Splunk - Hesaplanan Alanlar

Çoğu zaman, Splunk etkinliklerinde zaten mevcut olan alanlar üzerinde bazı hesaplamalar yapmamız gerekecek. Ayrıca bu hesaplamaların sonucunu daha sonra çeşitli aramalarla başvurulacak yeni bir alan olarak saklamak istiyoruz. Bu, Splunk aramasında hesaplanan alanlar kavramı kullanılarak mümkün olur.

En basit örnek, tam gün adı yerine bir haftanın gününün ilk üç karakterini göstermektir. Alanın bu manipülasyonunu sağlamak ve yeni sonucu yeni bir alan adı altında saklamak için belirli Splunk işlevini uygulamamız gerekir.

Misal

Web_application günlük dosyasında bayt ve tarih_wday adlı iki alan vardır. Bayt alanındaki değer, bayt sayısıdır. Bu değeri GB olarak göstermek istiyoruz. Bu, GB değerini almak için alanın 1024'e bölünmesini gerektirir. Bu hesaplamayı bayt alanına uygulamamız gerekiyor.

Benzer şekilde tarih_günü, haftanın gününün tam adını görüntüler. Ancak sadece ilk üç karakteri göstermemiz gerekiyor.

Bu iki alandaki mevcut değerler aşağıdaki resimde gösterilmektedir -

Eval İşlevini Kullanma

Hesaplanan alan oluşturmak için eval işlevini kullanırız. Bu işlev, hesaplamanın sonucunu yeni bir alanda saklar. Aşağıdaki iki hesaplamayı uygulayacağız -

# divide the bytes with 1024 and store it as a field named byte_in_GB
Eval byte_in_GB = (bytes/1024)

# Extract the first 3 characters of the name of the day.
Eval short_day = substr(date_wday,1,3)

Yeni Alanlar Ekleme

Yukarıda oluşturulan yeni alanları, arama sonucunun bir parçası olarak gösterdiğimiz alanlar listesine ekliyoruz. Bunu yapmak için seçiyoruzAll fields aşağıdaki resimde gösterildiği gibi seçenekler ve bu yeni alanların adlarının karşısındaki onay işaretini işaretleyin -

Hesaplanan Alanları Görüntüleme

Yukarıdaki alanları seçtikten sonra, hesaplanan alanları aşağıda gösterildiği gibi arama sonucunda görebiliyoruz. Arama sorgusu, hesaplanan alanları aşağıda gösterildiği gibi görüntüler -