Table of Contents 简 介 欢 迎 使 用 Splunk 教 程! Splunk 是 什 么? 谁 来 使 用 Splunk? 本 教 程 包 含 哪 些 内 容? Splunk 概 述 为 新 数 据 建 立 索 引 搜 索 和 调 查 捕 获 知 识 自 动 监 视 分 析 和

Transcription

1 Splunk Splunk 教 程 生 成 时 间 :2013 年 3 月 13 日, 上 午 8:05 Copyright (c) 2013 Splunk Inc. All Rights Reserved

2 Table of Contents 简 介 欢 迎 使 用 Splunk 教 程! Splunk 是 什 么? 谁 来 使 用 Splunk? 本 教 程 包 含 哪 些 内 容? Splunk 概 述 为 新 数 据 建 立 索 引 搜 索 和 调 查 捕 获 知 识 自 动 监 视 分 析 和 报 告 在 您 开 始 学 习 教 程 之 前 使 用 本 教 程 的 前 提 条 件 系 统 要 求 Splunk 许 可 证 ( 概 述 ) 下 载 和 安 装 Splunk 下 载 Splunk 在 Linux 上 安 装 在 Windows 上 安 装 在 Mac OS X 上 安 装 启 动 Splunk 和 启 动 Splunk Web 在 Windows 上 启 动 Splunk 在 Unix 和 Mac OS X 上 启 动 Splunk 启 动 Splunk Web 将 数 据 导 入 Splunk 关 于 导 入 数 据 Splunk 索 引 数 据 的 类 型 将 数 据 导 入 Splunk 的 方 法 Splunk 存 储 数 据 的 位 置 应 用 和 输 入 将 样 本 数 据 导 入 到 Splunk 下 载 样 本 数 据 文 件 将 样 本 数 据 添 加 到 Splunk 后 续 步 骤 搜 索 和 搜 索 语 言

3 关 于 本 章 搜 索 应 用 查 找 搜 索 应 用 摘 要 仪 表 板 启 动 搜 索 搜 索 仪 表 板 开 始 搜 索 关 键 字 搜 索 使 用 布 尔 运 算 符 阅 读 关 于 搜 索 的 更 多 信 息 后 续 步 骤 使 用 时 间 线 关 于 时 间 线 选 项 使 用 时 间 线 调 查 后 续 步 骤 更 改 时 间 范 围 选 择 时 间 范 围 更 多 的 时 间 范 围 选 项 后 续 步 骤 使 用 字 段 搜 索 关 于 字 段 ( 概 述 ) 字 段 边 栏 和 对 话 框 使 用 字 段 运 行 针 对 性 更 强 的 搜 索 后 续 步 骤 使 用 搜 索 语 言 使 用 搜 索 助 理 构 建 搜 索 钻 取 搜 索 结 果 重 新 设 置 搜 索 结 果 的 格 式 后 续 步 骤 保 存 搜 索 关 于 保 存 搜 索 保 存 搜 索 教 程 关 于 管 理 和 计 划 搜 索 后 续 步 骤 使 用 子 搜 索 示 例 1: : 不 使 用 子 搜 索 示 例 2: : 使 用 子 搜 索 后 续 步 骤 使 用 字 段 查 找 找 到 查 找 管 理 器 上 载 查 找 文 件 定 义 字 段 查 找

4 自 动 查 找 使 用 新 查 找 字 段 搜 索 搜 索 加 速 后 续 步 骤 更 多 搜 索 示 例 搜 索 参 考 手 册 示 例 1 - 页 面 浏 览 次 数 是 多 少? 示 例 2 - 页 面 浏 览 次 数 和 购 买 次 数 之 间 的 差 异? 示 例 3 - 购 买 了 什 么 以 及 购 买 的 金 额? 示 例 4 - 有 多 少 次 尝 试 购 买 失 败? 后 续 步 骤 创 建 报 表 和 仪 表 板 关 于 报 表 和 仪 表 板 报 表 示 例 使 用 报 表 构 建 器 每 种 产 品 的 购 买 和 浏 览 图 表 按 产 品 名 称 列 出 最 热 卖 商 品 最 热 卖 商 品 趋 势 访 问 保 存 的 报 表 更 快 地 生 成 报 表 后 续 步 骤 仪 表 板 示 例 创 建 仪 表 板 面 板 仪 表 板 1: 鲜 花 礼 品 店 商 品 购 买 情 况 仪 表 板 2: 鲜 花 礼 品 店 运 营 情 况 后 续 步 骤 查 看 和 打 印 仪 表 板 查 看 保 存 的 仪 表 板 仪 表 板 打 印 和 PDF 选 项 有 关 集 成 的 PDF 生 成 的 更 多 信 息 后 续 步 骤 更 多 Splunk! 接 下 来 呢?

5 简 介 欢 迎 使 用 Splunk 教 程! Splunk 是 什 么? Splunk 是 一 款 可 针 对 构 成 您 IT 基 础 设 施 的 任 何 应 用 程 序 服 务 器 或 网 络 设 备 中 的 IT 数 据 建 立 索 引 的 软 件 作 为 功 能 强 大 多 用 途 的 搜 索 和 分 析 引 擎, 它 可 以 帮 助 您 从 单 一 位 置 实 时 调 查 故 障 排 除 监 视 告 警 和 报 告 在 整 个 IT 基 础 设 施 中 发 生 的 所 有 事 件 谁 来 使 用 Splunk? Splunk 是 一 款 通 用 型 软 件, 它 具 有 多 种 用 途 并 适 合 多 种 不 同 类 型 的 用 户 系 统 管 理 员 网 络 工 程 师 安 全 分 析 师 开 发 人 员 服 务 台 和 技 术 支 持 人 员 - 乃 至 经 理 副 总 裁 (VP) 和 首 席 信 息 官 (CIO)- 都 可 以 使 用 Splunk 来 更 快 更 好 地 完 成 他 们 的 工 作 应 用 程 序 支 持 人 员 使 用 Splunk 来 在 应 用 程 序 环 境 中 开 展 端 到 端 调 查, 并 采 取 纠 正 措 施, 还 可 以 创 建 告 警 和 仪 表 板, 以 主 动 监 视 整 个 服 务 的 性 能 可 用 性 和 业 务 指 标 应 用 程 序 支 持 人 员 使 用 角 色 来 根 据 不 同 职 责 隔 离 数 据 访 问, 并 允 许 应 用 程 序 开 发 人 员 和 一 线 支 持 人 员 访 问 生 产 日 志 以 获 得 所 需 信 息, 而 不 会 危 及 安 全 系 统 管 理 员 和 IT 人 员 使 用 Splunk 调 查 服 务 器 问 题, 了 解 其 配 置 并 监 视 用 户 活 动 然 后, 他 们 将 搜 索 结 果 转 变 为 有 关 性 能 阈 值 严 重 系 统 错 误 和 负 载 的 主 动 告 警 高 级 网 络 工 程 师 使 用 Splunk 来 解 决 上 报 的 问 题, 确 定 那 些 作 为 常 规 问 题 指 示 的 事 件 和 模 式, 例 如 路 由 器 配 置 错 误 和 相 邻 路 由 器 更 改, 并 将 这 些 事 件 的 搜 索 结 果 转 变 为 主 动 告 警 安 全 分 析 师 和 事 故 响 应 团 队 使 用 Splunk 来 调 查 已 标 记 用 户 的 活 动, 访 问 敏 感 数 据, 自 动 监 视 已 知 的 不 良 事 件, 并 通 过 搜 索 来 使 用 复 杂 的 相 关 性 以 查 到 已 知 的 风 险 模 式, 例 如 暴 力 破 解 攻 击 数 据 泄 漏 乃 至 应 用 程 序 级 欺 诈 所 有 解 决 方 案 领 域 的 经 理 都 可 以 使 用 Splunk 来 构 建 报 表 和 仪 表 板 以 监 视 和 汇 总 其 IT 基 础 设 施 与 业 务 的 健 康 状 况 性 能 活 动 和 能 力 本 教 程 包 含 哪 些 内 容? 如 果 您 是 首 次 使 用 Splunk, 本 教 程 将 告 诉 您 在 开 始 使 用 Splunk 之 前 您 需 要 知 道 些 什 么, 内 容 包 括 首 次 下 载 如 何 创 建 丰 富 的 交 互 式 仪 表 盘 等 制 作 PDF 如 果 您 需 要 本 手 册 的 PDF 版 本, 请 单 击 本 页 左 侧 目 录 下 方 的 红 色 链 接 将 搜 索 手 册 下 载 为 PDF 即 会 为 您 动 态 生 成 手 册 的 PDF 版 本, 您 可 以 将 其 保 存 或 打 印 出 来 以 便 之 后 阅 读 Splunk 概 述 Splunk 是 一 款 功 能 强 大 多 用 途 的 IT 搜 索 软 件, 它 可 以 极 大 地 帮 助 您 跟 踪 和 利 用 您 的 数 据 中 心 的 信 息 一 旦 拥 有 Splunk, 您 将 不 再 需 要 复 杂 的 数 据 库 连 接 器 定 制 的 分 析 器 或 控 件 - 您 所 需 要 的 只 是 Web 浏 览 器 和 您 的 想 像 力 其 余 的 事 情 交 给 Splunk 来 处 理 使 用 Splunk 来 : 持 续 实 时 地 对 您 的 所 有 IT 数 据 建 立 索 引 自 动 发 现 在 您 的 数 据 中 嵌 入 的 有 用 信 息, 因 此 您 不 必 亲 自 识 别 它 搜 索 您 的 物 理 和 虚 拟 IT 基 础 设 施, 以 查 找 真 正 感 兴 趣 的 任 何 内 容, 并 在 几 秒 内 获 得 结 果 保 存 搜 索 并 标 记 有 用 的 信 息, 以 使 您 的 系 统 更 加 智 能 化 设 置 告 警, 以 针 对 特 定 重 复 性 事 件 自 动 监 视 您 的 系 统 通 过 交 互 式 图 表 图 形 和 表 格 生 成 分 析 报 告, 并 共 享 给 其 他 人 将 保 存 的 搜 索 和 报 表 共 享 给 同 组 的 Splunk 用 户, 并 通 过 电 子 邮 件 将 其 结 果 分 发 给 团 队 成 员 和 项 目 相 关 方 主 动 检 查 您 的 IT 系 统, 以 预 防 服 务 器 停 机 中 断 和 安 全 事 故 的 发 生 设 计 专 业 信 息 丰 富 的 视 图 和 仪 表 板, 以 适 应 企 业 中 的 广 泛 需 求 为 新 数 据 建 立 索 引 Splunk 提 供 多 种 灵 活 的 数 据 导 入 方 法, 以 实 时 地 对 您 的 IT 基 础 设 施 中 的 所 有 内 容 建 立 索 引, 包 括 来 自 所 有 应 用 程 序 服 务 器 和 网 络 设 备 的 实 时 日 志 文 件 配 置 陷 阱 和 告 警 消 息 脚 本 性 能 数 据 和 统 计 信 息 监 视 文 件 系 统 以 获 5

