Splunk - Macro tìm kiếm

Macro tìm kiếm là các khối Ngôn ngữ xử lý tìm kiếm (SPL) có thể sử dụng lại mà bạn có thể chèn vào các tìm kiếm khác. Chúng được sử dụng khi bạn muốn sử dụng cùng một logic tìm kiếm trên các phần hoặc giá trị khác nhau trong tập dữ liệu động. Họ có thể nhận các đối số động và kết quả tìm kiếm sẽ được cập nhật theo các giá trị mới.

Tạo macro

Để tạo macro tìm kiếm, chúng tôi chuyển đến settings → Advanced Search → Search macros → Add new. Thao tác này sẽ hiển thị màn hình bên dưới, nơi chúng ta bắt đầu tạo macro.

Kịch bản macro

Chúng tôi muốn hiển thị các thống kê khác nhau về kích thước tệp từ web_applicationsnhật ký. Thống kê về giá trị tối đa, tối thiểu và trung bình của kích thước tệp bằng cách sử dụng trường byte trong nhật ký. Kết quả sẽ hiển thị các số liệu thống kê này cho mỗi tệp được liệt kê trong nhật ký.

Vì vậy, ở đây loại thống kê có bản chất là động. Tên của hàm thống kê sẽ được chuyển làm đối số cho macro.

Xác định Macro

Tiếp theo, chúng tôi xác định macro bằng cách thiết lập các thuộc tính khác nhau như được hiển thị trong màn hình bên dưới. Tên của macro chứa (1), chỉ ra rằng có một đối số được chuyển vào macro khi nó được sử dụng trong chuỗi tìm kiếm.fun là đối số sẽ được chuyển cho macro trong quá trình thực thi truy vấn tìm kiếm.

Sử dụng Macro

Để sử dụng macro, chúng tôi đặt nó thành một phần của chuỗi tìm kiếm. Khi chuyển các giá trị khác nhau cho đối số, chúng tôi thấy các kết quả khác nhau như mong đợi.

Cân nhắc tìm kích thước trung bình tính bằng byte của tệp. Chúng ta chuyển avg làm đối số và nhận được kết quả như hình dưới đây. Macro đã được giữ dưới dấu `như một phần của truy vấn tìm kiếm.

Tương tự, nếu chúng ta muốn kích thước tệp tối đa cho mỗi tệp có trong nhật ký, thì chúng ta sử dụng maxnhư đối số. Kết quả như hình bên dưới.