Splunk - Recherches

Dans le résultat d'une requête de recherche, nous obtenons parfois des valeurs qui peuvent ne pas exprimer clairement la signification du champ. Par exemple, nous pouvons obtenir un champ qui répertorie la valeur de l'identifiant du produit sous forme de résultat numérique. Ces chiffres ne nous donneront aucune idée de quel type de produit il s'agit. Mais si nous listons le nom du produit avec l'identifiant du produit, cela nous donne un bon rapport où nous comprenons la signification du résultat de la recherche.

Une telle liaison des valeurs d'un champ à un champ avec le même nom dans un autre ensemble de données utilisant des valeurs égales des deux ensembles de données est appelée un processus de recherche. L'avantage est que nous récupérons les valeurs associées à partir de deux ensembles de données différents.

Étapes de création et d'utilisation du fichier de recherche

Afin de créer avec succès un champ de recherche dans un ensemble de données, nous devons suivre les étapes ci-dessous -

Créer un fichier de recherche

Nous considérons l'ensemble de données avec host comme web_application et regardons le champ productid. Ce champ n'est qu'un nombre, mais nous voulons que les noms de produits soient reflétés dans notre jeu de résultats de requête. Nous créons un fichier de recherche avec les détails suivants. Ici, nous avons conservé le nom du premier champ commeproductid qui est le même que le champ que nous allons utiliser à partir de l'ensemble de données.

productId,productdescription
WC-SH-G04,Tablets
DB-SG-G01,PCs
DC-SG-G02,MobilePhones
SC-MG-G10,Wearables 
WSC-MG-G10,Usb Light
GT-SC-G01,Battery
SF-BVS-G01,Hard Drive

Ajouter le fichier de recherche

Ensuite, nous ajoutons le fichier de recherche à l'environnement Splunk en utilisant les écrans Paramètres comme indiqué ci-dessous -

Après avoir sélectionné les recherches, on nous présente un écran pour créer et configurer la recherche. Nous sélectionnons les fichiers de table de recherche comme indiqué ci-dessous.

Nous parcourons pour sélectionner le fichier productidvals.csvcomme notre fichier de recherche à télécharger et sélectionnez la recherche comme application de destination. Nous conservons également le même nom de fichier de destination.

En cliquant sur le bouton Enregistrer, le fichier est enregistré dans le référentiel Splunk en tant que fichier de recherche.

Créer des définitions de recherche

Pour qu'une requête de recherche puisse rechercher des valeurs à partir du fichier de recherche que nous venons de télécharger ci-dessus, nous devons créer une définition de recherche. Nous faisons cela en allant à nouveauSettings → Lookups → Lookup Definition → Add New .

Ensuite, nous vérifions la disponibilité de la définition de recherche que nous avons ajoutée en allant à Settings → Lookups → Lookup Definition .

Sélection du champ de recherche

Ensuite, nous devons sélectionner le champ de recherche pour notre requête de recherche. Ceci est fait ma va à New search → All Fields . Cochez ensuite la caseproductid qui ajoutera automatiquement le productdescription champ du fichier de recherche également.

Utilisation du champ de recherche

Nous utilisons maintenant le champ de recherche dans la requête de recherche comme indiqué ci-dessous. La visualisation montre le résultat avec le champ productdescription au lieu de productid.