Splunk - การลบข้อมูล

การลบข้อมูลออกจาก Splunk ทำได้โดยใช้ไฟล์ deleteคำสั่ง ก่อนอื่นเราสร้างเงื่อนไขการค้นหาเพื่อดึงข้อมูลเหตุการณ์ที่เราต้องการทำเครื่องหมายเพื่อลบ เมื่อเงื่อนไขการค้นหาเป็นที่ยอมรับเราจะเพิ่มส่วนคำสั่งลบที่ท้ายคำสั่งเพื่อลบเหตุการณ์เหล่านั้นออกจาก Splunk หลังจากการลบไม่มีแม้แต่ผู้ใช้ที่มีสิทธิ์ระดับผู้ดูแลระบบก็สามารถดูข้อมูลนี้ใน Splunk ได้

การลบข้อมูลไม่สามารถย้อนกลับได้ หากคุณยังต้องการให้ข้อมูลที่ถูกลบกลับไปที่ Splunk คุณควรมีสำเนาข้อมูลต้นฉบับติดตัวซึ่งสามารถใช้เพื่อจัดทำดัชนีข้อมูลใน Splunk มันจะเป็นกระบวนการที่คล้ายกับการสร้างดัชนีใหม่

การกำหนดสิทธิ์การลบ

ผู้ใช้ใด ๆ รวมถึงผู้ใช้ที่เป็นผู้ดูแลระบบจะไม่มีสิทธิ์เข้าถึงเพื่อลบข้อมูลตามค่าเริ่มต้น โดยค่าเริ่มต้นเฉพาะไฟล์"can_delete"บทบาทมีความสามารถในการลบเหตุการณ์ ดังนั้นเราจึงสร้างผู้ใช้ใหม่กำหนดบทบาทนี้จากนั้นเข้าสู่ระบบด้วยข้อมูลประจำตัวของผู้ใช้ใหม่นี้เพื่อดำเนินการลบ ภาพด้านล่างแสดงให้เห็นว่าเราสร้างผู้ใช้ใหม่ด้วยบทบาท“ can_delete” ได้อย่างไร เรามาถึงหน้าจอนี้ตามเส้นทางSettings → Access Controls → Users → New User.

จากนั้นเราออกจากอินเทอร์เฟซ Splunk และล็อกอินกลับด้วยผู้ใช้ที่สร้างขึ้นใหม่นี้

การระบุข้อมูลที่จะลบ

ขั้นแรกเราต้องระบุรายการเหตุการณ์ที่เราต้องการลบ ทำได้โดยใช้คำค้นหาปกติที่ระบุเงื่อนไขตัวกรอง ในตัวอย่างด้านล่างเราเลือกที่จะค้นหาเหตุการณ์จากโฮสต์ web_application ซึ่งมีค่าสถานะ http ของฟิลด์เป็น 505 เป้าหมายของเราคือลบเฉพาะชุดข้อมูลที่มีค่าเหล่านี้เพื่อลบออกจากผลการค้นหา ภาพด้านล่างแสดงชุดข้อมูลที่เลือก