Splunk-인덱스 관리

인덱싱은 검색중인 데이터에 숫자 주소를 제공하여 검색 프로세스의 속도를 높이는 메커니즘입니다. Splunk 인덱싱은 데이터베이스의 인덱싱 개념과 유사합니다. Splunk를 설치하면 다음과 같이 세 가지 기본 인덱스가 생성됩니다.

• main − 처리 된 모든 데이터가 저장되는 Splunk의 기본 인덱스입니다.

• Internal −이 인덱스는 Splunk의 내부 로그 및 처리 메트릭이 저장되는 곳입니다.

• audit −이 인덱스는 파일 시스템 변경 모니터, 감사 및 모든 사용자 기록과 관련된 이벤트를 포함합니다.

Splunk 인덱서는 인덱스를 생성하고 유지합니다. Splunk에 데이터를 추가하면 인덱서가 데이터를 처리하고 지정된 인덱스 (기본적으로 기본 인덱스 또는 사용자가 식별 한 인덱스)에 저장합니다.

색인 확인

다음으로 이동하여 기존 인덱스를 볼 수 있습니다. Settings → IndexesSplunk에 로그인 한 후. 아래 이미지는 옵션을 보여줍니다.

인덱스를 더 클릭하면 Splunk에서 이미 캡처 된 데이터에 대해 Splunk가 유지 관리하는 인덱스 목록을 볼 수 있습니다. 아래 이미지는 그러한 목록을 보여줍니다.

새 색인 생성

Splunk에 저장된 데이터로 원하는 크기의 새 인덱스를 만들 수 있습니다. 제공되는 추가 데이터는 새로 생성 된 색인을 사용할 수 있지만 더 나은 검색 기능을 제공합니다. 색인을 만드는 단계는 다음과 같습니다.Settings → Indexes → New Index. 인덱스 이름과 메모리 할당 등을 언급하는 아래 화면이 나타납니다.

이벤트 인덱싱

위의 색인을 생성 한 후이 특정 색인에 의해 색인이 생성되도록 이벤트를 구성 할 수 있습니다. 이벤트 유형을 선택합니다. 경로 사용Settings → Data Inputs → Files & Directories. 그런 다음 새로 생성 된 이벤트에 첨부 할 이벤트의 특정 파일을 선택합니다. 아래 이미지에서 볼 수 있듯이 index_web_app이라는 인덱스를이 특정 파일에 할당했습니다.