Splunk - ค้นหามาโคร

มาโครการค้นหาเป็นบล็อกที่ใช้ซ้ำได้ของ Search Processing Language (SPL) ซึ่งคุณสามารถแทรกลงในการค้นหาอื่น ๆ ใช้เมื่อคุณต้องการใช้ตรรกะการค้นหาเดียวกันกับส่วนต่างๆหรือค่าต่างๆในชุดข้อมูลแบบไดนามิก พวกเขาสามารถรับอาร์กิวเมนต์แบบไดนามิกและผลการค้นหาจะได้รับการอัปเดตตามค่าใหม่

การสร้างมาโคร

ในการสร้างมาโครการค้นหาเราไปที่ไฟล์ settings → Advanced Search → Search macros → Add new. ซึ่งจะแสดงหน้าจอด้านล่างที่เราเริ่มสร้างมาโคร

สถานการณ์มาโคร

เราต้องการแสดงสถิติต่างๆเกี่ยวกับขนาดไฟล์จากไฟล์ web_applicationsบันทึก สถิติเป็นค่าสูงสุดค่าต่ำสุดและค่าเฉลี่ยของขนาดไฟล์โดยใช้ฟิลด์ไบต์ในบันทึก ผลลัพธ์ควรแสดงสถิติเหล่านี้สำหรับแต่ละไฟล์ที่แสดงรายการในบันทึก

ดังนั้นประเภทของสถิติที่นี่จึงเป็นแบบไดนามิกตามธรรมชาติ ชื่อของฟังก์ชันสถิติจะถูกส่งเป็นอาร์กิวเมนต์ไปยังมาโคร

การกำหนดมาโคร

ต่อไปเรากำหนดมาโครโดยการตั้งค่าคุณสมบัติต่างๆดังที่แสดงในหน้าจอด้านล่าง ชื่อของแมโครประกอบด้วย (1) ซึ่งบ่งชี้ว่ามีหนึ่งอาร์กิวเมนต์ที่จะถูกส่งไปยังแมโครเมื่อใช้ในสตริงการค้นหาfun คืออาร์กิวเมนต์ที่จะถูกส่งต่อไปยังมาโครระหว่างการดำเนินการในคำค้นหา

การใช้มาโคร

ในการใช้มาโครเราทำให้มันเป็นส่วนหนึ่งของสตริงการค้นหา ในการส่งผ่านค่าที่แตกต่างกันสำหรับอาร์กิวเมนต์เราจะเห็นผลลัพธ์ที่แตกต่างกันตามที่คาดไว้

พิจารณาหาขนาดเฉลี่ยเป็นไบต์ของไฟล์ เราผ่านค่าเฉลี่ยเป็นอาร์กิวเมนต์และได้ผลลัพธ์ตามที่แสดงด้านล่าง มาโครถูกเก็บไว้ภายใต้เครื่องหมาย `เป็นส่วนหนึ่งของคำค้นหา

ในทำนองเดียวกันหากเราต้องการขนาดไฟล์สูงสุดสำหรับแต่ละไฟล์ที่มีอยู่ในบันทึกเราก็จะใช้ maxเป็นข้อโต้แย้ง ผลลัพธ์เป็นดังภาพด้านล่าง