Splunk - Quản lý chỉ mục
Lập chỉ mục là một cơ chế để tăng tốc quá trình tìm kiếm bằng cách cung cấp địa chỉ số cho phần dữ liệu đang được tìm kiếm. Splunk indexing tương tự như khái niệm lập chỉ mục trong cơ sở dữ liệu. Việc cài đặt Splunk tạo ra ba chỉ mục mặc định như sau.
main - Đây là chỉ mục mặc định của Splunk, nơi lưu trữ tất cả dữ liệu đã xử lý.
Internal - Chỉ mục này là nơi lưu trữ nhật ký nội bộ và số liệu xử lý của Splunk.
audit - Chỉ mục này chứa các sự kiện liên quan đến trình theo dõi thay đổi hệ thống tệp, kiểm tra và tất cả lịch sử người dùng.
Splunk Indexers tạo và duy trì các chỉ mục. Khi bạn thêm dữ liệu vào Splunk, trình lập chỉ mục xử lý nó và lưu trữ nó trong một chỉ mục được chỉ định (theo mặc định, trong chỉ mục chính hoặc trong chỉ mục mà bạn xác định).
Kiểm tra chỉ mục
Chúng ta có thể xem các chỉ mục hiện có bằng cách đi tới Settings → Indexessau khi đăng nhập Splunk. Hình ảnh dưới đây cho thấy tùy chọn.
Khi nhấp thêm vào các chỉ mục, chúng ta có thể thấy danh sách các chỉ mục mà Splunk duy trì cho dữ liệu đã được thu thập trong Splunk. Hình ảnh dưới đây cho thấy một danh sách như vậy.
Tạo chỉ mục mới
Chúng tôi có thể tạo một chỉ mục mới với kích thước mong muốn bằng dữ liệu được lưu trữ trong Splunk. Dữ liệu bổ sung đi kèm có thể sử dụng chỉ mục mới được tạo này nhưng chức năng tìm kiếm tốt hơn. Các bước để tạo một chỉ mục làSettings → Indexes → New Index. Màn hình bên dưới xuất hiện nơi chúng tôi đề cập đến tên của chỉ mục và cấp phát bộ nhớ, v.v.
Lập chỉ mục sự kiện
Sau khi tạo chỉ mục ở trên, chúng ta có thể cấu hình các sự kiện được lập chỉ mục theo chỉ mục cụ thể này. Chúng tôi chọn loại sự kiện. Sử dụng đường dẫnSettings → Data Inputs → Files & Directories. Sau đó, chúng tôi chọn tệp cụ thể của các sự kiện mà chúng tôi muốn đính kèm vào sự kiện mới được tạo. Như bạn có thể thấy trong hình dưới đây, chúng tôi đã gán chỉ mục có tên index_web_app cho tệp cụ thể này.