Splunk - การเพิ่มประสิทธิภาพการค้นหา

Splunk มีคุณสมบัติการเพิ่มประสิทธิภาพวิเคราะห์และประมวลผลการค้นหาของคุณเพื่อประสิทธิภาพสูงสุดอยู่แล้ว ประสิทธิภาพนี้ส่วนใหญ่ทำได้จากเป้าหมายการเพิ่มประสิทธิภาพสองประการต่อไปนี้ -

• Early Filtering- การเพิ่มประสิทธิภาพเหล่านี้จะกรองผลลัพธ์เร็วที่สุดเพื่อให้จำนวนข้อมูลที่ประมวลผลลดลงเร็วที่สุดในระหว่างกระบวนการค้นหา ตัวกรองเริ่มต้นนี้จะหลีกเลี่ยงการค้นหาและการคำนวณการประเมินที่ไม่จำเป็นสำหรับเหตุการณ์ที่ไม่ได้เป็นส่วนหนึ่งของผลการค้นหาขั้นสุดท้าย

• Parallel Processing - การเพิ่มประสิทธิภาพในตัวสามารถจัดลำดับการประมวลผลการค้นหาใหม่เพื่อให้รันคำสั่งแบบขนานบนตัวทำดัชนีให้มากที่สุดก่อนที่จะส่งผลการค้นหาไปยังส่วนหัวการค้นหาเพื่อประมวลผลขั้นสุดท้าย

การวิเคราะห์การเพิ่มประสิทธิภาพการค้นหา

Splunk มอบเครื่องมือในการวิเคราะห์ว่าการเพิ่มประสิทธิภาพการค้นหาทำงานอย่างไร เครื่องมือเหล่านี้ช่วยให้เราทราบว่าเงื่อนไขการกรองถูกใช้อย่างไรและลำดับขั้นตอนการเพิ่มประสิทธิภาพเหล่านี้คืออะไร นอกจากนี้ยังช่วยให้เรามีค่าใช้จ่ายสำหรับขั้นตอนต่างๆที่เกี่ยวข้องในการดำเนินการค้นหา

ตัวอย่าง

พิจารณาการดำเนินการค้นหาเพื่อค้นหาเหตุการณ์ที่มีคำว่าล้มเหลวล้มเหลวหรือรหัสผ่าน เมื่อเราใส่คำค้นหานี้ในช่องค้นหาเครื่องมือเพิ่มประสิทธิภาพในตัวจะทำหน้าที่โดยอัตโนมัติเพื่อกำหนดเส้นทางของการค้นหา เราสามารถตรวจสอบได้ว่าการค้นหาใช้เวลานานเพียงใดในการส่งคืนผลการค้นหาจำนวนหนึ่งและหากจำเป็นสามารถตรวจสอบการเพิ่มประสิทธิภาพแต่ละขั้นตอนพร้อมกับค่าใช้จ่ายที่เกี่ยวข้องได้

เราไปตามเส้นทางของ Search → Job → Inspect Job เพื่อรับรายละเอียดดังที่แสดงด้านล่าง -

หน้าจอถัดไปจะให้รายละเอียดของการเพิ่มประสิทธิภาพที่เกิดขึ้นสำหรับข้อความค้นหาข้างต้น ที่นี่เราจำเป็นต้องจดบันทึกจำนวนเหตุการณ์และเวลาที่ใช้ในการส่งคืนผลลัพธ์

กำลังปิดการเพิ่มประสิทธิภาพ

นอกจากนี้เรายังสามารถปิดการเพิ่มประสิทธิภาพในตัวและสังเกตเห็นความแตกต่างของเวลาที่ใช้สำหรับผลการค้นหา ผลลัพธ์อาจจะดีกว่าการค้นหาในตัวหรือไม่ก็ได้ ในกรณีที่ดีกว่าเราอาจเลือกตัวเลือกนี้ในการปิดการเพิ่มประสิทธิภาพสำหรับการค้นหาเฉพาะนี้เสมอ

ในแผนภาพด้านล่างเราใช้คำสั่ง No Optimization ที่แสดงเป็น noop ในคำค้นหา

หน้าจอถัดไปให้ผลลัพธ์ของการใช้การไม่ปรับให้เหมาะสม สำหรับข้อความค้นหานี้ผลลัพธ์จะเร็วขึ้นโดยไม่ต้องใช้การเพิ่มประสิทธิภาพในตัว