6 序 服 务 器 和 网 络 设 备 的 实 时 日 志 文 件 配 置 陷 阱 和 告 警 消 息 脚 本 性 能 数 据 和 统 计 信 息 监 视 文 件 系 统 以 获 得 脚 本 和 配 置 更 改 启 用 对 您 的 文 件 系 统 或 Windows 注 册 表 更 改 的 监 视 捕 获 归 档 文 件 和 SNMP 陷 阱 数 据 查 找 并 跟 踪 实 时 应 用 程 序 服 务 器 堆 栈 跟 踪 和 数 据 库 审 计 表 连 接 到 网 络 端 口 以 接 收 syslog 和 其 他 网 络 设 备 信 息 不 论 您 以 何 种 方 式 获 取 数 据, 或 获 取 何 种 格 式 的 数 据,Splunk 都 能 够 以 相 同 方 式 建 立 索 引 - 无 需 任 何 特 定 分 析 器 或 适 配 器 以 写 入 或 维 护 它 们 它 将 原 始 数 据 和 富 索 引 存 储 在 一 个 基 于 文 件 系 统 且 采 用 压 缩 的 高 效 数 据 存 储 区 中 - 如 果 您 需 要 证 明 数 据 的 完 整, 则 可 选 用 数 据 签 名 和 审 计 功 能 搜 索 和 调 查 现 在, 您 已 得 到 了 系 统 中 的 所 有 数 据... 那 么 您 想 用 它 来 做 什 么? 首 先 使 用 Splunk 的 强 大 搜 索 功 能 来 查 找 任 何 内 容, 而 不 只 是 少 数 预 先 确 定 的 字 段 结 合 使 用 时 间 和 术 语 搜 索 在 IT 基 础 结 构 的 每 个 层 之 间 查 找 错 误, 并 追 踪 在 系 统 发 生 故 障 之 前 的 极 短 时 间 内 的 配 置 更 改 Splunk 在 您 执 行 搜 索 时 从 您 的 记 录 中 识 别 字 段, 这 提 供 了 那 些 需 要 提 前 设 置 严 格 的 字 段 映 射 规 则 集 的 解 决 方 案 所 无 法 媲 美 的 灵 活 性 即 使 您 的 系 统 包 含 TB 级 数 据 量,Splunk 也 能 帮 助 您 准 确 地 对 它 启 用 搜 索 捕 获 知 识 针 对 原 始 数 据 的 自 由 搜 索 仅 是 个 开 始 您 可 以 通 过 添 加 有 关 字 段 事 件 和 交 易 的 知 识, 丰 富 这 些 数 据 并 提 高 搜 索 的 焦 点 按 照 业 务 功 能 或 审 计 要 求, 标 记 高 优 先 级 资 产, 并 批 注 事 件 为 一 组 相 关 服 务 器 错 误 提 供 单 个 标 记, 然 后 设 计 相 应 的 搜 索 以 使 用 此 标 记 来 隔 离 并 报 告 涉 及 该 组 错 误 的 事 件 保 存 并 共 享 那 些 经 常 运 行 的 搜 索 Splunk 在 搜 索 时 将 知 识 映 射 到 数 据, 而 不 是 事 先 规 范 化 数 据, 超 越 了 传 统 的 日 志 管 理 方 法 它 使 您 能 够 在 使 用 Splunk 应 用 的 组 织 范 围 内 共 享 搜 索 报 表 和 仪 表 板 自 动 监 视 任 何 搜 索 均 可 按 计 划 运 行, 还 可 以 设 置 计 划 的 搜 索 来 触 发 通 知, 或 者 在 出 现 特 定 条 件 时 触 发 该 自 动 告 警 功 能 可 以 在 整 个 IT 基 础 设 施 的 广 泛 组 件 和 技 术 中 运 作, 从 应 用 程 序 到 防 火 墙, 乃 至 访 问 控 制 让 Splunk 通 过 电 子 邮 件 或 SNMP 向 其 他 管 理 控 制 台 发 送 通 知 安 排 告 警 操 作 以 触 发 可 执 行 活 动 的 脚 本, 例 如 重 新 启 动 应 用 程 序 服 务 器 或 网 络 设 备, 或 创 建 故 障 票 据 针 对 已 知 的 不 良 事 件 设 置 告 警, 并 通 过 搜 索 来 使 用 复 杂 的 相 关 性 以 找 到 已 知 的 风 险 模 式, 例 如 暴 力 破 解 攻 击 数 据 泄 漏 乃 至 应 用 级 欺 诈 分 析 和 报 告 Splunk 能 够 快 速 分 析 大 量 的 数 据, 并 使 您 能 够 以 交 互 式 图 表 图 形 和 表 格 的 形 式 汇 总 任 何 一 组 搜 索 结 果 动 态 生 成 报 表, 使 用 统 计 命 令 来 分 析 随 时 间 的 变 化 趋 势, 比 较 上 限 值, 并 报 告 最 常 用 和 最 不 常 用 的 条 件 类 型 可 视 化 功 能 以 交 互 式 折 线 图 条 形 图 柱 形 图 饼 图 散 点 图 和 热 度 地 图 等 形 式 来 报 告 结 果 Splunk 提 供 了 多 种 方 式 来 与 团 队 成 员 和 项 目 相 关 方 共 享 报 表 您 可 以 计 划 定 期 安 排 运 行 报 表, 让 Splunk 通 过 电 子 邮 件 向 感 兴 趣 的 相 关 方 发 送 每 份 报 表 打 印 报 表 或 将 其 保 存 到 公 共 常 用 报 表 的 集 合 中, 以 及 将 报 表 添 加 到 专 门 的 仪 表 板 以 供 快 速 参 考 在 您 开 始 学 习 教 程 之 前 使 用 本 教 程 的 前 提 条 件 在 您 开 始 使 用 Splunk 之 前, 您 需 要 下 载 安 装 并 启 动 Splunk 实 例 不 用 担 心, 这 只 需 要 5 分 钟! 如 果 您 有 权 访 问 某 个 正 在 运 行 的 Splunk 服 务 器, 请 跳 至 向 Splunk 添 加 数 据, 并 从 这 里 开 始 系 统 要 求 Splunk 可 以 在 大 多 数 计 算 平 台 上 运 行, 但 本 教 程 将 侧 重 于 Splunk 的 Windows 和 Mac OS X 版 本 当 然, 无 论 您 选 择 在 哪 种 平 台 上 运 行, 它 始 终 都 是 Splunk, 您 也 应 当 能 够 按 照 启 动 Splunk 逐 步 执 行 操 作 尽 管 Splunk 是 您 安 装 在 本 地 计 算 机 上 的 软 件, 但 您 仍 然 可 通 过 Web 浏 览 器 访 问 Splunk Splunk 支 持 最 新 版 本 的 Firefox Chrome 和 Safari, 以 及 Internet Explorer 和 9 Splunk 是 一 款 高 性 能 应 用 程 序, 但 在 学 习 此 教 程 过 程 中, 您 实 际 上 只 需 要 至 少 符 合 下 列 规 范 的 一 台 Windows 或 Mac 计 算 机 : 平 台 非 Windows 平 台 最 低 支 持 的 硬 件 容 量 1x1.4 GHz CPU 1 GB RAM 6

7 Windows 平 台 Pentium 4 或 等 同 于 2Ghz 2GB RAM 有 关 规 范 的 完 整 列 表, 请 参 阅 安 装 手 册 中 的 系 统 要 求 主 题 Splunk 许 可 证 ( 概 述 ) Splunk 使 用 Enterprise 许 可 证 或 Free 许 可 证 运 行 当 您 首 次 下 载 Splunk 时, 您 将 获 得 一 份 为 期 60 天 的 Enterprise Trial 许 可 证 此 Trial 许 可 证 允 许 每 天 500 MB 的 建 立 索 引 以 及 所 有 Enterprise 功 能 安 装 Splunk 之 后, 您 可 以 使 用 Enterprise Trial 许 可 证 运 行 Splunk( 直 到 该 许 可 证 过 期 ), 然 后 切 换 到 可 永 久 使 用 的 Free 许 可 证 ( 已 附 送 ), 或 购 买 Enterprise 许 可 证 请 阅 读 管 理 员 手 册 中 有 关 Splunk 许 可 证 的 类 型 的 更 多 信 息 下 载 和 安 装 Splunk Splunk 支 持 在 Unix Windows 和 Mac OS X 操 作 系 统 上 执 行 安 装 有 关 支 持 的 操 作 系 统 的 完 整 列 表, 请 参 阅 安 装 手 册 中 的 系 统 要 求 主 题 该 主 题 简 略 地 逐 步 介 绍 了 如 何 下 载 Splunk 以 及 如 何 在 Linux Windows 和 Mac OS X 上 安 装 有 关 其 他 所 有 支 持 的 操 作 系 统, 请 参 阅 安 装 手 册 中 的 分 步 安 装 说 明 下 载 Splunk 从 下 载 页 面 下 载 Splunk 的 最 新 版 本 Splunk 针 对 Linux 提 供 了 三 个 安 装 选 项 : 通 过 RedHat 进 行 RPM 下 载 使 用 Debian Linux 的 DEB 软 件 包 以 及 使 用 tar 文 件 安 装 程 序 有 两 个 Windows 安 装 程 序, 即 MSI 文 件 和 压 缩 的 zip 文 件 本 教 程 使 用 的 是 MSI 文 件 图 形 安 装 程 序 有 两 个 Mac OS X 安 装 程 序, 即 DMG 软 件 包 和 tar 文 件 安 装 程 序 本 教 程 使 用 的 是 DMG 打 包 图 形 安 装 程 序 注 意 : 如 果 您 未 登 录 到 Splunk.com, 则 单 击 下 载 软 件 包 会 将 您 重 定 向 到 注 册 表 如 果 您 还 没 有 Splunk.com 帐 户, 请 注 册 一 个 帐 户 在 Linux 上 安 装 请 使 用 命 令 行 界 面 (CLI) 来 在 Linux 操 作 系 统 上 安 装 Splunk 有 关 如 何 访 问 CLI 的 信 息, 请 参 阅 管 理 员 手 册 中 的 关 于 CLI 默 认 情 况 下,Splunk 将 安 装 到 Linux 的 /opt/splunk 目 录 下 要 安 装 Splunk RPM, 请 在 CLI 中 键 入 下 列 内 容 如 果 希 望 将 Splunk 安 装 到 其 他 目 录 中, 请 使 用 可 选 的 --prefix 标 记 rpm -i --prefix=/opt/new_directory splunk_package_name.rpm 要 安 装 Splunk DEB 软 件 包, 请 在 CLI 中 键 入 下 列 内 容 只 能 将 Splunk DEB 安 装 到 默 认 的 /opt/splunk 目 录 dpkg -i splunk_package_name.deb 要 使 用 压 缩 的 tar 文 件 安 装 Splunk, 请 使 用 tar 命 令 将 文 件 扩 展 到 相 应 目 录 中 默 认 安 装 目 录 是 当 前 工 作 目 录 中 的 /splunk 要 安 装 到 特 定 目 录 ( 如 /opt/splunk), 请 使 用 -C 选 项 : tar xvzf splunk_package_name.tgz -C /opt 有 关 在 Linux 上 安 装 Splunk 的 更 多 详 细 说 明, 请 参 阅 安 装 手 册 中 的 Linux 安 装 分 步 说 明 在 Windows 上 安 装 1. 要 启 动 安 装 程 序, 请 双 击 splunk.msi 文 件 2. 在 欢 迎 面 板 中, 单 击 下 一 步 3. 阅 读 许 可 协 议, 并 选 中 我 接 受 许 可 协 议 中 的 条 款 旁 边 的 方 框 单 击 下 一 步 继 续 安 装 4. 在 客 户 信 息 中, 输 入 所 需 的 详 细 信 息, 然 后 单 击 下 一 步 5. 在 目 标 文 件 夹 面 板 中, 单 击 更 改... 指 定 其 他 位 置 来 安 装 Splunk, 或 单 击 下 一 步 接 受 默 认 值 7

8 Splunk 默 认 安 装 到 \Program Files\Splunk 目 录 随 即 显 示 登 录 信 息 面 板 6. 在 登 录 信 息 面 板 中, 选 择 本 地 系 统 用 户, 并 单 击 下 一 步 如 果 您 要 了 解 其 他 用 户 选 项, 请 参 阅 在 Windows 上 安 装 Splunk 的 详 细 说 明 7. 在 您 指 定 用 户 后, 会 显 示 预 安 装 摘 要 面 板 单 击 安 装 继 续 8. 在 安 装 完 成 面 板 中, 立 即 选 中 使 用 Splunk 启 动 浏 览 器 和 创 建 开 始 菜 单 快 捷 方 式 的 方 框 9. 单 击 完 成 安 装 完 成,Splunk 启 动, 并 且 Splunk Web 在 支 持 的 浏 览 器 中 启 动 在 Mac OS X 上 安 装 1. 双 击 DMG 文 件 2. 在 查 找 器 窗 口 中, 双 击 splunk.pkg Splunk 安 装 程 序 随 即 打 开, 并 显 示 简 介 3. 单 击 继 续 4. 在 选 择 目 标 窗 口 中, 选 择 一 个 要 安 装 Splunk 的 位 置 要 在 默 认 目 录 /Applications/splunk 中 安 装, 单 击 硬 盘 驱 动 器 图 标 要 选 择 其 他 位 置, 单 击 选 取 文 件 夹 单 击 继 续 预 安 装 摘 要 会 显 示 如 需 更 改 : 单 击 更 改 安 装 位 置 以 选 择 一 个 新 文 件 夹, 或 者 单 击 返 回 以 返 回 某 个 步 骤 6. 单 击 安 装 安 装 随 即 开 始 这 可 能 需 要 几 分 钟 的 时 间 7. 您 的 安 装 完 成 时, 单 击 结 束 安 装 完 成, 现 在 您 可 以 启 动 Splunk 了 启 动 Splunk 和 启 动 Splunk Web 启 动 Splunk 时, 会 在 您 的 主 机 上 启 动 两 个 进 程, 即 splunkd 和 splunkweb: splunkd 是 可 访 问 处 理 和 索 引 流 机 器 数 据, 并 处 理 搜 索 请 求 的 分 布 式 C/C++ 服 务 器 splunkweb 是 基 于 Python 的 应 用 程 序 服 务 器, 提 供 Splunk Web 界 面, 您 可 以 使 用 该 界 面 搜 索 和 导 航 机 器 数 据, 并 管 理 Splunk 部 署 在 Windows 上 启 动 Splunk 要 在 Windows 上 启 动 Splunk, 您 有 三 个 选 项 : 从 开 始 菜 单 启 动 Splunk 使 用 Windows 服 务 管 理 器 启 动 和 停 止 splunkd 和 splunkweb 打 开 cmd 窗 口, 并 转 到 \Program Files\Splunk\bin, 然 后 键 入 > splunk start 在 Unix 和 Mac OS X 上 启 动 Splunk 使 用 命 令 行 界 面 (CLI): 8

