Splunk - Управление знаниями
Управление знаниями Splunk - это обслуживание объектов знаний для реализации Splunk Enterprise.
Ниже приведены main features of knowledge management -
Убедитесь, что объекты знаний распространяются и используются нужными группами людей в организации.
Нормализуйте данные событий, реализуя соглашения об именах объектов знаний и удаляя повторяющиеся или устаревшие объекты.
Наблюдайте за стратегиями для повышения производительности поиска и сводок (ускорение отчетов, ускорение модели данных, сводное индексирование, поиск в пакетном режиме).
Создавайте модели данных для пользователей Pivot.
Объект знаний
Это объект Splunk для получения конкретной информации о ваших данных. Создавая объект знаний, вы можете оставить его частным или поделиться им с другими пользователями. Примеры объектов знаний: сохраненные поисковые запросы, теги, извлечения полей, поиски и т. Д.
Использование объектов знаний
При использовании программного обеспечения Splunk объекты знаний создаются и сохраняются. Но они могут содержать повторяющуюся информацию или не могут эффективно использоваться всей целевой аудиторией. Чтобы решить такие проблемы, нам нужно управлять этими объектами. Это достигается путем их правильной классификации и последующего использования надлежащего управления разрешениями для их обработки. Ниже приведены использование и классификация различных объектов знаний -
Поля и извлечения полей
Поля и извлечения полей - это первый уровень знаний о программном обеспечении Splunk. Поля, автоматически извлекаемые программой Splunk из ИТ-данных, помогают придать смысл необработанным данным. Поля, извлеченные вручную, расширяют и улучшают этот уровень смысла.
Типы событий и транзакции
Используйте типы событий и транзакции, чтобы сгруппировать интересные наборы похожих событий. Типы событий группируют вместе наборы событий, обнаруженных в результате поиска. Транзакции - это совокупность концептуально связанных событий, охватывающих время.
Поиск и действия в рабочем процессе
Поисковые запросы и действия рабочего процесса - это категории объектов знаний, которые различными способами расширяют полезность ваших данных. Поиск полей позволяет вам добавлять поля к вашим данным из внешних источников данных, таких как статические таблицы (файлы CSV) или команды на основе Python. Действия рабочего процесса обеспечивают взаимодействие между полями ваших данных и другими приложениями или веб-ресурсами, например поиск в WHOIS по полю, содержащему IP-адрес.
Теги и псевдонимы
Теги и псевдонимы используются для управления наборами полевой информации и их нормализации. Вы можете использовать теги и псевдонимы, чтобы группировать наборы связанных значений полей вместе и давать извлеченные теги полей, которые отражают различные аспекты их идентичности. Например, вы можете группировать события от множества хостов в определенном месте (таком как здание или город) вместе, присвоив каждому хосту один и тот же тег.
Если у вас есть два разных источника, использующих разные имена полей для ссылки на одни и те же данные, вы можете нормализовать свои данные, используя псевдонимы (например, с помощью псевдонима clientip к ipaddress).
Модели данных
Модели данных - это представления одного или нескольких наборов данных, и они управляют инструментом Pivot, позволяя пользователям Pivot быстро создавать полезные таблицы, сложные визуализации и надежные отчеты без необходимости взаимодействия с языком поиска программного обеспечения Splunk. Модели данных разрабатываются менеджерами по знаниям, которые полностью понимают формат и семантику своих индексированных данных. Типичная модель данных использует другие типы объектов знаний.
Мы обсудим некоторые примеры этих объектов знаний в следующих главах.