Splunk - Ottimizzazione della ricerca
Splunk include già le funzionalità di ottimizzazione, analizza ed elabora le tue ricerche per la massima efficienza. Questa efficienza si ottiene principalmente attraverso i seguenti due obiettivi di ottimizzazione:
Early Filtering- Queste ottimizzazioni filtrano i risultati molto presto in modo che la quantità di dati elaborati venga ridotta il prima possibile durante il processo di ricerca. Questo filtro anticipato evita ricerche e calcoli di valutazione non necessari per eventi che non fanno parte dei risultati finali della ricerca.
Parallel Processing - Le ottimizzazioni integrate possono riordinare l'elaborazione della ricerca, in modo che il maggior numero di comandi possibile venga eseguito in parallelo sugli indicizzatori prima di inviare i risultati della ricerca alla testata di ricerca per l'elaborazione finale.
Analisi delle ottimizzazioni di ricerca
Splunk ci ha fornito strumenti per analizzare come funziona l'ottimizzazione della ricerca. Questi strumenti ci aiutano a capire come vengono utilizzate le condizioni di filtro e qual è la sequenza di questi passaggi di ottimizzazione. Ci fornisce anche il costo dei vari passaggi coinvolti nelle operazioni di ricerca.
Esempio
Considera un'operazione di ricerca per trovare gli eventi che contengono le parole: fail, failed o password. Quando inseriamo questa query di ricerca nella casella di ricerca, gli ottimizzatori integrati agiscono automaticamente per decidere il percorso della ricerca. Possiamo verificare quanto tempo ha impiegato la ricerca per restituire un numero specifico di risultati di ricerca e, se necessario, possiamo continuare a controllare ogni singolo passaggio dell'ottimizzazione insieme al costo ad esso associato.
Seguiamo il percorso di Search → Job → Inspect Job per ottenere questi dettagli come mostrato di seguito -
La schermata successiva fornisce i dettagli dell'ottimizzazione che si è verificata per la query precedente. Qui, dobbiamo annotare il numero di eventi e il tempo impiegato per restituire il risultato.
Disattivazione dell'ottimizzazione
Possiamo anche disattivare l'ottimizzazione incorporata e notare la differenza nel tempo impiegato per il risultato della ricerca. Il risultato può o non può essere migliore della ricerca incorporata. Nel caso sia migliore, possiamo sempre scegliere questa opzione per disattivare l'ottimizzazione solo per questa ricerca specifica.
Nel diagramma seguente, utilizziamo il comando Nessuna ottimizzazione presentato come noop nella query di ricerca.
La schermata successiva ci dà il risultato di non utilizzare l'ottimizzazione. Per questa determinata query, i risultati arrivano più velocemente senza utilizzare le ottimizzazioni integrate.
