Splunk - Типы источников

Все входящие в Splunk данные сначала оцениваются встроенным блоком обработки данных и классифицируются по определенным типам и категориям данных. Например, если это журнал с веб-сервера Apache, Splunk может распознать это и создать соответствующие поля из прочитанных данных.

Эта функция в Splunk называется определением типа источника и для этого использует встроенные типы источников, известные как «предварительно обученные» типы источников.

Это упрощает анализ, поскольку пользователю не нужно вручную классифицировать данные и назначать какие-либо типы данных полям входящих данных.

Поддерживаемые типы источников

Поддерживаемые типы источников в Splunk можно увидеть, загрузив файл через Add Data, а затем выберите раскрывающийся список для Типа источника. На изображении ниже мы загрузили файл CSV, а затем проверили все доступные параметры.

Подкатегория типа источника

Даже в этих категориях мы можем дополнительно щелкнуть, чтобы увидеть все поддерживаемые подкатегории. Поэтому, когда вы выбираете категорию базы данных, вы можете найти различные типы баз данных и поддерживаемые ими файлы, которые Splunk может распознать.

Предварительно обученные типы источников

В таблице ниже перечислены некоторые из важных предварительно обученных типов источников, которые распознает Splunk.

Название типа источника	Природа
access_combined	Журналы веб-сервера http в комбинированном формате NCSA (могут быть созданы с помощью apache или других веб-серверов)
access_combined_wcookie	Журналы веб-сервера http в комбинированном формате NCSA (могут быть сгенерированы apache или другими веб-серверами) с добавлением поля cookie в конце
apache_error	Стандартный журнал ошибок веб-сервера Apache
linux_messages_syslog	Стандартный системный журнал linux (/ var / log / messages на большинстве платформ)
log4j	Стандартный вывод Log4j, производимый любым сервером J2EE с использованием log4j
mysqld_error	Стандартный журнал ошибок mysql