Splunk-フィールド検索

Splunkは、アップロードされたマシンデータを読み取るときに、データを解釈し、データレコード全体に関する単一の論理的事実を表す多くのフィールドに分割します。

たとえば、単一の情報レコードには、サーバー名、イベントのタイムスタンプ、ログイン試行かhttp応答かを問わず、ログに記録されるイベントのタイプなどが含まれる場合があります。構造化されていないデータの場合でも、Splunkはフィールドをキー値に分割しようとします。ペアにするか、データタイプ、数値、文字列などに基づいて分離します。

前の章でアップロードされたデータを続けると、からのフィールドを見ることができます secure.log次の画面を開く[フィールドの表示]リンクをクリックしてファイルを作成します。Splunkがこのログファイルから生成したフィールドに気付くことができます。

フィールドの選択

すべてのフィールドのリストからフィールドを選択または選択解除することにより、表示するフィールドを選択できます。をクリックするall fieldsすべてのフィールドのリストを表示するウィンドウを開きます。これらのフィールドの一部には、すでに選択されていることを示すチェックマークが付いています。チェックボックスを使用して、表示するフィールドを選択できます。

フィールドの名前に加えて、フィールドが持つ個別の値の数、そのデータ型、およびこのフィールドが存在するイベントの割合が表示されます。