15、提升查询效率：Splunk 中的摘要索引与 CSV 文件应用

提升查询效率：Splunk 中的摘要索引与 CSV 文件应用

1. 摘要索引基础

在数据查询中，随着查询检索的事件数量增加，性能会呈线性下降。摘要索引则能预先计算统计信息，然后基于这些“汇总”数据运行报告，极大地提升性能。

1.1 理解摘要索引

摘要索引是用于存储 Splunk 计算出的事件的地方。通常，这些事件是按时间划分的原始事件的聚合，例如每小时发生的错误数量。按小时计算这些信息后，对更长时间段（如天、周或月）进行查询就变得既经济又快捷。

摘要索引通常通过启用摘要索引功能的保存搜索来填充，这是最常见但并非唯一的方式。在磁盘上，摘要索引与其他 Splunk 索引相同，区别仅在于数据来源。我们可以像创建其他索引一样，通过配置或 GUI 来创建摘要索引，并以相同的方式管理其大小。可以将索引想象成一个表，或者典型 SQL 数据库中的表空间。索引受大小和/或时间限制，类似于表空间，但所有数据都存储在一起，类似于表。

1.2 创建摘要索引

创建索引的步骤如下：
1. 导航至“Manager | Indexes | Add new”。
2. 为新索引命名并接受默认值。建议为摘要索引命名时遵循一定的命名约定，例如在名称开头加上“summary”。

2. 何时使用摘要索引

当需要回答的问题涉及查看给定源类型的所有或大部分事件时，事件数量可能会迅速变得庞大，这通常被称为“密集搜索”。

例如，要了解网站的页面浏览量，查询必须检查每个事件。由于每个查询都使用一个处理器，实际上是在衡量磁盘检索原始数据的速度以及单个处理器解压缩数据的速度。计算如下：