Splunk-검색 매크로
검색 매크로는 다른 검색에 삽입 할 수있는 재사용 가능한 SPL (Search Processing Language) 블록입니다. 데이터 세트의 다른 부분이나 값에 대해 동일한 검색 논리를 동적으로 사용하려는 경우에 사용됩니다. 인수를 동적으로 사용할 수 있으며 검색 결과는 새 값에 따라 업데이트됩니다.
매크로 생성
검색 매크로를 생성하려면 settings → Advanced Search → Search macros → Add new. 그러면 매크로 생성을 시작하는 아래 화면이 나타납니다.
매크로 시나리오
파일 크기에 대한 다양한 통계를 web_applications로그. 통계는 로그의 바이트 필드를 사용하여 파일 크기의 최대, 최소 및 평균 값에 대한 것입니다. 결과는 로그에 나열된 각 파일에 대해 이러한 통계를 표시해야합니다.
따라서 여기서 통계 유형은 본질적으로 동적입니다. 통계 함수의 이름은 매크로에 인수로 전달됩니다.
매크로 정의
다음으로 아래 화면과 같이 다양한 속성을 설정하여 매크로를 정의합니다. 매크로 이름에는 (1)이 포함되어 있으며 검색 문자열에 사용될 때 매크로에 전달 될 인수가 하나 있음을 나타냅니다.fun 검색 쿼리에서 실행하는 동안 매크로에 전달 될 인수입니다.
매크로 사용
매크로를 사용하려면 검색 문자열의 일부로 만듭니다. 인수에 대해 다른 값을 전달하면 예상대로 다른 결과가 표시됩니다.
파일의 평균 크기 (바이트)를 찾는 것을 고려하십시오. avg를 인수로 전달하고 아래와 같은 결과를 얻습니다. 매크로는 검색 쿼리의 일부로`기호 아래에 유지되었습니다.
마찬가지로 로그에있는 각 파일의 최대 파일 크기를 원하면 다음을 사용합니다. max인수로. 결과는 아래와 같습니다.