Splunk - Макросы поиска

Макросы поиска - это многократно используемые блоки языка обработки поиска (SPL), которые можно вставлять в другие поисковые запросы. Они используются, когда вы хотите динамически использовать одну и ту же логику поиска для разных частей или значений в наборе данных. Они могут принимать аргументы динамически, и результат поиска будет обновляться в соответствии с новыми значениями.

Создание макроса

Чтобы создать макрос поиска, мы переходим к settings → Advanced Search → Search macros → Add new. Это вызывает экран ниже, где мы начинаем создавать макрос.

Макросценарий

Мы хотим показать различную статистику о размере файла из web_applicationsжурнал. Статистика представляет собой максимальное, минимальное и среднее значение размера файла с использованием поля байтов в журнале. В результате должна отобразиться эта статистика для каждого файла, указанного в журнале.

Так что здесь тип статистики носит динамический характер. Имя функции статистики будет передано макросу в качестве аргумента.

Определение макроса

Затем мы определяем макрос, устанавливая различные свойства, как показано на экране ниже. Имя макроса содержит (1), что указывает на то, что есть один аргумент, который должен быть передан макросу, когда он используется в строке поиска.fun - аргумент, который будет передан макросу во время выполнения в поисковом запросе.

Использование макроса

Чтобы использовать макрос, мы делаем его частью строки поиска. При передаче разных значений аргументу мы видим разные результаты, как и ожидалось.

Попробуйте найти средний размер файлов в байтах. Мы передаем avg в качестве аргумента и получаем результат, как показано ниже. Макрос оставлен под знаком `как часть поискового запроса.

Точно так же, если нам нужен максимальный размер файла для каждого файла, присутствующего в журнале, мы используем maxв качестве аргумента. Результат показан ниже.