3、探索 Splunk：高效搜索与管理指南

探索 Splunk：高效搜索与管理指南

1. 使用时间选择器

当你查看完所有小部件后，可利用它们来修改搜索。首先是更改搜索时间，在事件较少时，“所有时间”的默认设置没问题，但当 Splunk 收集事件达数周或数月时，这就不是最佳选择了。你可以将搜索时间改为一小时，搜索会重新运行，此时你只能看到最近一小时的结果。你还可以尝试自定义时间，日期是第一个可选项。如果你确切知道事件发生的时间，就可以在这里深入选择所需的时间范围。自定义时间范围使用的时区是用户偏好设置中选择的时区，默认是 Splunk 服务器的时区。

操作步骤如下：
1. 打开搜索界面。
2. 点击时间选择器。
3. 选择“最近一小时”或“自定义时间”。
4. 若选择自定义时间，输入具体的时间范围。
5. 点击“应用”，搜索将重新运行。

2. 使用字段选择器

字段选择器对调查和导航数据非常有用。点击字段选择器中的任何字段，会弹出一个面板，显示该字段在搜索结果中的大量信息。具体信息如下：
- “出现在 X% 的结果中”：告诉你有多少事件包含该字段的值。
- “仅显示包含此字段的事件”：会修改查询，只显示定义了该字段的事件。
- “选择并显示在结果中”：是将字段添加到所选字段的快捷方式。
- “按时间的顶级值”和“总体顶级值”：展示关于此搜索中数据的图表，这是深入进行报告和绘图的好方法。
- 链接下方的图表实际上是总体顶级值的快速表示。点击某个值会将该值添加到查询中。例如，点击“mary”，搜索会重新运行，现在会查找仅影响用户“mary”的错误。回到字段选择器并点击其他字段，会进一步过滤结果。你也可以点击结