Splunk - Macro di ricerca
Le macro di ricerca sono blocchi riutilizzabili di Search Processing Language (SPL) che è possibile inserire in altre ricerche. Vengono utilizzati quando si desidera utilizzare la stessa logica di ricerca su parti o valori diversi nel set di dati in modo dinamico. Possono accettare argomenti dinamicamente e il risultato della ricerca verrà aggiornato secondo i nuovi valori.
Creazione di macro
Per creare la macro di ricerca, andiamo al file settings → Advanced Search → Search macros → Add new. Questo fa apparire la schermata sottostante in cui iniziamo a creare la macro.
Scenario macro
Vogliamo mostrare varie statistiche sulla dimensione del file dal web_applicationslog. Le statistiche riguardano il valore massimo, minimo e medio della dimensione del file utilizzando il campo byte nel registro. Il risultato dovrebbe visualizzare queste statistiche per ogni file elencato nel registro.
Quindi qui il tipo di statistiche è di natura dinamica. Il nome della funzione stats verrà passato come argomento alla macro.
Definizione della macro
Successivamente, definiamo la macro impostando varie proprietà come mostrato nella schermata seguente. Il nome della macro contiene (1), che indica che c'è un argomento da passare alla macro quando viene utilizzato nella stringa di ricerca.fun è l'argomento che verrà passato alla macro durante l'esecuzione nella query di ricerca.
Utilizzo della macro
Per utilizzare la macro, la rendiamo parte della stringa di ricerca. Passando valori diversi per l'argomento, vediamo risultati diversi come previsto.
Considera l'idea di trovare la dimensione media in byte dei file. Passiamo avg come argomento e otteniamo il risultato come mostrato di seguito. La macro è stata mantenuta sotto il segno come parte della query di ricerca.
Allo stesso modo, se vogliamo la dimensione massima del file per ciascuno dei file presenti nel registro, allora usiamo maxcome argomento. Il risultato è come mostrato di seguito.