Splunk - файлы монитора
Splunk Enterprise отслеживает и индексирует файл или каталог по мере появления новых данных. Вы также можете указать смонтированный или общий каталог, включая сетевые файловые системы, если Splunk Enterprise может читать из каталога. Если указанный каталог содержит подкаталоги, процесс монитора рекурсивно проверяет их на наличие новых файлов, пока каталоги могут быть прочитаны.
Вы можете включить или исключить файлы или каталоги из чтения, используя белые и черные списки.
Если вы отключите или удалите вход монитора, Splunk Enterprise не перестанет индексировать файлы: входные ссылки. Он только перестает проверять эти файлы снова.
Вы указываете путь к файлу или каталогу, и процессор монитора потребляет все новые данные, записанные в этот файл или каталог. Таким образом можно отслеживать журналы приложений в реальном времени, например журналы веб-доступа, приложения платформы Java 2 или .NET и т. Д.
Добавить файлы в монитор
Используя веб-интерфейс Splunk, мы можем добавлять файлы или каталоги для отслеживания. Мы идем вSplunk Home → Add Data → Monitor как показано на изображении ниже -
При нажатии на «Монитор» открывается список типов файлов и каталогов, которые вы можете использовать для отслеживания файлов. Затем мы выбираем файл, который хотим отслеживать.
Затем мы выбираем значения по умолчанию, поскольку Splunk может анализировать файл и автоматически настраивать параметры мониторинга.
После последнего шага мы видим результат ниже, который фиксирует события из файла, которые нужно отслеживать.
Если какое-либо значение в событии изменяется, то приведенный выше результат обновляется, чтобы показать последний результат.