9 $SPLUNK_HOME/bin/splunk start $SPLUNK_HOME 是 安 装 Splunk 的 目 录 在 Unix 上 可 能 为 /opt/splunk; 在 Mac OS X 上 可 能 为 /Applications/splunk/bin/: 如 果 您 具 有 管 理 员 或 根 权 限, 您 可 以 通 过 设 置 Splunk 环 境 变 量 简 化 CLI 的 用 法 有 关 如 何 执 行 上 述 操 作 的 更 多 信 息, 请 参 阅 管 理 员 手 册 中 的 关 于 CLI 接 受 Splunk 许 可 证 在 运 行 开 始 命 令 之 后,Splunk 会 显 示 许 可 证 协 议, 并 提 示 您 先 接 受 许 可 证 再 继 续 启 动 在 您 接 受 许 可 证 之 后, 会 显 示 启 动 序 列 最 后,Splunk 会 告 诉 您 从 哪 里 访 问 Splunk Web: The Splunk Web interface is at 如 果 您 在 启 动 Splunk 时 遇 到 任 何 问 题, 请 参 阅 安 装 手 册 中 的 第 一 次 启 动 Splunk 您 可 能 需 要 的 其 他 命 令 如 果 您 需 要 停 止 重 新 启 动 或 检 查 Splunk 服 务 器 的 状 态, 请 使 用 以 下 CLI 命 令 : $ splunk stop $ splunk restart $ splunk status 启 动 Splunk Web Splunk 的 界 面 作 为 Web 服 务 器 运 行, 并 且 在 启 动 后,Splunk 会 告 诉 您 Splunk Web 界 面 的 位 置 打 开 浏 览 器 并 导 航 到 该 位 置 默 认 情 况 下,Splunk Web 在 安 装 该 网 站 主 机 的 端 口 8000 上 运 行 如 果 在 本 地 计 算 机 上 使 用 Splunk, 则 访 问 Splunk Web 的 URL 是 如 果 您 要 使 用 Enterprise 许 可 证, 第 一 次 启 动 Splunk 会 转 到 此 登 录 屏 幕 按 照 消 息 使 用 默 认 凭 据 进 行 验 证 : 如 果 使 用 Free 许 可 证, 无 需 身 份 验 证 即 可 以 使 用 Splunk 在 这 种 情 况 下, 启 动 Splunk 时, 您 不 会 看 到 此 登 录 屏 幕 相 反, 会 直 接 转 到 Splunk 主 页, 或 者 为 您 的 帐 户 设 置 的 任 何 默 认 应 用 您 使 用 默 认 密 码 登 录 时,Splunk 会 要 求 您 创 建 新 密 码 9

10 您 可 以 跳 过 此 步 骤, 或 者 更 改 您 的 密 码 以 继 续 将 数 据 导 入 Splunk 关 于 导 入 数 据 您 使 用 Splunk 时, 使 用 的 是 Splunk 索 引 中 的 数 据 请 阅 读 : 了 解 Splunk 索 引 数 据 的 类 型 将 样 本 数 据 添 加 到 Splunk 索 引 Splunk 索 引 数 据 的 类 型 Splunk 可 以 对 来 自 任 何 来 源 的 任 何 机 器 数 据 实 时 建 立 索 引 将 您 服 务 器 或 网 络 设 备 的 syslog 指 向 Splunk, 设 置 WMI 轮 询, 监 视 任 何 应 用 程 序 的 logfile, 启 用 对 文 件 系 统 或 Windows 注 册 表 的 更 改 监 视, 计 划 脚 本 以 获 取 系 统 指 标 等 不 论 您 以 何 种 方 式 获 取 数 据, 或 获 取 何 种 格 式 的 数 据,Splunk 都 能 够 以 相 同 方 式 建 立 索 引 无 需 任 何 特 定 分 析 器 或 适 配 器 写 入 或 维 护 它 将 原 始 数 据 和 富 索 引 存 储 在 一 个 高 效 基 于 文 件 系 统 的 压 缩 数 据 存 储 区 中 如 果 您 需 要 证 明 数 据 的 完 整, 则 可 选 用 数 据 签 名 和 审 计 功 能 本 教 程 只 介 绍 一 种 输 入 类 型, 即 上 载 本 地 文 件 ( 这 是 您 在 本 教 程 中 需 要 运 行 的 所 有 内 容 ) 有 关 Splunk 可 以 处 理 的 所 有 其 他 类 型 的 数 据 输 入, 以 及 如 何 添 加 它 们 的 信 息, 请 参 阅 数 据 导 入 手 册 中 从 Splunk 可 为 哪 些 内 容 创 建 索 引 主 题 开 始 的 内 容 将 数 据 导 入 Splunk 的 方 法 将 数 据 添 加 到 Splunk 时, 有 多 种 灵 活 的 数 据 输 入 方 法 可 供 选 择 :Splunk Web Splunk 的 CLI, 以 及 inputs.conf 配 置 文 件 您 可 以 使 用 Splunk Web 添 加 大 多 数 数 据 源 如 果 您 有 权 访 问 配 置 文 件, 则 可 以 使 用 具 有 更 广 泛 配 置 选 项 的 inputs.conf 您 使 用 Splunk Web 或 Splunk CLI 所 做 的 任 何 更 改 将 写 入 inputs.conf 将 样 本 数 据 添 加 到 Splunk 索 引 主 题 简 要 概 述 了 使 用 Splunk Web 添 加 新 数 据 的 常 规 步 骤 有 关 配 置 输 入 的 更 多 信 息, 请 参 阅 数 据 导 入 手 册 中 的 Splunk 可 为 哪 些 内 容 创 建 索 引 一 章 Splunk 存 储 数 据 的 位 置 您 会 注 意 到 术 语 索 引 具 有 多 种 含 义 首 要 的 是, 当 Splunk 对 新 数 据 建 立 索 引 时, 它 会 将 原 始 数 据 处 理 为 可 搜 索 的 数 据 其 次, 当 我 们 谈 及 Splunk 索 引 时, 所 指 为 Splunk 用 来 存 储 所 有 或 部 分 数 据 的 数 据 存 储 区 因 此, 当 我 们 对 新 数 据 建 立 索 引 时,Splunk 会 将 数 据 存 储 在 索 引 中 另 外, 当 您 搜 索 时, 是 在 与 一 个 或 多 个 索 引 中 的 数 据 进 行 匹 配 应 用 和 输 入 当 您 向 Splunk 添 加 输 入 时, 该 输 入 将 相 对 于 您 所 在 的 应 用 进 行 添 加 某 些 应 用 会 写 入 输 入 数 据 至 其 特 定 索 引 ( 例 如, 适 用 于 Unix 和 Linux 的 Splunk 应 用 会 使 用 'os' 索 引 ) 如 果 在 Splunk 中 未 找 到 您 确 定 的 数 据, 请 确 保 您 正 在 搜 索 正 确 的 索 引 对 于 Splunk 用 户, 这 是 您 在 开 始 搜 索 和 了 解 更 多 关 于 数 据 的 信 息 之 前, 务 必 要 了 解 的 一 点 如 果 您 要 阅 读 有 关 在 您 10

11 的 索 引 中 管 理 数 据 的 更 多 内 容, 请 参 阅 管 理 索 引 器 和 群 集 手 册 中 的 索 引 概 述 一 章 将 样 本 数 据 导 入 到 Splunk 本 主 题 假 定 您 已 下 载 安 装 和 启 动 Splunk 服 务 器 如 果 您 尚 未 下 载 安 装 和 启 动 Splunk 服 务 器, 请 返 回 上 一 个 主 题 获 取 如 何 操 作 的 说 明 启 动 并 登 录 Splunk 之 后, 需 要 为 其 提 供 您 可 以 搜 索 的 数 据 本 主 题 将 向 您 介 绍 下 载 样 本 数 据 集, 并 将 其 添 加 到 Splunk 下 载 样 本 数 据 文 件 本 教 程 使 用 虚 构 网 上 商 店 ( 鲜 花 礼 品 店 ) 的 样 本 数 据 向 您 介 绍 如 何 使 用 Splunk 样 本 数 据 包 括 : Apache Web 服 务 器 日 志 mysql 数 据 库 日 志 您 可 以 从 文 件 和 目 录 网 络 端 口 和 自 定 义 脚 本 提 供 Splunk 数 据, 但 在 本 教 程 中, 您 需 要 将 一 个 压 缩 文 件 直 接 上 载 到 Splunk 另 外, 本 教 程 设 计 为 在 几 小 时 之 内 完 成 但 是, 如 果 您 要 用 几 天 的 时 间 完 成 本 教 程, 仅 需 下 载 一 个 新 的 样 本 数 据 文 件 并 添 加 即 可! 要 继 续 本 教 程, 从 以 下 位 置 下 载 ( 但 不 要 解 压 缩 ) 样 本 数 据 :sampledata.zip 该 样 本 数 据 每 日 更 新 将 样 本 数 据 添 加 到 Splunk 登 录 Splunk 后 应 会 转 到 Splunk 主 页 如 果 您 所 看 到 的 第 一 个 视 图 并 非 主 页, 请 使 用 应 用 列 表 选 择 主 页 1. 在 Splunk 主 页 中, 单 击 添 加 数 据 随 即 转 到 向 Splunk 添 加 数 据 对 话 框, 您 可 以 在 其 中 选 择 数 据 类 型 以 添 加 或 选 择 数 据 源 2. 在 或 选 择 数 据 源 的 下 方, 单 击 从 文 件 和 目 录 11

12 随 即 转 到 预 览 数 据 对 话 框, 利 用 此 对 话 框 可 在 将 数 据 添 加 到 Splunk 索 引 之 前 预 览 数 据 在 本 教 程 中, 您 不 需 要 这 样 做 如 果 您 想 阅 读 有 关 数 据 预 览 的 更 多 信 息, 请 参 阅 数 据 导 入 手 册 中 的 数 据 预 览 概 述 3. 选 择 跳 过 预 览, 并 单 击 继 续 随 即 转 到 主 页 > 添 加 数 据 > 文 件 和 目 录 > 新 增 视 图 这 是 您 将 要 上 载 样 本 数 据 文 件 的 位 置 通 常, 您 只 需 完 成 此 操 作 即 可,Splunk 会 处 理 余 下 的 操 作 且 无 需 任 何 更 改 不 过, 在 本 教 程 中 您 还 将 编 辑 某 些 属 性 4. 在 数 据 来 源 的 下 方, 选 择 上 载 和 建 立 文 件 索 引, 并 浏 览 您 刚 下 载 的 样 本 数 据 文 件 事 件 的 source 会 告 诉 您 它 的 来 源 如 果 您 从 文 件 和 目 录 收 集 数 据, 则 数 据 来 源 是 文 件 或 目 录 的 完 整 路 径 名 如 果 是 基 于 网 络 的 数 据 来 源, 则 数 据 来 源 为 协 议 和 端 口, 例 如 UDP: 选 择 更 多 设 置 此 操 作 允 许 您 覆 盖 Splunk 主 机 来 源 类 型 和 索 引 的 默 认 设 置 事 件 的 主 机 值 通 常 是 事 件 来 源 的 网 站 主 机 的 主 机 名 IP 地 址 或 完 全 限 定 的 域 名 如 果 您 查 看 Sampledata.zip 文 件, 会 发 现 它 包 括 四 个 目 录 ( 文 件 夹 ): 其 中 的 三 个 文 件 夹 根 据 Apache Web 服 务 器 命 名, 另 一 个 根 据 MySQL 服 务 器 命 名 事 件 的 来 源 类 型 告 诉 您 数 据 是 哪 种 类 型 的 数 据, 通 常 基 于 数 据 的 格 式 设 定 方 式 来 源 类 型 的 示 例 为 access_combined 或 cisco_syslog 这 种 分 类 允 许 您 跨 多 个 数 据 来 源 和 主 机 搜 索 相 同 类 型 的 数 据 有 关 Splunk 数 据 来 源 如 何 为 数 据 分 类 的 更 多 信 息, 请 阅 读 数 据 导 入 手 册 中 的 来 源 类 型 为 何 重 要 索 引 设 置 告 诉 Splunk 放 置 数 据 的 位 置 默 认 情 况 下, 它 存 储 在 main 中, 但 您 有 许 多 类 型 时 可 能 要 考 虑 将 数 据 划 分 到 不 同 的 索 引 中 有 关 创 建 自 定 义 索 引 的 更 多 信 息, 请 阅 读 管 理 索 引 器 和 群 集 手 册 中 的 设 置 多 个 索 引 在 本 教 程 中, 只 需 更 改 主 机 设 置 即 可 6. 在 主 机 和 设 置 主 机 的 下 方, 选 择 路 径 上 的 正 则 表 达 式 您 需 要 host 值 匹 配 Sampledata.zip 中 包 含 的 文 件 夹 名 称 选 择 路 径 上 的 正 则 表 达 式 即 会 指 示 Splunk 使 用 正 则 表 达 式 ( 正 则 表 达 式 ) 来 匹 配 压 缩 文 件 中 的 路 径 的 段, 并 将 其 设 置 为 主 机 值 12

13 7. 在 正 则 表 达 式 的 下 方, 复 制 和 粘 贴 : 对 于 Linux\Unix: Sampledata.zip:./([^/]+)/ 对 于 Windows: Sampledata.zip:.\\([^/]+)/ 该 正 则 表 达 式 应 与 (Linux/Unix) Sampledata.zip/ 或 (Windows) Sampledata.zip\ 下 方 的 段 路 径 中 的 所 有 字 符 匹 配 8. 单 击 保 存 完 成 时,Splunk 会 显 示 一 条 消 息, 说 明 上 载 已 成 功 后 续 步 骤 单 击 开 始 搜 索, 继 续 学 习 本 教 程 的 下 一 个 主 题, 以 在 搜 索 应 用 中 查 看 数 据 搜 索 和 搜 索 语 言 关 于 本 章 现 在, 您 已 将 样 本 数 据 添 加 到 Splunk, 可 以 开 始 搜 索 该 数 据 了 Splunk 教 程 的 本 章 : 介 绍 搜 索 应 用 引 导 您 在 Splunk 中 搜 索, 以 关 键 字 和 短 语 开 始, 在 继 续 进 行 之 前 指 定 时 间 范 围 字 段 并 使 用 搜 索 语 言 讨 论 如 何 保 存 搜 索, 并 再 次 对 其 进 行 访 问 提 供 更 多 搜 索 示 例, 其 中 包 括 如 何 写 入 子 搜 索, 使 用 带 字 段 查 找 的 事 件 等 来 丰 富 事 件 首 先, 让 我 们 了 解 搜 索 应 用 搜 索 应 用 13

