Splunk-7.0.0-Data数据导入教程中文版

《Splunk-7.0.0-Data数据导入教程中文版》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、Splunk®Enterprise7.0.0数据导⼊⽣成时间：2017年9⽉15⽇下午4:43Copyright(c)2017SplunkInc.AllRightsReservedTableofContents简介5什么数据可以建⽴索引？5开始使⽤数据导⼊6我的数据位于本地还是远程？6使⽤转发器导⼊数据7使⽤应⽤导⼊数据8配置输⼊8SplunkEnterprise如何处理您的数据9如何将数据导⼊Splunk部署12您要如何添加数据？12上载数据12监视数据13转发数据14“设置Sourcetype”⻚⾯15准备⽤于预览的数

2、据18修改事件处理19修改输⼊设置21在SplunkEnterprise中分布来源类型配置23获取⽂件和⽬录的数据24监视⽂件和⽬录24使⽤SplunkWeb监视⽂件和⽬录25使⽤CLI监视⽂件和⽬录26使⽤inputs.conf监视⽂件和⽬录28使⽤通配符指定输⼊路径30将特定传⼊数据列⼊⽩名单或⿊名单33SplunkEnterprise如何处理⽇志⽂件轮换34从⽹络来源获取数据35从TCP和UDP端⼝获取数据35设置并使⽤HTTP事件收集器39SplunkEnterprise通过UDP处理syslog数据的⽅式47向您

3、的Splunk部署发送SNMP事件49获取Windows数据51使⽤SplunkEnterprise监视Windows数据51如何将Windows数据导⼊您的Splunk部署51有关确定如何监视远程Windows数据的注意事项52监视ActiveDirectory55监视Windows事件⽇志数据61监视⽂件系统更改73通过WindowsManagementInstrumentation(WMI)监视数据76监视Windows注册表数据82监视Windows性能85使⽤PowerShell脚本监视Windows数据94监视

4、Windows主机信息96监视Windows打印机信息99监视Windows⽹络信息102获取其他类型数据的位置106监视先进先出(FIFO)队列106监视对⽂件系统的更改106通过脚本式输⼊从API及其他远程数据接⼝获取数据110配置事件处理115事件处理概述115配置字符集编码115配置事件换⾏118配置事件时间戳120配置索引字段提取121使数据匿名121配置时间戳124时间戳分配如何⼯作124配置时间戳识别125为具有多个时间戳的事件配置时间戳分配130指定时间戳的时区131调整时间戳识别以获得更佳的索引性能132

5、配置索引字段提取134关于索引字段提取134关于默认字段（host、source、sourcetype等）134动态分配默认字段135在索引时间创建⾃定义字段136使⽤结构化数据从⽂件中提取字段141配置主机值147关于主机147设置Splunk实例的默认主机147设置⽂件或⽬录输⼊的默认主机148基于事件数据设置主机值151建⽴索引后更改主机值152配置来源类型154来源类型为何重要154覆盖⾃动来源类型分配156配置基于规则的来源类型识别157预置来源类型列表158基于每个事件覆盖来源类型162创建来源类型163管理来

6、源类型164搜索时间重命名来源类型167管理事件分段169关于事件分段169设置事件数据的分段169在SplunkWeb中设置搜索时间事件分段171改善数据导⼊过程172使⽤测试索引测试输⼊172使⽤保留队列帮助防⽌数据丢失172输⼊过程故障排除174解决数据质量问题174简介什么数据可以建⽴索引？SplunkEnterprise可以索引任何类型的数据。尤其是任何的IT流、计算机和历史数据，例如Windows事件⽇志、Web服务器⽇志、实时应⽤程序⽇志、⽹络源、系统指标、变更监控、消息队列、归档⽂件等。我该如何导⼊数据？要

7、将数据导⼊到您的Splunk部署中，指向⼀个数据源。并告知⼀些数据源信息。然后数据源就成为⼀个数据导⼊。SplunkEnterprise会为数据流创建索引，并将其转换为⼀系列的事件。您可以⽴刻查看和搜索这些事件。如果所得结果与您的预期不符，您可以调整索引过程，直到它们与您的预期相符。如果您使⽤的是SplunkEnterprise，数据可以与索引器位于相同的计算机上（本地数据），也可以位于另⼀台计算机上（远程数据）。如果您使⽤的是SplunkCloud，则数据驻留在您的企业⽹络中，您可以将其发送⾄您的SplunkCloud部

8、署。通过使⽤⽹络源或在⽣成数据的主机上安装Splunk转发器，您可以将远程数据导⼊您的Splunk部署中。有关本地数据与远程数据的更多信息，请参阅“我的数据位于何处？”。Splunk提供了多种应⽤和加载项，并已为诸如特定于Windows或Linux的数据源、Cisco安全数据、BlueCoat数据等⼀类