20、Splunk配置指南

Splunk配置指南

1. 事件标记与检索优化

如果预先知道 req_time > 999 是不良情况，并且能编写正则表达式来定义不良事件，就可以对这些事件进行标记以便快速检索。例如，在 transforms.conf 中添加如下配置：

[myapp_slow]
REGEX = req_time=\d{4,}
FORMAT = slow_request::1
WRITE_META = True

此正则表达式会匹配任何包含 req_time= 后跟四位或更多数字的事件。在 fields.conf 中添加 slow_request 字段后，就可以通过搜索 slow_request=1 高效地找到所有慢速事件。不过，此方法不适用于在该转换规则创建之前已索引的事件。若慢速事件不常见，这种查询会快很多。

2. 创建主机分类字段

主机名的某些部分通常有特定含义。若这种模式已知且可预测，将这些值提取到字段中是有价值的。以主机名 vlbmba.local 为例，可创建 owner 和 hosttype 字段，配置如下：

[host_parts]
SOURCE_KEY = MetaData:Host
REGEX