Splunk - Loại nguồn

Tất cả dữ liệu đến Splunk trước tiên được đánh giá bởi đơn vị xử lý dữ liệu sẵn có của nó và được phân loại thành các loại và danh mục dữ liệu nhất định. Ví dụ: nếu đó là nhật ký từ máy chủ web apache, Splunk có thể nhận ra điều đó và tạo các trường thích hợp từ dữ liệu đã đọc.

Tính năng này trong Splunk được gọi là phát hiện kiểu nguồn và nó sử dụng các kiểu nguồn tích hợp sẵn được gọi là kiểu nguồn "được đào tạo trước" để đạt được điều này.

Điều này làm cho mọi thứ dễ dàng hơn cho việc phân tích vì người dùng không phải phân loại dữ liệu theo cách thủ công và gán bất kỳ kiểu dữ liệu nào cho các trường của dữ liệu đến.

Các loại nguồn được hỗ trợ

Các loại nguồn được hỗ trợ trong Splunk có thể được nhìn thấy bằng cách tải lên tệp thông qua Add Datarồi chọn menu thả xuống cho Loại nguồn. Trong hình ảnh bên dưới, chúng tôi đã tải lên tệp CSV và sau đó kiểm tra tất cả các tùy chọn có sẵn.

Loại nguồn phụ Danh mục

Ngay cả trong các danh mục đó, chúng tôi có thể nhấp thêm để xem tất cả các danh mục phụ được hỗ trợ. Vì vậy, khi bạn chọn danh mục cơ sở dữ liệu, bạn có thể tìm thấy các loại cơ sở dữ liệu khác nhau và các tệp được hỗ trợ của chúng mà Splunk có thể nhận ra.

Các loại nguồn được đào tạo trước

Bảng dưới đây liệt kê một số loại nguồn quan trọng được đào tạo trước mà Splunk nhận ra -

Tên loại nguồn	Thiên nhiên
access_combined	Nhật ký máy chủ web http định dạng kết hợp NCSA (có thể được tạo bởi apache hoặc các máy chủ web khác)
access_combined_wcookie	Nhật ký máy chủ web http định dạng kết hợp NCSA (có thể được tạo bởi apache hoặc các máy chủ web khác), với trường cookie được thêm vào cuối
apache_error	Nhật ký lỗi máy chủ web Apache tiêu chuẩn
linux_messages_syslog	Nhật ký hệ thống linux tiêu chuẩn (/ var / log / messages trên hầu hết các nền tảng)
log4j	Đầu ra chuẩn Log4j được tạo ra bởi bất kỳ máy chủ J2EE nào sử dụng log4j
mysqld_error	Nhật ký lỗi mysql chuẩn