Splunk - ประเภทเหตุการณ์

ในการค้นหา Splunk เราสามารถออกแบบเหตุการณ์ของเราเองจากชุดข้อมูลตามเกณฑ์ที่กำหนด ตัวอย่างเช่นเราค้นหาเฉพาะเหตุการณ์ที่มีรหัสสถานะ http เป็น 200 เหตุการณ์นี้สามารถบันทึกเป็นประเภทเหตุการณ์ด้วยชื่อที่ผู้ใช้กำหนดเป็นstatus200 และใช้ชื่อเหตุการณ์นี้เป็นส่วนหนึ่งของการค้นหาในอนาคต

กล่าวโดยย่อประเภทเหตุการณ์หมายถึงการค้นหาที่ส่งคืนประเภทของเหตุการณ์ที่เฉพาะเจาะจงหรือคอลเล็กชันเหตุการณ์ที่เป็นประโยชน์ ทุกเหตุการณ์ที่สามารถส่งคืนได้โดยการค้นหาจะได้รับการเชื่อมโยงกับประเภทเหตุการณ์นั้น

การสร้างประเภทเหตุการณ์

มีสองวิธีในการสร้างประเภทเหตุการณ์หลังจากที่เราตัดสินใจเกณฑ์การค้นหาแล้ว หนึ่งคือการrunค้นหาแล้วบันทึกเป็นประเภทเหตุการณ์ อีกประการหนึ่งคือการadd a new Event Type from the settings tab. เราจะเห็นทั้งสองวิธีในการสร้างในส่วนนี้

การใช้การค้นหา

พิจารณาค้นหาเหตุการณ์ที่มีเกณฑ์ค่าสถานะ http ที่สำเร็จ 200 และประเภทเหตุการณ์ทำงานในวันพุธ หลังจากเรียกใช้คำค้นหาเราสามารถเลือกได้Save As ตัวเลือกในการบันทึกแบบสอบถามเป็นประเภทเหตุการณ์

หน้าจอถัดไปจะแจ้งให้ตั้งชื่อประเภทเหตุการณ์เลือกแท็กซึ่งเป็นทางเลือกจากนั้นเลือกสีที่จะไฮไลต์เหตุการณ์ ตัวเลือกลำดับความสำคัญจะตัดสินใจว่าจะแสดงประเภทเหตุการณ์ใดก่อนในกรณีที่ประเภทเหตุการณ์สองประเภทขึ้นไปตรงกับเหตุการณ์เดียวกัน

ในที่สุดเราจะเห็นว่า Event Type ถูกสร้างขึ้นโดยไปที่ไฟล์ Settings → Event Types ตัวเลือก

การใช้ประเภทเหตุการณ์ใหม่

ตัวเลือกอื่นในการสร้างประเภทเหตุการณ์ใหม่คือการใช้ไฟล์ Settings → Event Types ตัวเลือกดังที่แสดงด้านล่างซึ่งเราสามารถเพิ่มประเภทเหตุการณ์ใหม่ -

เมื่อคลิกปุ่ม New Event Type เราได้รับหน้าจอต่อไปนี้เพื่อเพิ่มแบบสอบถามเดียวกันกับในส่วนก่อนหน้า

การดูประเภทเหตุการณ์

หากต้องการดูเหตุการณ์ที่เราเพิ่งสร้างขึ้นด้านบนเราสามารถเขียนคำค้นหาด้านล่างในช่องค้นหาและเราสามารถดูเหตุการณ์ที่เกิดขึ้นพร้อมกับสีที่เราเลือกสำหรับประเภทเหตุการณ์

การใช้ประเภทเหตุการณ์

เราสามารถใช้ประเภทเหตุการณ์ร่วมกับแบบสอบถามอื่น ๆ ในที่นี้เราจะระบุเกณฑ์บางส่วนจากประเภทเหตุการณ์และผลลัพธ์คือการผสมผสานของเหตุการณ์ที่แสดงเหตุการณ์ที่มีสีและไม่มีสีในผลลัพธ์