14 本 主 题 假 定 您 刚 刚 为 网 上 鲜 花 礼 品 店 添 加 了 样 本 数 据 如 果 您 尚 未 添 加, 请 返 回 添 加 数 据 教 程, 先 获 取 数 据 再 继 续 您 在 Splunk 中 具 有 样 本 数 据 之 后, 便 可 开 始 搜 索 了 本 主 题 介 绍 搜 索 应 用, 搜 索 应 用 是 Splunk 搜 索 和 分 析 数 据 的 默 认 界 面 如 果 您 已 经 熟 悉 搜 索 界 面, 您 可 以 跳 过 去, 并 开 始 搜 索 查 找 搜 索 应 用 在 Splunk 的 任 意 位 置, 从 位 于 右 上 角 的 系 统 导 航 栏 中 的 应 用 列 表 访 问 搜 索 应 用 如 果 应 用 列 表 不 可 用, 请 单 击 页 面 左 上 角 的 << 返 回 主 页 链 接 : 您 回 到 主 页 后, 请 从 应 用 列 表 中 选 择 搜 索 您 在 搜 索 应 用 中 看 到 的 第 一 个 视 图 是 摘 要 仪 表 板 摘 要 仪 表 板 摘 要 仪 表 板 会 显 示 与 您 刚 刚 上 载 到 此 Splunk 服 务 器 的 数 据 有 关 的 信 息, 并 提 供 开 始 搜 索 该 数 据 的 方 法 该 仪 表 板 上 显 示 的 指 标 由 保 存 的 搜 索 生 成, 您 每 次 访 问 和 重 新 加 载 此 页 面 时 都 会 在 后 台 运 行 保 存 的 搜 索 ( 在 本 教 程 的 结 尾 部 分, 您 将 可 以 运 行 搜 索 保 存 搜 索 使 用 搜 索 构 建 您 自 己 的 仪 表 板, 与 示 例 仪 表 板 十 分 类 似 ) 此 仪 表 板 包 含 哪 些 内 容? 使 用 搜 索 应 用 导 航 栏 在 搜 索 应 用 中 查 找 和 访 问 不 同 的 仪 表 板, 其 中 包 括 摘 要 ( 您 现 在 所 处 的 位 置 ) 和 搜 索 ( 您 在 其 中 执 行 大 部 分 搜 索 操 作 ) 您 单 击 链 接 时,Splunk 会 转 到 个 别 的 仪 表 板, 或 者 在 您 已 经 位 于 相 应 的 仪 表 板 时 刷 新 页 面 导 航 栏 中 的 菜 单 项 : 状 态 : 使 用 此 菜 单 访 问 监 视 Splunk 实 例 上 的 索 引 状 态 和 服 务 器 活 动 的 仪 表 板 仪 表 板 和 视 图 : 使 用 此 菜 单 访 问 搜 索 应 用 中 的 其 他 仪 表 板 搜 索 和 报 表 : 使 用 此 菜 单 访 问 和 管 理 所 有 保 存 的 搜 索 和 报 表 14

15 仪 表 板 中 的 其 他 项 目 : 搜 索 栏 使 用 搜 索 栏 键 入 搜 索 字 符 串 时 间 范 围 选 择 器 : 选 择 要 检 索 事 件 的 时 间 范 围 所 有 索 引 数 据 面 板 : 显 示 有 关 您 的 索 引 事 件 数 据 的 指 标 其 中 包 括 在 Splunk 索 引 中 您 具 有 的 事 件 总 数, 以 及 最 早 和 最 新 已 索 引 事 件 的 时 间 戳 它 还 表 明 上 次 刷 新 此 数 据 的 时 间 ( 或 者 您 上 次 重 新 加 载 该 仪 表 板 的 时 间 ) 数 据 来 源 面 板 : 显 示 Splunk 服 务 器 的 数 据 排 名 最 靠 前 的 数 据 来 源 来 源 类 型 面 板 : 显 示 Splunk 服 务 器 数 据 排 名 最 靠 前 的 来 源 类 型 主 机 : 显 示 Splunk 服 务 器 数 据 排 名 最 靠 前 的 主 机 启 动 搜 索 如 果 您 在 本 教 程 中 要 使 用 全 新 安 装 的 Splunk 服 务 器, 则 只 会 看 到 您 刚 刚 上 载 的 样 本 数 据 文 件 因 为 它 是 一 次 性 上 载 的 文 件, 该 数 据 不 会 更 改 您 添 加 更 多 数 据 时, 在 此 仪 表 板 上 将 有 更 多 信 息 如 果 您 添 加 指 向 非 静 态 的 数 据 来 源 的 数 据 导 入 ( 例 如, 由 应 用 程 序 写 入 的 日 志 文 件 ), 则 更 多 数 据 从 您 的 数 据 来 源 传 入 时, 摘 要 页 面 上 的 数 字 会 更 改 如 果 您 使 用 的 是 在 企 业 环 境 中 部 署 的 共 享 或 预 安 装 的 Splunk 服 务 器, 则 可 能 在 该 仪 表 板 上 会 看 到 更 多 的 信 息 1. 仔 细 查 看 摘 要 仪 表 板 在 数 据 来 源 面 板 中, 您 应 看 到 您 刚 刚 上 载 的 网 上 鲜 花 礼 品 店 数 据 的 三 个 Apache Web 服 务 器 日 志 和 一 个 mysql 数 据 库 日 志 如 果 您 熟 悉 Apache Web 服 务 器 日 志, 您 可 能 将 access_combined_wcookie 来 源 类 型 视 为 与 Web 访 问 日 志 相 关 的 一 种 日 志 格 式 此 来 源 类 型 的 所 有 数 据 应 提 供 有 关 访 问 鲜 花 礼 品 店 网 站 的 人 员 的 信 息 在 Splunk 中 搜 索 的 交 互 性 非 常 强 虽 然 在 摘 要 面 板 中 有 搜 索 栏, 但 现 在 还 不 需 要 在 其 中 键 入 任 何 内 容 在 摘 要 仪 表 板 中 列 出 的 每 个 数 据 来 源 来 源 类 型 和 主 机 都 是 一 个 链 接, 在 您 单 击 这 些 链 接 时 都 会 启 动 搜 索 2. 在 来 源 类 型 面 板 中, 单 击 access_combined_wcookie Splunk 会 转 入 搜 索 仪 表 板, 在 其 中 运 行 搜 索 并 显 示 结 果 搜 索 仪 表 板 此 视 图 有 许 多 组 件, 因 此 在 继 续 搜 索 之 前 让 我 们 看 看 这 些 组 件 15

16 此 搜 索 仪 表 板 包 含 哪 些 内 容? 搜 索 栏 和 时 间 范 围 挑 选 器 应 是 您 所 熟 悉 的 -- 它 也 位 于 摘 要 仪 表 板 中 但 是, 现 在 您 还 会 看 到 事 件 的 计 数 时 间 线 字 段 菜 单, 以 及 检 索 事 件 或 搜 索 结 果 的 列 表 搜 索 模 式 : 使 用 搜 索 模 式 控 制 搜 索 体 验 通 过 减 少 搜 索 模 式 返 回 的 事 件 数 据, 可 以 将 搜 索 模 式 设 置 为 加 快 搜 索 的 速 度 ( 快 速 模 式 ), 或 者 可 以 将 搜 索 模 式 设 置 为 尽 可 能 地 多 传 回 事 件 信 息 ( 详 细 模 式 ) 在 智 能 模 式 ( 默 认 设 置 ) 下, 它 会 基 于 您 在 运 行 的 搜 索 类 型 自 动 切 换 搜 索 行 为 有 关 更 多 信 息, 请 参 阅 搜 索 手 册 中 的 设 置 搜 索 模 式 以 调 整 搜 索 体 验 搜 索 操 作 : 在 搜 索 完 成 之 前, 使 用 这 些 按 钮 控 制 搜 索 任 务, 或 者 在 搜 索 完 成 之 后 使 用 这 些 按 钮 对 结 果 执 行 操 作 如 果 按 钮 不 可 用, 则 可 能 处 于 非 活 动 状 态 并 且 显 示 为 灰 色 如 果 您 要 运 行 花 很 长 时 间 才 能 完 成 的 搜 索 时, 您 可 能 要 : 发 送 到 后 台 运 行 暂 停 完 成 取 消 或 检 查 在 搜 索 完 成 后, 您 可 以 打 印 结 果 使 用 保 存 菜 单 访 问 搜 索 和 搜 索 结 果 的 保 存 选 项 使 用 创 建 菜 单 创 建 仪 表 板 告 警 报 表 等 匹 配 事 件 和 已 扫 描 事 件 的 计 数 : 搜 索 运 行 时,Splunk 会 在 检 索 事 件 时 显 示 两 个 不 断 变 化 的 事 件 计 数 : 一 个 是 匹 配 事 件 计 数, 另 一 个 是 已 扫 描 事 件 的 计 数 搜 索 完 成 时, 在 时 间 线 上 显 示 的 计 数 是 匹 配 事 件 的 总 数 在 时 间 线 的 下 方 以 及 事 件 列 表 的 上 方 显 示 的 计 数 表 示 在 您 所 选 的 时 间 范 围 期 间 内 事 件 的 数 目 正 如 我 们 稍 后 将 看 到 的, 在 您 钻 取 调 查 时 该 数 字 会 更 改 事 件 的 时 间 线 : 时 间 线 是 在 每 个 时 间 点 上 发 生 的 事 件 数 的 虚 拟 表 示 时 间 线 随 您 的 搜 索 结 果 更 新 时, 您 可 能 会 注 意 到 条 形 的 群 集 或 模 式 每 个 条 形 的 高 度 表 示 事 件 的 记 数 时 间 线 中 的 峰 值 或 谷 值 表 示 活 动 高 峰 或 服 务 器 停 机 因 此, 时 间 线 对 突 出 显 示 事 件 的 模 式 或 调 查 事 件 活 动 中 的 峰 值 或 谷 值 非 常 有 用 时 间 线 选 项 位 于 时 间 线 上 方 您 可 放 大 缩 小 及 更 改 图 表 刻 度 字 段 边 栏 : 您 对 数 据 建 立 索 引 时, 默 认 情 况 下 Splunk 会 从 设 定 为 名 称 和 值 对 格 式 的 数 据 ( 我 们 称 为 字 段 ) 中 自 动 识 别 和 提 取 信 息 您 运 行 搜 索 时,Splunk 会 在 搜 索 结 果 旁 边 的 字 段 边 栏 中 列 出 它 识 别 的 所 有 字 段 您 可 以 选 择 要 在 您 的 事 件 中 显 示 的 其 他 字 段 另 外, 您 还 可 以 隐 藏 边 栏, 并 且 将 结 果 区 域 最 大 化 所 选 字 段 是 在 您 的 搜 索 结 果 中 设 置 为 可 见 的 字 段 默 认 情 况 下, 显 示 主 机 数 据 来 源 和 来 源 类 型 感 兴 趣 的 字 段 是 Splunk 已 从 您 的 搜 索 结 果 中 提 取 的 其 他 字 段 结 果 区 域 : 位 于 时 间 线 下 方 的 结 果 区 域 会 显 示 Splunk 检 索 为 您 的 结 果 匹 配 的 事 件 默 认 情 况 下, 结 果 显 示 为 事 件 的 列 表, 从 最 近 期 的 事 件 开 始 排 序 您 可 以 使 用 面 板 左 上 角 的 图 标 以 表 格 的 形 式 查 看 结 果 ( 单 击 表 格 图 标 ), 或 以 图 表 形 式 查 看 结 果 ( 单 击 图 表 图 标 ) 如 果 要 导 出 搜 索 结 果, 使 用 导 出 按 钮 您 可 以 将 输 出 格 式 指 定 为 CSV 原 始 事 件 XML 或 JSON 选 择 选 项 以 更 改 事 件 在 结 果 区 域 中 的 显 示 方 式, 例 如 : 换 行 结 果, 显 示 或 隐 藏 行 号 等 开 始 搜 索 本 主 题 引 导 您 使 用 搜 索 界 面 进 行 简 单 搜 索 如 果 您 不 熟 悉 搜 索 界 面, 在 继 续 进 行 之 前, 请 返 回 到 搜 索 应 用 教 程 相 关 背 景 : 您 是 网 上 鲜 花 礼 品 店 的 客 户 支 持 团 队 的 成 员 今 天 是 您 第 一 天 上 班 您 想 要 对 此 礼 品 店 多 一 些 了 解 您 想 知 道 答 案 的 一 些 问 题 如 下 : 这 家 商 店 销 售 什 么 商 品? 每 件 商 品 的 成 本 是 多 少? 有 多 少 人 访 问 过 该 网 站? 今 天 有 多 少 人 买 过 东 西? 每 天 最 热 卖 的 商 品 是 什 么? 16

