数 1

分类专栏： splunk 安全文章标签： splunk

本文链接：https://blog.youkuaiyun.com/Cwiky_1993/article/details/72679946

版权

本文记录了如何在Splunk中利用lookup表查找近一个月未使用邮箱的用户。首先，根据需求和官方文档了解到inputlookup命令能满足条件。接着，详细介绍了将CSV文件mail.csv导入为查找表的步骤，包括上传文件和定义查找表。最后，通过inputlookup查询，找出邮件日志中未出现的用户名，以达到目标。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1.需求

查找近一个月内没有使用过邮箱的用户

2.准备

通过查询官方文档《Search Reference》，inputlookup命令可以满足需求。
数据准备：
a. 邮件日志：mail-iislog
b. 所有用户的邮箱地址文件mail.csv（必须是csv格式）
目的：查找在mail.csv中出现，但在mail-iislog中没有出现的用户名
实现：
a. 导入mail.csv到splunk中作为查找表，inputlookup命令查找该表的所有的User
b. 查找mail-iislog中所有的User
c. 在mail.csv中搜索不是mail-iislog的User