Splunk_5.0中文手册

《Splunk_5.0中文手册》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、Splunk5.0搜索手册生成时间：2012年10月31日，下午2:37版权所有©2012Splunk,Inc.保留所有权利。Copyright(c)2013Splunk,Inc.AllRightsReservedTableofContents简介4欢迎使用搜索手册4搜索概述4关于搜索4关于搜索管道5关于搜索语言5关于search语言语法6关于搜索助理7使用搜索任务查看器查看搜索属性7设置搜索模式以调整搜索体验10对正在运行的搜索执行操作11编写更好的搜索12检索事件13关于检索事件13使用搜索命令14使用字段检索事件15从索引和分布式搜索

2、节点中检索事件15分类和分组类似事件16使用时间线调查事件模式18指定时间范围19关于搜索中的时间范围19选择要应用于搜索的时间范围19在搜索中指定时间调节器20在搜索中指定实时时间范围窗口22报告搜索结果23关于报表命令23创建基于时间的图表24创建（不一定）基于时间的图表24直观显示高低字段值24创建用于显示摘要统计信息的报表25在搜索结果中查找关联、统计相关性和差异25构建多数据系列图表25比较多天中每小时的总和26实时搜索和报表27关于实时搜索和报表27Splunk网站中的实时搜索和报表27CLI中的实时搜索和报表28实时搜索和报表

3、的预期性能和已知限制28如何限制实时搜索的使用情况29计算统计信息30关于计算统计信息30使用stats命令和函数30将stats与eval表达式和函数配合使用30将迷你图添加到搜索结果30评估和操作字段32关于评估和操作字段32使用eval命令和函数32使用查找从查找表中添加字段33使用搜索命令提取字段33操作和评估多值字段34关联事件35关于事件相关性35使用时间确定事件之间的关系35关于子搜索35使用子搜索关联事件36更改子搜索结果的格式36关于交易37确定事件并将其分组为交易38预测将来事件39关于Splunk的预测分析39更多搜索

4、方法39创建和使用搜索宏39编写自定义搜索命令40关于本章40搜索命令样式指南41编写搜索命令42将自定义命令添加到Splunk43控制对自定义命令的访问43自定义搜索命令示例44外部化搜索错误字符串44外部化搜索错误44简介欢迎使用搜索手册现在，您已得到了系统中的所有数据...那么您想用它来做什么？首先使用Splunk的强大搜索功能来查找任何内容，而不只是少数预先确定的字段。结合使用时间和术语搜索。在IT基础结构的每个层之间查找错误，并追踪在系统发生故障之前的极短时间内的配置更改。本手册介绍搜索语言以及如何在Splunk中编写搜索。在您开

5、始阅读相关搜索内容之前，请确保以下几点：您有权访问本地计算机或远程服务器中的数据。阅读《数据导入手册》中有关如何将数据导入Splunk的更多信息。了解Splunk中索引的运作方式。阅读《管理索引器手册》中有关Splunk如何处理数据的详细信息。了解字段和知识对象，如来源类型和事件类型。阅读《知识管理器手册》中有关Splunk知识对象的更多信息。熟悉搜索应用程序以及搜索和报表仪表板。如果您初次使用Splunk，“Splunk教程”是最佳的起点，它会引导您完成添加数据、搜索数据以及构建简单的报表和仪表板。如果您只是对可在Splunk搜索中使用的

6、搜索命令和参数的列表感兴趣，请参考《搜索参考手册》。PDF制作如果您需要本手册的PDF版本，请单击本页左侧目录下方的红色链接将搜索手册下载为PDF。即会为您动态生成手册的PDF版本，您可以将其保存或打印出来以便之后阅读。搜索概述关于搜索本章介绍搜索、Splunk搜索的结构、搜索语言及其语法、一些可帮助构建搜索并故障排除搜索问题的工具以及对于更好地编写搜索的一些提示。搜索类型在深入研究搜索的语言和语法之前，您应该先问自己要试图实现什么目标。通常，在将数据导入到Splunk之后，您会希望：进行调查，以了解有关刚刚创建索引的数据的详细信息或找出问

7、题的根源。将搜索结果汇总为报表（表格形式或其他可视化形式均可）。有鉴于此，您可能会听到我们提到以下两种搜索类型：原始事件搜索和报表生成搜索。原始事件搜索原始事件搜索是只从一个或多个索引中检索事件，通常适用于需要分析问题的情况的搜索。此类搜索的一些示例包括：检查错误代码、相关事件、调查安全问题和分析故障。这些搜索通常并不包含搜索命令（search命令本身除外），而且结果通常是一个原始事件的列表。阅读本手册的“检索事件”一章中有关原始事件搜索的更多信息，从“关于检索事件”开始。报表生成搜索报表生成搜索是对一组结果执行某种类型的统计计算的搜索。在

8、此类搜索中，首先从索引中检索事件，然后将这些事件传递一个或多个搜索命令。这些搜索始终要求字段和至少一组统计命令之一。一些示例如下：获取错误事件的每日数量、计算特定用户的登录次数或