17 今 天 是 您 第 一 天 从 事 网 上 鲜 花 礼 品 店 客 户 支 持 团 队 的 工 作 当 您 正 刚 开 始 深 入 了 解 该 店 的 Web 访 问 日 志 时, 就 接 到 了 客 户 的 投 诉 电 话, 客 户 在 购 买 礼 品 给 女 朋 友 时 遇 到 了 问 题 -- 尝 试 完 成 购 买 时 不 断 遇 到 服 务 器 错 误 他 向 您 提 供 了 他 的 IP 地 址 关 键 字 搜 索 您 可 以 搜 索 Splunk 中 的 所 有 内 容 您 不 必 熟 悉 数 据 中 的 信 息, 因 为 在 Splunk 中 搜 索 任 意 格 式, 只 需 将 关 键 字 键 入 搜 索 栏 并 敲 击 Enter 键 ( 或 单 击 搜 索 栏 尾 部 的 绿 色 箭 头 ) 即 可 键 盘 缓 冲, 或 搜 索 助 理 在 上 一 个 主 题 中, 您 通 过 单 击 Web 访 问 来 源 类 型 (access_combined_wcookie) 从 摘 要 仪 表 板 运 行 搜 索 使 用 同 一 搜 索 可 查 找 该 客 户 在 网 上 鲜 花 礼 品 店 的 最 近 访 问 历 史 记 录 1. 将 客 户 的 IP 地 址 键 入 搜 索 栏 : sourcetype="access_combined_wcookie" 您 键 入 搜 索 栏 时,Splunk 的 搜 索 助 理 打 开 当 您 在 搜 索 栏 中 键 入 每 个 关 键 字 时, 搜 索 助 理 会 向 您 显 示 键 盘 缓 冲 或 每 个 关 键 字 的 上 下 文 匹 配 项 和 完 成 项 这 些 上 下 文 匹 配 项 基 于 数 据 内 容 匹 配 的 术 语 下 的 条 目 将 随 着 您 的 键 入 而 更 新, 因 为 术 语 的 可 能 完 成 项 也 会 更 改 搜 索 助 理 还 会 显 示 搜 索 术 语 的 匹 配 项 数 量 通 过 这 个 数 字, 您 便 可 以 了 解 Splunk 将 返 回 多 少 搜 索 结 果 如 果 术 语 或 短 语 并 不 存 在 于 数 据 之 中, 搜 索 助 理 就 不 会 列 出 该 术 语 或 短 语 现 在, 请 忽 略 上 下 文 帮 助 旁 边 的 右 面 板 上 的 所 有 内 容 您 开 始 学 习 下 文 中 介 绍 的 搜 索 语 言 后 会 发 现 搜 索 助 理 具 有 更 多 的 用 途 并 且, 如 果 您 不 要 打 开 搜 索 助 理, 单 击 关 闭 自 动 打 开, 并 使 用 搜 索 栏 下 方 的 绿 色 箭 头 关 闭 窗 口 更 多 关 键 字 搜 索 2. 如 果 您 尚 未 运 行, 请 运 行 IP 地 址 的 搜 索 ( 敲 击 Enter 键 ) Splunk 会 检 索 网 上 鲜 花 礼 品 店 的 客 户 访 问 历 史 记 录 时 间 线 也 会 更 新, 但 我 们 会 稍 后 讲 述 此 内 容 现 在, 让 我 们 来 看 看 搜 索 结 果 每 次 您 运 行 搜 索 时,Splunk 会 在 搜 索 结 果 中 突 出 显 示 您 在 搜 索 栏 中 已 键 入 的 内 容 3. 略 览 搜 索 结 果 您 应 该 在 与 网 上 商 店 相 关 的 事 件 中 识 别 出 单 词 和 短 语 ( 鲜 花 产 品 购 买 等 ) 17

18 客 户 提 到 他 正 在 购 买 礼 物, 因 此 让 我 们 看 看 通 过 搜 索 购 买 可 找 到 什 么 4. 在 搜 索 栏 中 键 入 购 买, 并 运 行 搜 索 : sourcetype="access_combined_wcookie" purchase 您 搜 索 关 键 字 时, 您 的 搜 索 不 区 分 大 小 写, 并 且 Splunk 会 在 事 件 数 据 的 原 始 文 本 中 的 任 何 位 置 检 索 包 含 这 些 关 键 字 的 事 件 在 Splunk 检 索 的 结 果 中, 显 示 的 是 每 次 客 户 尝 试 从 网 上 商 店 购 买 东 西 的 事 件 看 来 他 一 直 都 很 忙 录! 使 用 布 尔 运 算 符 如 果 您 熟 悉 Apache 服 务 器 日 志, 在 本 例 中 为 access_combined 格 式, 则 您 会 注 意 到 这 些 事 件 中 的 大 部 分 事 件 的 HTTP 状 态 为 200 或 成 功 这 些 事 件 不 能 马 上 引 起 您 的 关 注, 因 为 客 户 正 在 报 告 问 题 Splunk 支 持 布 尔 运 算 符 : AND OR 和 NOT 您 在 搜 索 中 使 用 布 尔 表 达 式 时, 运 算 符 必 须 为 大 写 形 式 5. 使 用 布 尔 NOT 运 算 符 可 快 速 删 除 所 有 这 些 成 功 的 页 面 请 求 键 入 : sourcetype="access_combined_wcookie" purchase NOT 200 两 个 搜 索 术 语 之 间 始 终 隐 含 有 AND 运 算 符 因 此, 步 骤 5 中 的 搜 索 与 以 下 布 尔 运 算 符 的 作 用 相 同 : sourcetype="access_combined_wcookie" AND AND purchase NOT 200 您 会 注 意 到 客 户 遇 到 了 HTTP 服 务 器 (503) 和 客 户 端 (404) 错 误 但 是, 他 特 别 提 到 服 务 器 错 误, 因 此 让 我 们 快 速 地 删 除 不 相 关 的 事 件 向 您 的 搜 索 快 速 并 且 交 互 添 加 布 尔 子 句 的 另 一 个 方 法 是 使 用 您 的 搜 索 结 果 Splunk 允 许 您 从 搜 索 结 果 中 突 出 显 示 和 选 择 任 何 段, 以 使 用 您 的 键 盘 和 鼠 标 快 速 并 且 交 互 地 添 加 删 除 和 排 除 它 们 : 要 添 加 更 多 搜 索 术 语, 请 从 搜 索 结 果 中 突 出 显 示 并 单 击 您 所 需 的 单 词 或 短 语 ( 在 步 骤 6 中 对 此 进 行 演 示 ) 要 从 搜 索 中 删 除 某 个 术 语, 单 击 搜 索 结 果 中 的 该 单 词 或 短 语 的 突 出 显 示 实 例 要 从 搜 索 结 果 中 排 除 事 件, 按 住 ALT 并 单 击 您 不 希 望 Splunk 匹 配 的 术 语 6. 在 搜 索 结 果 中 将 鼠 标 放 在 404 的 实 例 上, 然 后 按 住 ALT 并 单 击 这 会 更 新 含 有 NOT 404 的 搜 索 字 符 串, 并 且 筛 选 出 包 含 该 术 语 的 所 有 事 件 18

19 从 这 些 结 果, 您 会 看 到 每 次 客 户 尝 试 完 成 购 买 就 收 到 服 务 器 错 误 的 情 况 现 在, 您 已 经 确 认 客 户 所 报 告 的 情 况, 您 可 以 继 续 钻 取 以 找 到 根 源 所 在 阅 读 关 于 搜 索 的 更 多 信 息 您 运 行 搜 索 时, 隐 式 使 用 搜 索 命 令 从 Splunk 索 引 中 检 索 事 件 搜 索 命 令 可 让 您 使 用 关 键 字 短 语 字 段 布 尔 表 达 式 和 比 较 表 达 式 来 准 确 指 定 要 检 索 的 事 件 本 主 题 介 绍 了 使 用 关 键 字 和 布 尔 表 达 式 进 行 搜 索 本 教 程 后 面 的 主 题 将 深 入 介 绍 使 用 时 间 字 段 和 搜 索 语 言 进 行 搜 索 本 教 程 未 介 绍 的 内 容 为 将 比 较 表 达 式 和 运 算 符 用 于 精 确 的 短 语 匹 配 TERM() 和 CASE() 请 阅 读 搜 索 手 册 检 索 事 件 一 章 的 使 用 搜 索 命 令 中 有 关 这 些 方 法 的 更 多 内 容 后 续 步 骤 您 准 备 好 继 续 进 行 时, 请 转 到 下 一 个 主 题, 了 解 如 何 在 Splunk 中 使 用 时 间 线 交 互 调 查 和 故 障 排 除 使 用 时 间 线 本 主 题 假 定 您 已 经 熟 悉 运 行 简 单 的 搜 索 来 检 索 事 件 如 果 您 尚 不 熟 悉, 请 返 回 使 用 关 键 字 通 配 符 和 布 尔 搜 索 查 明 错 误 的 上 一 主 题 关 于 时 间 线 选 项 时 间 线 位 于 搜 索 栏 和 时 间 范 围 选 择 器 的 下 方 在 时 间 线 的 顶 部 是 您 可 用 于 下 列 用 途 的 选 项 隐 藏 时 间 线 缩 小 以 在 时 间 线 中 查 看 更 多 事 件 ( 这 会 更 改 在 时 间 线 中 显 示 的 时 间 范 围 ) 缩 放 到 所 选 区 域 如 果 您 选 择 了 事 件 的 子 集 ( 这 还 会 更 改 在 时 间 线 中 显 示 的 时 间 范 围 ) 将 时 间 线 的 刻 度 从 默 认 的 线 性 刻 度 更 改 为 对 数 刻 度 在 时 间 线 刻 度 旁 边 的 是 一 个 图 例, 指 示 在 时 间 线 上 显 示 的 每 个 条 形 的 跨 度 跨 度 将 取 决 于 搜 索 的 时 间 范 围 ; 例 如, 如 果 您 在 24 小 时 内 搜 索, 则 跨 度 可 能 是 1 bar = 1 hour 然 后, 如 果 您 进 行 了 缩 小, 则 时 间 的 时 间 线 会 显 示 更 多 事 件, 其 跨 度 为 1 bar = 1 day 使 用 时 间 线 调 查 重 新 回 到 鲜 花 礼 品 店, 让 我 们 继 续 讨 论 您 刚 才 帮 助 的 客 户 ( ) 他 在 购 买 礼 物 给 女 朋 友 时 报 告 了 一 个 错 误 您 确 认 了 他 的 错 误, 现 在 您 要 找 到 错 误 的 原 因 继 续 上 一 个 搜 索, 它 显 示 了 客 户 尝 试 购 买 失 败 1. 搜 索 : sourcetype="access_combined_wcookie" purchase NOT 200 NOT 404 在 上 一 个 主 题 中, 您 其 实 仅 侧 重 于 该 仪 表 板 的 事 件 查 看 器 区 域 中 列 出 的 搜 索 结 果 现 在, 让 我 们 看 看 时 间 线 19

20 在 出 现 了 与 您 的 搜 索 匹 配 的 事 件 时, 时 间 线 上 的 每 个 条 形 的 位 置 对 应 于 一 个 实 例 如 果 在 某 个 时 间 段 没 有 条 形, 则 未 找 到 事 件 2. 将 鼠 标 放 在 其 中 一 个 条 形 上 工 具 提 示 会 弹 出 并 显 示 在 该 条 形 的 时 间 跨 度 (1 个 条 形 = 1 小 时 ) 期 间 内 Splunk 找 到 的 事 件 数 条 形 越 高 表 示 在 该 时 间 发 生 的 事 件 越 多 经 常 看 到 事 件 数 的 高 峰 或 者 没 有 事 件 通 常 意 味 着 发 生 了 异 常 情 况 3. 单 击 其 中 一 个 条 形, 例 如, 最 高 的 条 形 这 会 更 新 您 的 搜 索 结 果 以 只 显 示 时 间 跨 度 内 的 事 件 您 单 击 条 形 时,Splunk 不 会 运 行 搜 索 相 反, 它 会 提 供 在 时 间 范 围 内 缩 小 的 结 果 的 预 览 此 时 仍 然 可 以 选 择 其 他 条 形 一 小 时 对 于 搜 索 来 说 仍 然 是 广 泛 的 时 间 段, 因 此 让 我 们 进 一 步 缩 小 时 间 跨 度 4. 双 击 同 一 条 形 Splunk 会 再 次 运 行 搜 索, 并 且 只 在 您 所 选 的 一 个 小 时 的 时 间 跨 度 内 检 索 事 件 您 应 该 在 事 件 查 看 器 中 看 到 相 同 的 搜 索 结 果, 但 请 注 意, 搜 索 会 覆 盖 时 间 范 围 挑 选 器, 并 且 现 在 会 显 示 自 定 义 时 间 ( 稍 后, 您 将 看 到 有 关 时 间 范 围 挑 选 器 的 更 多 内 容 ) 另 外, 现 在 每 个 条 形 代 表 一 分 钟 的 时 间 (1 个 条 形 = 1 分 钟 ) 5. 双 击 另 一 个 条 形 这 会 再 次 更 新 您 的 搜 索, 以 在 一 分 钟 的 跨 度 期 间 内 立 即 检 索 事 件 每 个 条 形 都 代 表 一 秒 钟 时 间 内 的 事 件 数 20

