Splunk-지식 관리
Splunk 지식 관리는 Splunk Enterprise 구현을위한 지식 개체의 유지 관리에 관한 것입니다.
아래는 main features of knowledge management −
지식 개체가 조직의 적절한 그룹에 의해 공유되고 사용되는지 확인합니다.
지식 개체 명명 규칙을 구현하고 중복되거나 사용되지 않는 개체를 폐기하여 이벤트 데이터를 정규화합니다.
향상된 검색 및 피벗 성능을위한 전략을 감독합니다 (보고서 가속화, 데이터 모델 가속화, 요약 인덱싱, 배치 모드 검색).
Pivot 사용자를위한 데이터 모델을 구축합니다.
지식 개체
데이터에 대한 특정 정보를 가져 오는 것은 Splunk 객체입니다. 지식 개체를 만들 때이를 비공개로 유지하거나 다른 사용자와 공유 할 수 있습니다. 지식 객체의 예는 저장된 검색, 태그, 필드 추출, 조회 등입니다.
지식 객체의 사용
Splunk 소프트웨어를 사용하면 지식 개체가 생성되고 저장됩니다. 그러나 중복 된 정보를 포함하거나 의도 된 모든 청중이 효과적으로 사용하지 못할 수 있습니다. 이러한 문제를 해결하려면 이러한 개체를 관리해야합니다. 이를 적절히 분류 한 다음 적절한 권한 관리를 사용하여이를 처리합니다. 다음은 다양한 지식 객체의 용도와 분류입니다.
필드 및 필드 추출
필드 및 필드 추출은 Splunk 소프트웨어 지식의 첫 번째 계층입니다. IT 데이터에서 Splunk 소프트웨어에서 자동으로 추출 된 필드는 원시 데이터에 의미를 부여하는 데 도움이됩니다. 수동으로 추출 된 필드는이 의미 계층을 확장하고 개선합니다.
이벤트 유형 및 거래
이벤트 유형 및 트랜잭션을 사용하여 흥미로운 유사한 이벤트 세트를 그룹화하십시오. 이벤트 유형은 검색을 통해 발견 된 이벤트 세트를 함께 그룹화합니다. 트랜잭션은 시간에 걸친 개념적으로 관련된 이벤트의 모음입니다.
조회 및 워크 플로 작업
조회 및 워크 플로 작업은 다양한 방식으로 데이터의 유용성을 확장하는 지식 개체의 범주입니다. 필드 조회를 사용하면 정적 테이블 (CSV 파일) 또는 Python 기반 명령과 같은 외부 데이터 원본의 데이터에 필드를 추가 할 수 있습니다. 워크 플로 작업을 사용하면 데이터의 필드와 다른 애플리케이션 또는 웹 리소스 (예 : IP 주소가 포함 된 필드에 대한 WHOIS 조회) 간의 상호 작용이 가능합니다.
태그 및 별칭
태그와 별칭은 필드 정보 세트를 관리하고 정규화하는 데 사용됩니다. 태그 및 별칭을 사용하여 관련 필드 값 집합을 함께 그룹화하고 해당 ID의 다양한 측면을 반영하는 추출 된 필드 태그를 제공 할 수 있습니다. 예를 들어, 각 호스트에 동일한 태그를 지정하여 특정 위치 (예 : 건물 또는 도시)에있는 호스트 세트의 이벤트를 함께 그룹화 할 수 있습니다.
동일한 데이터를 참조하기 위해 서로 다른 필드 이름을 사용하는 두 개의 서로 다른 소스가있는 경우 별칭을 사용하여 데이터를 정규화 할 수 있습니다 (예 : clientip 별칭을 ipaddress로 지정).
데이터 모델
데이터 모델은 하나 이상의 데이터 세트를 표현한 것으로, Pivot 도구를 구동하여 Pivot 사용자가 Splunk 소프트웨어 검색 언어와 상호 작용할 필요없이 유용한 테이블, 복잡한 시각화 및 강력한 보고서를 빠르게 생성 할 수 있도록합니다. 데이터 모델은 색인화 된 데이터의 형식과 의미를 완전히 이해하는 지식 관리자가 설계합니다. 일반적인 데이터 모델은 다른 지식 객체 유형을 사용합니다.
다음 장에서 이러한 지식 객체의 몇 가지 예를 논의 할 것입니다.