Splunk6.0中文搜索手册

《Splunk6.0中文搜索手册》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、SplunkEnterprise6.0搜索⼿册⽣成时间：2013年10⽉29⽇，下午12:57Copyright(c)2014SplunkInc.AllRightsReservedTableofContents简介4欢迎使⽤搜索⼿册4使⽤Splunk搜索4Splunk搜索包含哪些内容4对正在运⾏的搜索执⾏操作4设置搜索模式以调整搜索体验5关于搜索助理6使⽤搜索任务查看器查看搜索属性7搜索概述10关于搜索10关于搜索管道11关于搜索语⾔12关于search语⾔语法12编写更好的搜索13检索事件15关于检索事件15使⽤搜索命令15使⽤字段检索事件17从索引和分布式搜索节点中检索事件18分类和

2、分组类似事件19使⽤时间线调查事件模式21指定时间范围22关于搜索中的时间范围22选择要应⽤于搜索的时间范围22在搜索中指定时间调节器25在搜索中指定实时时间范围窗⼝27报告搜索结果27关于报表命令27创建基于时间的图表28创建不（⼀定）基于时间的图表28直观显⽰⾼低字段值28创建⽤于显⽰摘要统计信息的报表29在搜索结果中查找关联、统计相关性和差异29构建多数据系列图表30⽐较多天中每⼩时的总和31实时搜索和报表31关于实时搜索和报表31SplunkWeb中的实时搜索和报表32CLI中的实时搜索和报表32实时搜索和报表的预期性能和已知限制33如何限制实时搜索的使⽤情况34评估和操作字段3

3、5关于评估和操作字段35使⽤eval命令和函数35使⽤查找从查找表中添加字段36使⽤搜索命令提取字段36操作和评估多值字段37计算统计信息38关于计算统计信息38使⽤stats命令和函数38将stats与eval表达式和函数配合使⽤39将迷你图添加到搜索结果39关联事件41关于事件相关性41使⽤时间确定事件之间的关系41关于⼦搜索42使⽤⼦搜索关联事件43更改⼦搜索结果的格式43关于交易44确定事件并将其分组为交易44预测将来事件46关于SplunkEnterprise的预测分析46更多搜索⽅法46创建和使⽤搜索宏46编写⾃定义搜索命令48关于本章48搜索命令样式指南48编写搜索命令49

4、将⾃定义命令添加到Splunk50控制对⾃定义命令的访问50⾃定义事件⽣成命令⽰例51⾃定义搜索命令shape53外部化搜索错误字符串54外部化搜索错误54搜索⽰例和⾛查55本章包含哪些内容？55多数据系列报表55⽐较多天中每⼩时的总和56监视和告警Windows磁盘使⽤情况56计算动态字段的⼤⼩56简介欢迎使⽤搜索⼿册现在，您已得到了系统中的所有数据...那么您想⽤它来做什么？⾸先使⽤Splunk的强⼤搜索功能来查找任何内容，⽽不只是少数预先确定的字段。结合使⽤时间和术语搜索。在IT基础结构的每个层之间查找错误，并追踪在系统发⽣故障之前的极短时间内的配置更改。本⼿册介绍搜索语⾔以及如何

5、在Splunk中编写搜索。在您开始阅读相关搜索内容之前，请确保以下几点：您有权访问本地计算机或远程服务器中的数据。阅读《数据导⼊⼿册》中有关如何将数据导⼊Splunk的更多信息。了解Splunk中索引的运作⽅式。阅读《管理索引器⼿册》中有关Splunk如何处理数据的详细信息。了解字段和知识对象，如来源类型和事件类型。阅读《知识管理器⼿册》中有关Splunk知识对象的更多信息。熟悉搜索应⽤程序以及搜索和报表仪表板。如果您初次使⽤Splunk和搜索，“搜索教程”是最佳的起点，它会引导您完成添加数据、搜索数据以及构建简单的报表和仪表板。如果您只是对可在Splunk搜索中使⽤的搜索命令和参数的列

6、表感兴趣，请参考《搜索参考⼿册》。PDF制作如果您需要本⼿册的PDF版本，请单击本页左侧⽬录下⽅的红⾊链接将搜索⼿册下载为PDF。即会为您动态⽣成⼿册的PDF版本，您可以将其保存或打印出来以便之后阅读。使⽤Splunk搜索Splunk搜索包含哪些内容本主题介绍属于Splunk的搜索和报表应⽤⼀部分的“搜索”视图，此应⽤是您⽤于与数据交互的界⾯。统⼀的搜索和报表体验还将更⽅便您创作和编辑报表。您可以参阅《报表⼿册》中的有关创建和编辑报表的更多信息。搜索仪表板在运⾏搜索之前，“搜索”仪表板将包括：搜索栏。使⽤搜索栏可在SplunkWeb中运⾏您的搜索。只需键⼊您的搜索字符串并按Enter键或

7、单击时间范围挑选器右侧的⼩望远镜图标。时间范围挑选器。使⽤时间范围挑选器指定检索事件的时间段。时间范围挑选器提供了许多可供选择的预设时间范围，但您也可以输⼊⾃定义时间范围。如何搜索。此⾯板可将您链接到搜索教程和搜索⼿册，以帮助您了解搜索。搜索内容。此⾯板会显⽰此Splunk实例上安装的您有权查看的数据的摘要。如果您单击数据摘要按钮，会打开⼀个窗⼝，其中有数据的“主机”、“来源”、“来源类型”选项卡。新搜索仪表板运⾏新搜索之后，将转到