21 现 在, 您 要 展 开 您 的 搜 索 以 查 看 在 这 一 秒 发 生 的 所 有 事 件 ( 如 果 有 ) 6. 在 不 更 改 时 间 范 围 的 情 况 下, 使 用 星 号 替 换 搜 索 栏 中 先 前 的 搜 索 : * Splunk 支 持 使 用 星 号 (*) 通 配 符 搜 索 所 有 或 基 于 部 分 关 键 字 检 索 事 件 到 现 在 为 止, 您 只 搜 索 了 Web 访 问 日 志 该 搜 索 告 诉 Splunk 您 要 查 看 在 此 时 间 范 围 发 生 的 所 有 事 件 : 该 搜 索 会 返 回 服 务 器 的 所 有 日 志 上 的 事 件 您 需 要 查 看 不 同 用 户 的 Web 活 动 -- 可 能 是 来 自 不 同 的 主 机 但 是, 实 际 上 您 会 看 到 一 系 列 的 mysql 数 据 库 错 误 这 些 错 误 导 致 了 您 的 客 户 购 买 失 败 现 在, 您 可 以 向 IT 运 营 团 队 的 人 员 报 告 该 错 误 后 续 步 骤 在 您 准 备 就 绪 后, 请 继 续 下 一 主 题, 学 习 在 不 同 的 时 间 范 围 内 搜 索 更 改 时 间 范 围 本 主 题 假 设 您 对 运 行 特 殊 搜 索 和 使 用 时 间 线 十 分 熟 悉 如 果 您 尚 不 解, 请 查 看 前 面 有 关 搜 索 和 使 用 时 间 线 的 主 题 本 主 题 显 示 如 何 缩 小 在 过 去 的 任 何 时 间 段 内 所 执 行 的 调 查 性 搜 索 的 范 围 第 一 次 使 用 Splunk 时 便 可 立 即 对 您 的 全 部 数 据 执 行 搜 索 ; 即 搜 索 的 默 认 时 间 范 围 是 所 有 时 间 如 果 您 有 大 量 数 据, 当 您 要 调 查 15 分 钟 前 昨 天 晚 上 或 上 个 星 期 发 生 的 某 个 事 件 时, 对 此 时 间 范 围 执 行 搜 索 意 味 着 Splunk 将 花 费 很 长 时 间 来 检 索 您 要 看 到 的 结 果 如 果 您 对 事 件 发 生 时 间 有 些 了 解, 则 可 据 此 将 搜 索 目 标 设 为 相 应 时 间 段 以 便 更 快 地 获 得 结 果 选 择 时 间 范 围 重 新 回 到 网 上 鲜 花 礼 品 店 的 客 户 支 持 这 里, 开 始 新 的 一 天 在 为 自 己 倒 一 杯 热 牛 奶 咖 啡 之 前, 先 运 行 一 次 快 速 搜 索, 以 确 定 是 否 存 在 任 何 您 应 该 了 解 的 最 新 问 题 1. 返 回 到 搜 索 仪 表 板, 并 键 入 下 列 针 对 所 有 时 间 运 行 的 搜 索 : error OR failed OR severe OR (sourcetype=access_* (404 OR 500 OR 503)) 21

22 请 注 意, 此 搜 索 的 编 写 方 式 有 几 处 更 改 : 对 于 更 复 杂 的 搜 索, 它 用 括 号 将 表 达 式 组 合 在 一 起 在 求 布 尔 表 达 式 的 值 时,Splunk 先 在 最 里 层 的 括 号 内 执 行 运 算, 然 后 按 从 里 向 外 顺 序 在 下 一 对 括 号 内 执 行 运 算 当 括 号 内 的 所 有 运 算 都 完 成 时,Splunk 会 先 对 OR 子 句 求 值, 然 后 对 AND 或 NOT 子 句 求 值 而 且, 它 还 使 用 了 通 配 符 快 捷 方 式 "access_*" 来 匹 配 Web 访 问 日 志 如 果 Apache 服 务 器 日 志 有 不 同 的 来 源 类 型, 如 access_common 和 access_combined, 则 全 部 匹 配 将 搜 索 所 有 时 间 内 事 件 数 据 中 的 常 规 错 误 ( 在 此 样 本 数 据 中, 全 部 时 间 是 指 上 个 星 期 的 全 部 时 间 ) 此 搜 索 并 不 只 匹 配 一 种 类 型 的 日 志, 它 将 覆 盖 索 引 中 的 所 有 日 志 它 会 匹 配 事 件 数 据 中 出 现 的 所 有 "error" "failed" 或 "severe" 词 语 此 外, 如 果 日 志 是 Web 访 问 日 志, 则 搜 索 会 查 找 HTTP 错 误 代 码 "404" "500" 或 "503" 此 搜 索 将 返 回 大 量 错 误 您 不 想 知 道 所 有 时 间 内 都 发 生 了 什 么, 即 使 只 有 一 星 期 的 时 间 您 执 行 搜 索 只 想 知 道 最 近 发 生 的 活 动, 如 在 昨 天 晚 上 或 过 去 的 一 小 时 内 但 是, 由 于 此 数 据 集 有 限 制, 我 们 可 以 看 看 昨 天 的 错 误 2. 单 击 时 间 范 围 菜 单, 然 后 选 择 其 他 > 昨 天 3. 从 此 列 表 中 选 择 时 间 范 围 后, 系 统 会 自 动 为 您 运 行 搜 索 如 果 没 有 运 行, 请 单 击 Enter 此 搜 索 会 返 回 所 有 日 志 而 不 只 是 Web 访 问 日 志 中 的 常 规 错 误 事 件 ( 如 果 样 本 数 据 文 件 的 存 在 时 间 已 超 过 一 天, 仍 可 以 通 过 选 择 自 定 义 时 间 并 输 入 数 据 所 对 应 的 最 后 日 期 来 获 得 这 些 结 果 ) 滚 动 查 看 搜 索 结 果, 其 中 存 在 多 个 mysql 数 据 库 错 误 和 一 些 404 错 误 现 在... 可 以 利 用 实 习 生 给 您 倒 杯 咖 啡 的 时 间 向 Web 团 队 了 解 404 错 误, 另 外, 还 可 以 向 IT 运 营 团 队 了 解 周 期 性 的 服 务 器 错 误 22

23 更 多 的 时 间 范 围 选 项 Splunk 提 供 的 选 项 让 用 户 可 以 对 自 定 义 时 间 范 围 进 行 定 义 以 便 搜 索, 或 选 择 连 续 传 入 事 件 流 来 搜 索 实 时 可 针 对 连 续 的 实 时 传 入 事 件 数 据 流 启 用 实 时 搜 索 因 为 样 本 数 据 是 一 次 性 上 载 的, 运 行 实 时 搜 索 不 会 立 即 返 回 任 何 结 果 我 们 以 后 再 详 述 此 选 项 有 关 实 时 搜 索 以 及 如 何 运 行 它 们 的 详 细 信 息, 请 参 阅 搜 索 手 册 中 的 关 于 实 时 搜 索 和 报 告 自 定 义 时 间... 可 弹 出 一 个 新 窗 口, 您 可 以 使 用 此 窗 口 基 于 特 定 日 期 相 对 日 期 实 时 窗 口 或 使 用 搜 索 语 言 定 义 自 己 的 时 间 范 围 有 关 如 何 定 义 自 定 义 时 间 范 围 的 详 细 信 息, 请 参 阅 搜 索 手 册 中 的 在 搜 索 中 指 定 时 间 调 节 器 后 续 步 骤 目 前 您 已 运 行 了 匹 配 事 件 中 原 始 文 本 的 简 单 搜 索 您 仅 简 单 地 了 解 了 在 Splunk 中 能 使 用 的 功 能 如 果 您 已 准 备 好 继 续 学 习, 请 转 到 下 一 主 题 以 了 解 关 于 字 段 以 及 如 何 使 用 字 段 进 行 搜 索 使 用 字 段 搜 索 本 主 题 假 定 您 了 解 如 何 运 行 简 单 的 搜 索, 以 及 如 何 使 用 时 间 范 围 挑 选 器 和 时 间 线 如 果 您 尚 不 了 解, 请 查 看 前 面 从 开 始 搜 索 开 始 的 主 题 您 只 要 运 行 特 殊 搜 索, 仅 使 用 关 键 字 和 时 间 范 围, 可 以 了 解 关 于 数 据 的 更 多 内 容 但 是, 在 不 了 解 字 段 是 什 么, 以 及 如 何 使 用 它 们 的 情 况 下, 您 不 能 完 全 利 用 Splunk 的 更 多 高 级 搜 索 和 报 表 功 能 教 程 的 此 部 分 内 容 将 使 您 熟 悉 : Splunk 自 动 提 取 的 默 认 字 段 和 其 他 字 段 使 用 字 段 边 栏 和 字 段 对 话 框 来 查 找 有 帮 助 的 字 段 使 用 字 段 搜 索 让 我 们 回 到 在 网 上 鲜 花 礼 品 店 发 生 的 事 件 您 花 了 一 上 午 的 时 间 调 查 一 些 常 规 问 题, 并 向 其 他 团 队 报 告 了 您 所 发 现 的 问 题 您 对 自 己 对 网 站 商 店 及 其 客 户 的 了 解 非 常 满 意, 但 您 想 要 掌 握 其 中 的 要 点, 并 与 您 的 团 队 共 享 这 样 做 的 最 佳 方 法 是 使 用 字 段 关 于 字 段 ( 概 述 ) 什 么 是 字 段 字 段 以 多 种 形 式 存 在 于 机 器 数 据 中 通 常, 字 段 是 一 个 值 ( 行 上 有 固 定 的 带 分 隔 符 的 位 置 ), 或 名 称 和 值 对, 其 中 每 个 字 段 名 称 有 一 个 单 一 值 字 段 还 可 以 为 多 值 ; 即, 它 会 在 一 个 事 件 中 多 次 出 现, 并 且 每 次 出 现 都 有 一 个 不 同 的 值 在 Splunk 中, 字 段 是 区 分 不 同 事 件 的 可 搜 索 的 名 称 / 值 对, 因 为 不 是 所 有 事 件 都 具 有 相 同 的 字 段 和 字 段 值 利 用 字 段 可 编 写 更 多 定 制 的 搜 索 以 检 索 您 所 需 的 特 定 事 件 字 段 还 允 许 利 用 搜 索 语 言 创 建 图 表 和 构 建 报 表 一 些 字 段 示 例 如 下 :clientip 为 访 问 Web 服 务 器 的 IP 地 址,_time 为 事 件 的 时 间 戳, 以 及 host 为 服 务 器 的 域 名 多 值 字 段 的 一 个 较 为 常 见 的 示 例 是 电 子 邮 件 地 址 字 段 虽 然 发 件 人 字 段 只 包 含 单 一 电 子 邮 件 地 址, 但 收 件 人 和 抄 送 字 段 可 能 具 有 与 其 相 关 的 一 个 或 多 个 电 子 邮 件 地 址 有 关 更 多 信 息 ( 还 有 许 多 信 息 ), 请 阅 读 知 识 管 理 器 手 册 中 的 关 于 字 段 提 取 的 字 段 Splunk 会 从 事 件 数 据 中 提 取 字 段 两 次 在 对 该 对 数 据 建 立 索 引 时,Splunk 会 在 事 件 处 理 期 间 提 取 默 认 字 段 和 其 他 建 立 索 引 的 字 段 您 运 行 搜 索 时,Splunk 会 在 搜 索 时 提 取 一 组 不 同 的 字 段 请 阅 读 管 理 索 引 器 和 群 集 手 册 中 关 于 索 引 时 间 对 比 搜 索 时 间 的 更 多 信 息 在 索 引 时,Splunk 会 自 动 查 找 和 提 取 它 所 处 理 的 每 个 事 件 的 默 认 字 段 这 些 字 段 包 括 host source 和 sourcetype( 您 应 该 已 经 熟 悉 ) 有 关 默 认 字 段 的 完 整 列 表, 请 参 阅 知 识 管 理 器 手 册 中 的 使 用 默 认 字 段 Splunk 还 会 在 搜 索 时 ( 在 您 运 行 搜 索 时 ) 提 取 特 定 字 段 稍 后, 您 将 看 到 这 些 搜 索 的 一 些 示 例 有 关 更 多 信 息, 请 参 阅 知 识 管 理 器 手 册 中 的 搜 索 时 间 字 段 提 取 概 述 字 段 边 栏 和 对 话 框 1. 请 返 回? 搜 索? 仪 表 板, 并 搜 索 Web 访 问 活 动 从 时 间 范 围 挑 选 器 上 选 择 其 他 > 昨 天 : 23

24 sourcetype="access_*" 实 际 上 您 一 直 在 使 用 字 段! 每 次 您 搜 索 sourcetype=access_* 时, 您 都 告 诉 Splunk 只 从 Web 访 问 日 志 ( 而 不 是 其 他 位 置 ) 检 索 日 志 要 搜 索 特 定 的 字 段, 请 指 定 字 段 名 称 和 值 : fieldname="fieldvalue" sourcetype 是 字 段 名 称,access_combined_wcookie 是 字 段 值 此 处, 通 配 符 值 用 于 匹 配 以 access_( 这 包 括 access_common access_combined 和 access_combined_wcookie) 开 头 的 所 有 字 段 值 注 意 : 字 段 名 称 区 分 大 小 写, 但 字 段 值 不 区 分 大 小 写! 2. 滚 动 查 看 搜 索 结 果 如 果 您 熟 悉 Apache 日 志 的 access_combined 格 式, 您 将 辨 别 出 每 个 事 件 中 的 一 些 信 息, 例 如 : 用 户 访 问 网 站 的 IP 地 址 页 面 请 求 和 引 用 页 面 的 URI 和 URL 每 个 页 面 请 求 的 HTTP 状 态 代 码 页 面 请 求 方 法 在 Splunk 检 索 这 些 事 件 时, 用 所 选 字 段 和 感 兴 趣 的 字 段 更 新 字 段 边 栏 这 些 是 Splunk 从 您 的 数 据 中 提 取 的 字 段 请 注 意, 默 认 的 字 段 主 机 数 据 来 源 和 来 源 类 型 是 所 选 字 段, 并 且 均 会 显 示 在 搜 索 结 果 中 : 3. 滚 动 查 看 感 兴 趣 的 字 段, 以 查 看 Splunk 检 索 了 其 他 哪 些 内 容 您 应 辨 别 出 应 用 到 Web 访 问 日 志 的 字 段 名 称 例 如, 有 clientip, method, and status 这 些 不 是 默 认 字 段 ; 在 搜 索 时 已 提 取 上 述 字 段 ( 很 可 能 ) 4. 单 击 字 段 侧 栏 中 的 编 辑 链 接 字 段 对 话 框 随 即 打 开, 并 显 示 Splunk 提 取 的 所 有 字 段 可 用 字 段 是 Splunk 在 您 的 当 前 搜 索 中 从 事 件 中 标 识 的 字 段 ( 其 中 的 一 些 字 段 列 在 感 兴 趣 的 字 段 的 下 方 ) 所 选 字 段 是 您 ( 从 可 用 的 字 段 中 ) 挑 选 的 字 段, 以 显 示 在 您 的 搜 索 结 果 中 ( 默 认 情 况 下,host, source, and sourcetype 处 于 选 定 状 态 ) 24

