Splunk - Makroları ara

Arama makroları, diğer aramalara ekleyebileceğiniz yeniden kullanılabilir Arama İşleme Dili (SPL) bloklarıdır. Dinamik olarak veri kümesindeki farklı parçalar veya değerler üzerinde aynı arama mantığını kullanmak istediğinizde kullanılırlar. Dinamik olarak argümanlar alabilirler ve arama sonucu yeni değerlere göre güncellenir.

Makro Oluşturma

Arama makrosunu oluşturmak için şuraya gidiyoruz: settings → Advanced Search → Search macros → Add new. Bu, makroyu oluşturmaya başladığımız aşağıdaki ekranı getirir.

Makro Senaryo

Dosya boyutu hakkında çeşitli istatistikler göstermek istiyoruz. web_applicationsgünlüğü. İstatistikler, günlükteki bayt alanını kullanan dosya boyutunun maksimum, minimum ve ortalama değerleri hakkındadır. Sonuç, günlükte listelenen her dosya için bu istatistikleri görüntülemelidir.

Yani burada istatistiklerin türü dinamiktir. İstatistikler işlevinin adı, makroya bir bağımsız değişken olarak aktarılacaktır.

Makroyu Tanımlamak

Daha sonra aşağıdaki ekranda gösterildiği gibi çeşitli özellikleri ayarlayarak makroyu tanımlıyoruz. Makronun adı, arama dizesinde kullanıldığında makroya iletilecek bir bağımsız değişken olduğunu gösteren (1) 'i içerir.fun arama sorgusunda yürütme sırasında makroya iletilecek bağımsız değişkendir.

Makroyu Kullanma

Makroyu kullanmak için, onu arama dizesinin bir parçası yaparız. Bağımsız değişken için farklı değerler iletirken beklendiği gibi farklı sonuçlar görürüz.

Dosyaların bayt cinsinden ortalama boyutunu bulmayı düşünün. Avg'yi argüman olarak geçiririz ve sonucu aşağıda gösterildiği gibi alırız. Makro, arama sorgusunun bir parçası olarak 'işareti altında tutulmuştur.

Benzer şekilde, günlükte bulunan dosyaların her biri için maksimum dosya boyutunu istiyorsak, maxargüman olarak. Sonuç aşağıda gösterildiği gibidir.