Splunk - Ereignistypen

In der Splunk-Suche können wir unsere eigenen Ereignisse aus einem Datensatz basierend auf bestimmten Kriterien entwerfen. Beispielsweise suchen wir nur nach Ereignissen mit einem http-Statuscode von 200. Dieses Ereignis kann jetzt als Ereignistyp mit dem benutzerdefinierten Namen als gespeichert werdenstatus200 und verwenden Sie diesen Ereignisnamen als Teil zukünftiger Suchvorgänge.

Kurz gesagt, ein Ereignistyp stellt eine Suche dar, die einen bestimmten Ereignistyp oder eine nützliche Sammlung von Ereignissen zurückgibt. Jedes Ereignis, das von der Suche zurückgegeben werden kann, wird mit diesem Ereignistyp verknüpft.

Ereignistyp erstellen

Es gibt zwei Möglichkeiten, einen Ereignistyp zu erstellen, nachdem wir die Suchkriterien festgelegt haben. Eins ist zuruneine Suche und speichern Sie es dann als Ereignistyp. Ein anderer ist zuadd a new Event Type from the settings tab. In diesem Abschnitt werden beide Möglichkeiten zur Erstellung beschrieben.

Verwenden einer Suche

Betrachten Sie die Suche nach Ereignissen mit den Kriterien für einen erfolgreichen http-Status von 200 und dem Ereignistyp, der an einem Mittwoch ausgeführt wird. Nach dem Ausführen der Suchabfrage können wir auswählenSave As Option zum Speichern der Abfrage als Ereignistyp.

Im nächsten Bildschirm werden Sie aufgefordert, einen Namen für den Ereignistyp anzugeben, ein optionales Tag auszuwählen und dann eine Farbe auszuwählen, mit der die Ereignisse hervorgehoben werden. Die Prioritätsoption entscheidet, welcher Ereignistyp zuerst angezeigt wird, falls zwei oder mehr Ereignistypen mit demselben Ereignis übereinstimmen.

Schließlich können wir sehen, dass der Ereignistyp erstellt wurde, indem Sie zu gehen Settings → Event Types Möglichkeit.

Neuen Ereignistyp verwenden

Die andere Option zum Erstellen eines neuen Ereignistyps ist die Verwendung von Settings → Event Types Option wie unten gezeigt, wo wir einen neuen Ereignistyp hinzufügen können -

Beim Klicken auf die Schaltfläche New Event Type Im folgenden Bildschirm wird dieselbe Abfrage wie im vorherigen Abschnitt hinzugefügt.

Anzeigen des Ereignistyps

Um das oben erstellte Ereignis anzuzeigen, können Sie die folgende Suchabfrage in das Suchfeld schreiben und die resultierenden Ereignisse zusammen mit der Farbe anzeigen, die wir für den Ereignistyp ausgewählt haben.

Verwenden des Ereignistyps

Wir können den Ereignistyp zusammen mit anderen Abfragen verwenden. Hier geben wir einige Teilkriterien aus dem Ereignistyp an. Das Ergebnis ist eine Mischung aus Ereignissen, die die farbigen und nicht farbigen Ereignisse im Ergebnis anzeigen.