25 5. 滚 动 查 看 可 用 字 段 的 列 表 您 已 经 熟 悉 Splunk 基 于 您 的 搜 索 从 Web 访 问 日 志 中 提 取 的 字 段 您 还 应 看 到 Splunk 定 义 的 其 他 默 认 字 段 -- 其 中 的 一 些 字 段 基 于 每 个 事 件 的 timestamp( 以 date_* 开 头 的 所 有 内 容 ) 标 点 符 号 (punct) 和 位 置 (index) 但 是, 您 还 应 注 意 与 网 上 商 店 相 关 的 其 他 提 取 字 段 例 如,action category_id 和 product_id 从 与 同 事 谈 话 中, 您 可 能 了 解 这 些 字 段 : 字 段 名 称 描 述 action 用 户 在 网 上 商 店 做 什 么 category_id 用 户 查 看 或 购 买 的 产 品 类 型 product_id 用 户 查 看 或 购 买 产 品 的 目 录 号 6. 从 可 用 字 段 列 表 中, 选 择 action category_id 和 product_id 7. 单 击 保 存 如 果 这 些 字 段 在 该 特 殊 事 件 中 存 在, 当 您 返 回 到 搜 索 视 图 时, 所 选 的 字 段 将 包 括 在 搜 索 结 果 中 不 同 的 事 件 将 具 有 不 同 的 字 段 25

26 字 段 边 栏 不 只 显 示 Splunk 已 从 您 的 数 据 中 获 取 了 哪 些 字 段 它 还 显 示 其 中 的 每 个 字 段 有 多 少 个 值 对 于 您 刚 刚 选 择 的 字 段,action 有 2 个 值,category_id 有 5 个 值,product_id 有 9 个 值 这 不 表 示 这 些 值 是 每 个 字 段 具 备 的 所 有 值 - - 这 些 值 只 是 Splunk 从 您 的 搜 索 结 果 中 获 取 的 值 其 中 的 一 些 值 是 什 么? 8. 在 所 选 字 段 的 下 方, 针 对 action 字 段 单 击 操 作 这 会 为 操 作 字 段 打 开 字 段 摘 要 此 窗 口 告 诉 您, 在 这 个 搜 索 结 果 集 合 中,Splunk 找 到 了 action 的 两 个 值, 它 们 分 别 为 purchase 和 update 另 外, 它 会 告 诉 您 action 字 段 显 示 在 71% 的 搜 索 结 果 中 这 表 示 四 分 之 三 的 Web 访 问 事 件 与 购 买 商 品 或 更 新 ( 可 能 是 购 物 车 的 商 品 数 量 ) 有 关 9. 关 闭 该 窗 口, 并 查 看 您 所 选 的 其 他 两 个 字 段, 即 category_id( 商 店 销 售 哪 些 类 型 的 商 品 ), 以 及 product_id( 产 品 的 特 定 目 录 名 称 ) 现 在, 您 稍 微 深 入 地 了 解 了 与 网 上 鲜 花 礼 品 店 相 关 的 数 据 信 息 网 上 鲜 花 礼 品 店 出 售 一 系 列 鲜 花 礼 品 植 物 糖 果 和 气 球 让 我 们 使 用 这 些 字 段, 即 category_id 和 product_id 查 看 人 们 在 购 买 什 么 商 品 使 用 字 段 运 行 针 对 性 更 强 的 搜 索 下 面 的 这 两 个 示 例 将 使 用 字 段 和 不 使 用 字 段 进 行 搜 索 时 的 结 果 进 行 比 较 示 例 1 返 回 到 运 行 用 于 在 数 据 中 查 找 错 误 的 搜 索 从 时 间 范 围 挑 选 器 上 选 择 其 他 > 昨 天 : error OR failed OR severe OR (sourcetype=access_* (404 OR 500 OR 503)) 26

27 再 次 使 用 此 搜 索, 但 这 次 在 您 的 搜 索 中 使 用 字 段 HTTP 错 误 代 码 是 status 字 段 的 值 现 在, 您 的 搜 索 如 下 所 示 : error OR failed OR severe OR (sourcetype=access_* (status=404 OR status=500 OR status=503)) 请 注 意, 两 个 搜 索 之 间 事 件 计 数 的 差 异 -- 因 为 第 二 个 搜 索 针 对 性 更 强, 所 以 返 回 的 事 件 更 少 您 基 于 任 意 关 键 字 运 行 简 单 的 搜 索 时,Splunk 会 匹 配 数 据 的 原 始 文 本 您 向 搜 索 添 加 字 段 时,Splunk 会 查 找 具 有 这 些 特 定 字 段 / 值 对 的 事 件 示 例 2 在 您 了 解 数 据 中 的 字 段 之 前, 可 能 已 运 行 此 搜 索 以 查 看 从 网 上 商 店 购 买 了 多 少 次 鲜 花 sourcetype=access_* purchase flower* 您 键 入 "flower" 时, 搜 索 助 理 会 在 键 盘 缓 冲 中 显 示 "flower" 和 "flowers' 因 为 您 不 知 道 需 要 哪 一 个, 您 可 使 用 通 配 符 来 匹 配 两 者 如 果 您 滚 动 查 看 ( 许 多 ) 搜 索 结 果, 您 会 看 到 某 些 事 件 的 action=update 和 category_id 具 有 不 同 于 flowers 的 值 这 些 不 是 您 想 要 的 事 件! 作 为 替 代, 运 行 此 搜 索 从 时 间 范 围 挑 选 器 上 选 择 其 他 > 昨 天 : sourcetype=access_* action=purchase category_id=flower* 27

28 对 于 第 二 次 搜 索, 即 使 您 仍 然 使 用 具 有 通 配 符 的 单 词 "flower*", 仍 会 只 有 一 个 匹 配 的 category_id 值 (FLOWERS) 注 意,Splunk 为 每 次 搜 索 检 索 的 事 件 数 量 存 在 差 异 ; 第 二 次 搜 索 会 返 回 明 显 较 少 的 事 件 具 有 字 段 的 搜 索 更 具 有 针 对 性, 它 为 您 的 数 据 检 索 更 精 确 的 匹 配 项 后 续 步 骤 由 于 您 了 解 如 何 使 用 字 段, 所 以 您 可 以 开 始 使 用 搜 索 语 言 来 筛 选 修 改 重 新 排 序 和 分 组 您 的 搜 索 结 果 在 您 准 备 就 绪 后, 请 继 续 到 下 一 主 题 并 学 习 如 何 使 用 搜 索 语 言 使 用 搜 索 语 言 本 主 题 假 定 您 已 经 熟 悉 如 何 使 用 关 键 字 和 字 段 / 值 对 来 运 行 简 单 的 搜 索 如 果 您 不 确 定, 请 返 回 并 阅 读 使 用 字 段 搜 索 重 新 回 到 网 上 鲜 花 礼 品 店 的 客 户 支 持 办 公 室, 您 此 前 运 行 的 搜 索 只 是 从 您 的 Splunk 索 引 中 检 索 匹 配 的 事 件 例 如, 在 先 前 的 主 题 中, 您 运 行 此 搜 索 以 查 看 鲜 花 销 售 情 况 : sourcetype=access_* action=purchase category_id=flowers 搜 索 结 果 会 告 诉 您 大 概 售 出 了 多 少 鲜 花 但 这 并 不 能 帮 助 您 回 答 问 题, 例 如 : 这 家 网 上 商 店 的 哪 些 商 品 最 热 卖? 有 多 少 名 顾 客 购 买 了 鲜 花? 每 名 顾 客 分 别 购 买 了 多 少 鲜 花? 为 了 回 答 这 些 问 题, 您 需 要 使 用 Splunk 的 搜 索 语 言, 搜 索 语 言 所 包 含 有 关 命 令 参 数 和 函 数 的 扩 展 库 能 使 您 过 滤 修 改 重 新 排 序 并 分 组 您 的 搜 索 结 果 对 于 本 教 程, 您 将 只 使 用 其 中 一 小 部 分 使 用 搜 索 助 理 构 建 搜 索 示 例 1. 这 家 网 上 商 店 的 热 卖 商 品 有 哪 些? 1. 返 回 到 搜 索 仪 表 板 并 将 您 的 搜 索 限 制 为 昨 天 的 销 售 情 况 : sourcetype=access_* action=purchase 当 您 在 搜 索 栏 中 键 入 字 符 串 时, 搜 索 助 理 将 打 开, 并 显 示 search 命 令 的 语 法 和 使 用 信 息 ( 位 于 右 侧 ) 如 果 搜 索 助 理 未 打 开, 单 击 搜 索 栏 左 侧 下 方 的 绿 色 箭 头 您 之 前 已 看 过 搜 索 助 理 为 您 在 搜 索 栏 中 键 入 的 关 键 字 显 示 键 盘 缓 冲 此 外, 还 简 要 介 绍 了 如 何 执 行 搜 索 我 们 已 经 学 习 了 如 何 检 索 事 件 现 在, 让 我 们 开 始 使 用 搜 索 命 令 2. 在 搜 索 栏 中 键 入 管 道 符 " " 管 道 符 会 向 Splunk 指 示 您 要 使 用 某 个 命 令, 并 且 您 要 使 用 管 道 符 左 侧 的 搜 索 结 果 作 为 此 命 令 的 输 入 您 可 以 通 过 搜 索 命 令 的 序 列 或 管 道 将 某 个 命 令 的 结 果 传 递 到 另 一 个 命 令 28

29 您 想 要 Splunk 为 您 提 供 该 网 上 商 店 最 热 卖 的 商 品 -- 请 使 用 此 列 表 中 的 top 命 令 3. 在 下 一 常 用 命 令 下, 单 击 top Splunk 会 将 top 命 令 附 加 到 您 的 搜 索 字 符 串 根 据 搜 索 助 理 的 描 述 和 用 法 示 例,top 命 令 会 显 示 字 段 最 常 的 见 值, 这 恰 好 符 合 您 的 要 求 您 想 要 知 道 该 网 上 商 店 售 出 哪 些 类 型 的 商 品, 而 不 仅 仅 是 鲜 花 它 还 向 您 显 示 感 兴 趣 的 字 段, 单 击 这 些 字 段 可 将 其 添 加 到 搜 索 中 4. 单 击 列 表 中 的 category_id 字 段, 或 在 搜 索 栏 中 键 入 该 字 段 以 完 成 您 的 搜 索 : sourcetype=access_* action=purchase top category_id 这 将 为 您 提 供 category_id 的 top 值 或 最 常 见 值 的 表 格 默 认 情 况 下,top 会 命 令 返 回 10 个 值, 但 您 只 有 5 种 不 同 类 型 的 商 品 因 此, 您 可 以 看 到 全 部 5 种 商 品, 并 按 每 种 类 型 的 计 数 降 序 排 列 top 命 令 还 会 返 回 两 个 新 字 段 :count 是 每 个 字 段 值 出 现 的 次 数,percent 是 该 计 数 与 总 计 数 相 比 的 大 小 请 参 阅 搜 索 参 考 手 册 中 的 top 命 令 以 获 得 更 多 信 息 钻 取 搜 索 结 果 上 一 次 的 搜 索 返 回 了 该 网 上 商 店 销 售 哪 些 商 品 以 及 售 出 数 量 的 表 格 不 过, 您 可 能 想 知 道 有 关 个 别 商 品 ( 如 鲜 花 ) 的 更 多 信 息 示 例 2: 售 出 了 多 少 鲜 花? 1. 单 击 结 果 表 中 的 Flowers 行 这 将 启 动 新 的 搜 索 Splunk 将 更 新 您 的 搜 索 以 包 括 字 段 / 值 对 category=flowers 的 过 滤 器, 这 是 您 在 示 例 2 的 搜 索 结 果 表 中 单 击 的 商 品 行 29

