25、扩展 Splunk：脚本与命令行的高级应用

扩展 Splunk：脚本与命令行的高级应用

1. 扩展 Splunk 概述

虽然 Splunk 的核心是封闭的，但可以通过脚本或外部代码来扩展其默认行为。主要涵盖以下方面：
- 编写脚本创建事件
- 从命令行使用 Splunk
- 通过 REST 调用 Splunk
- 编写自定义搜索命令
- 编写事件类型渲染器
- 编写自定义搜索操作脚本

示例代码包含在 ImplementingSplunkExtendingExamples 应用中，可从 Packt 出版网站的支持页面（www.packtpub.com/support）下载。

2. 编写脚本输入以收集数据

脚本输入允许按计划运行代码，并将输出捕获，就像将其写入文件一样。脚本的语言和位置无关紧要，只要可执行即可。

2.1 捕获无日期的脚本输出

脚本输出常见问题是缺乏可预测的日期或日期格式。此时，可让 Splunk 不尝试解析日期，而是使用当前日期。以下是列出开放网络连接的脚本：

from subprocess import Popen
from subprocess import PIPE
from collections import defaultdict
import re

def add_to_key(fieldname, fields):
    return " " + fieldname + "+" + fields[fieldname]

output = Popen("ne