30 Splunk 的 钻 取 操 作 使 您 能 够 深 入 查 看 您 的 搜 索 结 果 中 的 表 格 和 图 表 所 提 供 的 信 息 请 阅 读 Splunk 数 据 可 视 化 手 册 以 获 得 有 关 钻 取 操 作 的 更 多 信 息 返 回 的 事 件 数 会 告 诉 您 鲜 花 的 购 买 次 数 示 例 3: : 有 多 少 名 不 同 的 顾 客 购 买 了 鲜 花? 1. 您 想 要 具 体 地 了 解 鲜 花 的 购 买 情 况, 因 此 继 续 使 用 先 前 示 例 中 的 搜 索 : sourcetype=access_* action=purchase category_id=flowers 按 照 IP 地 址 ( 即 clientip 字 段 值 ) 来 分 辨 那 些 访 问 鲜 花 礼 品 店 的 顾 客 2. 使 用 stats 命 令 和 distinct_count() 或 dc() 函 数 : sourcetype=access_* action=purchase category_id=flowers stats dc(clientip) 您 将 搜 索 结 果 发 送 到 stats 命 令 中, 并 使 用 distinct_count() 函 数 来 统 计 在 这 些 事 件 中 找 到 的 唯 一 clientip 值 的 数 量 这 将 返 回 单 个 值 : 这 告 诉 您 有 大 约 300 名 不 同 的 顾 客 从 该 网 上 商 店 购 买 了 鲜 花 示 例 4a: : 每 名 顾 客 分 别 购 买 了 多 少 鲜 花? 在 上 一 个 示 例 中, 您 计 算 了 有 多 少 名 不 同 的 顾 客 购 买 了 鲜 花 让 我 们 基 于 该 搜 索 构 建 1. 使 用 stats 命 令 : sourcetype=access_* action=purchase category_id=flowers stats count count() 函 数 返 回 单 个 值, 即 您 的 事 件 计 数 ( 这 应 该 与 示 例 2 中 的 结 果 匹 配 ) 现 在, 分 解 该 计 数 以 了 解 每 名 顾 客 购 买 了 多 少 鲜 花 2. 将 by 子 句 添 加 到 stats 命 令 : sourcetype=access_* action=purchase category_id=flowers stats count BY clientip 该 搜 索 为 您 提 供 不 同 的 顾 客 (clientip) 及 其 所 购 买 鲜 花 数 量 (count) 的 表 格 30

31 重 新 设 置 搜 索 结 果 的 格 式 您 可 能 知 道 该 表 的 标 题 代 表 什 么, 但 其 他 人 并 不 会 一 望 而 知 您 需 要 向 您 的 上 级 和 其 他 团 队 成 员 展 示 您 的 成 果 示 例 4b: : 如 何 改 进 4a 返 回 的 结 果? 让 我 们 继 续 示 例 4a, 并 且 稍 微 重 新 设 定 结 果 的 格 式 1. 首 先, 我 们 来 重 新 命 名 count 字 段 : sourcetype=access_* action=purchase category_id=flowers stats count AS "# Flowers Purchased" by clientip stats 命 令 的 语 法 允 许 您 使 用 "AS" 子 句 来 内 联 重 命 名 字 段 如 果 您 的 新 字 段 名 称 是 一 个 短 语, 请 使 用 双 引 号 将 其 引 起 来 stats 命 令 的 语 法 不 允 许 在 "by" 子 句 中 重 命 名 字 段 出 于 此 原 因, 您 必 须 使 用 其 他 命 令 有 关 stats 命 令 及 其 用 法 参 数 和 函 数 的 更 多 信 息, 请 参 阅 搜 索 参 考 手 册 中 的 stats 命 令 和 stats 函 数 列 表 2. 使 用 rename 命 令 来 更 改 clientip 名 称 : sourcetype=access_* action=purchase category_id=flowers stats count AS "# Flowers Purchased" by clientip rename clientip AS Customer 这 将 设 置 表 格 格 式, 以 便 将 标 题 clientip 和 count 重 命 名 为 Customer 和 # Flowers purchased: 有 关 rename 命 令 的 更 多 信 息, 请 参 阅 搜 索 参 考 手 册 中 的 rename 命 令 后 续 步 骤 在 您 运 行 更 多 的 搜 索 时, 您 可 能 需 要 保 存 它 们, 以 便 重 新 使 用 或 将 其 共 享 给 您 的 同 事 在 您 准 备 就 绪 后, 请 前 进 到 下 一 主 题 以 了 解 如 何 保 存 您 的 搜 索 并 共 享 给 其 他 人 保 存 搜 索 本 主 题 假 定 您 已 经 熟 悉 如 何 运 行 字 段 搜 索 如 果 您 不 确 定, 请 返 回 到 上 一 个 主 题, 并 阅 读 如 何 使 用 字 段 搜 索 关 于 保 存 搜 索 Splunk 提 供 了 各 种 选 项, 用 于 使 用 保 存 菜 单 保 存 您 的 搜 索 或 搜 索 结 果 在 搜 索 正 在 进 行, 或 者 在 其 完 成 或 结 束 后 可 31

32 Splunk 提 供 了 各 种 选 项, 用 于 使 用 保 存 菜 单 保 存 您 的 搜 索 或 搜 索 结 果 在 搜 索 正 在 进 行, 或 者 在 其 完 成 或 结 束 后 可 以 保 存 搜 索 本 主 题 简 要 介 绍 了 保 存 选 项, 并 在 之 后 引 导 您 使 用 Splunk Web 手 动 保 存 搜 索 以 及 之 后 再 次 访 问 该 搜 索 的 基 本 过 程 保 存 选 项 包 括 : 保 存 搜 索...: 保 存 搜 索, 这 样 您 可 以 方 便 地 再 次 运 行 搜 索, 而 不 必 重 新 键 入 搜 索 字 符 串 有 关 更 多 信 息, 请 参 阅 知 识 管 理 器 手 册 中 的 保 存 搜 索 并 共 享 搜 索 结 果 保 存 结 果 : 保 存 搜 索 结 果, 并 允 许 您 从 任 务 管 理 器 中 检 索 它 们 保 存 并 共 享 结 果 : 保 存 搜 索 结 果, 并 提 供 一 个 URL 以 便 您 能 共 享 这 些 结 果 有 关 更 多 信 息, 请 参 阅 保 存 搜 索 并 共 享 搜 索 结 果 保 存 搜 索 教 程 重 新 回 到 鲜 花 礼 品 店, 您 刚 刚 运 行 了 一 个 搜 索 以 查 看 昨 天 是 否 有 任 何 错 误 这 是 您 每 天 早 上 都 会 运 行 的 搜 索 您 决 定 保 存 此 搜 索, 以 便 不 必 每 天 手 动 键 入 它 示 例 1 运 行 搜 索 以 查 看 昨 天 出 现 的 所 有 错 误 : error OR failed OR severe OR (sourcetype=access_* (status=404 OR status=500 OR status=503)) 1. 单 击 搜 索 栏 下 方 的 保 存 2. 从 列 表 中 选 择 保 存 搜 索... 这 将 打 开 保 存 搜 索 对 话 框 3. 对 搜 索 命 名,Errors (Yesterday) 4. 单 击 完 成 Splunk 确 认 您 的 搜 索 已 被 保 存 : 5. 在 搜 索 和 报 表 列 表 中 查 找 您 所 保 存 的 搜 索 : 32

33 因 为 保 存 的 搜 索 名 称 包 含 单 词 "Error", 因 此 Splunk 在 " 错 误 " 的 已 保 存 搜 索 子 菜 单 中 列 出 此 搜 索 保 存 的 搜 索 旁 边 的 绿 点 表 示 它 是 您 的 Splunk 帐 户 的 本 地 搜 索 ; 现 在 您 是 唯 一 被 授 权 访 问 此 已 保 存 搜 索 的 用 户 由 于 您 团 队 中 的 其 他 人 可 能 也 想 运 行 此 搜 索, 因 此 您 可 以 将 其 设 置 为 他 们 有 权 访 问 的 全 局 已 保 存 搜 索 为 此, 请 阅 读 知 识 管 理 器 手 册 中 的 保 存 搜 索 并 共 享 搜 索 结 果 以 获 得 更 多 信 息 关 于 管 理 和 计 划 搜 索 管 理 搜 索 和 报 表 如 果 您 要 修 改 保 存 的 搜 索, 请 使 用 搜 索 和 报 表 菜 单, 并 选 择 管 理 搜 索 和 报 表 这 将 带 您 进 入 Splunk 管 理 器 页 面, 您 可 从 中 访 问 您 有 权 访 问 的 所 有 搜 索 和 报 表 您 可 以 从 该 页 面 上 的 相 应 列 表 中 选 择 您 的 搜 索 这 将 带 您 前 往 搜 索 编 辑 窗 口, 您 可 从 中 更 改 或 更 新 搜 索 字 符 串 描 述 时 间 范 围 和 计 划 选 项 请 阅 读 知 识 管 理 器 手 册 中 有 关 本 主 题 中 管 理 保 存 的 搜 索 的 更 多 信 息 计 划 已 保 存 搜 索 和 告 警 如 果 您 具 有 Enterprise 许 可 证,Splunk 还 允 许 您 配 置 保 存 的 搜 索 以 按 计 划 运 行, 并 根 据 计 划 的 搜 索 来 设 置 告 警 当 您 首 次 下 载 Splunk 时, 您 将 获 得 一 份 为 期 60 天 的 Enterprise Trial 许 可 证 如 果 您 在 使 用 Free 许 可 证, 您 将 无 法 计 划 已 保 存 的 搜 索 请 阅 读 告 警 手 册 中 的 计 划 已 保 存 搜 索 和 设 置 告 警 以 获 得 更 多 信 息 后 续 步 骤 从 此 时 开 始, 您 在 运 行 搜 索 后 会 保 存 搜 索 先 前, 您 知 道 了 该 网 上 商 店 的 每 名 顾 客 购 买 了 多 少 鲜 花 那 么, 如 果 您 想 要 知 道 在 给 定 某 一 天 哪 一 名 顾 客 购 买 的 商 品 最 多, 该 怎 么 办 呢? 在 您 准 备 就 绪 后, 请 继 续 到 下 一 主 题 以 学 习 另 一 种 搜 索 方 式, 这 次 我 们 将 使 用 子 搜 索 使 用 子 搜 索 上 一 个 主 题 使 用 搜 索 语 言 介 绍 了 搜 索 命 令 搜 索 管 道 和 钻 取 操 作 本 主 题 引 导 您 搜 索 光 顾 频 率 最 高 的 顾 客, 以 及 他 的 购 买 情 况 它 介 绍 了 获 得 您 所 需 结 果 的 两 个 方 法 : 不 使 用 子 搜 索 与 使 用 子 搜 索 子 搜 索 是 指 以 搜 索 管 道 为 参 数 的 搜 索 子 搜 索 被 括 在 方 括 号 中 且 将 第 一 个 进 行 评 估 子 搜 索 的 结 果 之 后 将 用 作 主 搜 索 或 外 部 搜 索 中 的 一 个 参 数 请 阅 读 搜 索 手 册 中 的 子 搜 索 如 何 工 作 以 获 得 更 多 信 息 示 例 1: : 不 使 用 子 搜 索 重 新 回 到 鲜 花 礼 品 店, 您 的 上 级 要 求 您 汇 总 一 份 报 表 以 显 示 昨 天 购 买 最 多 商 品 的 顾 客 以 及 购 买 的 商 品 仅 通 过 直 接 的 搜 索 不 容 易 得 到 此 结 果 -- 让 我 们 详 细 讨 论 此 过 程 首 先, 搜 索 昨 天 访 问 网 上 商 店 次 数 最 多 的 客 户 1. 使 用 top 命 令, 并 将 搜 索 限 制 为 昨 天 : sourcetype=access_* action=purchase top limit=1 clientip 限 制 top 命 令 以 只 返 回 一 个 clientip 结 果 如 果 您 想 看 到 多 名? 买 得 最 多 的 顾 客?, 请 更 改 此 限 制 值 有 关 top 命 令 用 法 和 语 法 的 更 多 信 息, 请 参 阅 搜 索 参 考 手 册 中 的 "top" 命 令 页 面 33

34 该 搜 索 会 返 回 一 个 clientip 值, 我 们 将 使 用 此 值 识 别 VIP 客 户 2. 使 用 stats 命 令 计 算 此 VIP 顾 客 的 购 买 次 数 : sourcetype=access_* action=purchase clientip= stats count by clientip 此 搜 索 使 用 count() 函 数, 该 函 数 只 会 返 回 该 clientip 的 购 买 次 数 您 还 想 知 道 他 购 买 了 什 么 商 品, 因 此 我 们 将 使 用 另 一 个 stats 函 数 3. 一 种 做 法 是 使 用 values() 函 数 : sourcetype=access_* action=purchase clientip= stats count, values(product_id) by clientip 这 将 为 表 格 添 加 一 列, 以 按 产 品 ID 列 出 他 所 购 买 的 商 品 此 方 法 的 缺 点 在 于 每 次 要 构 建 此 表 格 时 您 就 必 须 运 行 两 个 搜 索 买 得 最 多 的 顾 客 不 可 能 在 任 何 给 定 时 间 范 围 内 都 是 同 一 人 有 关 stats 命 令 用 法 和 语 法 的 更 多 信 息, 请 参 阅 搜 索 参 考 手 册 中 的 "stats" 命 令 页 面 此 外, 请 参 阅 搜 索 参 考 手 册 中 的 stats 函 数 列 表 以 获 得 其 他 stats 函 数 的 列 表 示 例 2: : 使 用 子 搜 索 1. 使 用 子 搜 索 来 内 联 运 行 第 1 部 分 的 搜 索 键 入 或 复 制 / 粘 贴 : sourcetype=access_* action=purchase [search sourcetype=access_* action=purchase top limit=1 clientip table clientip] stats count, values(product_id) by clientip 由 于 top 命 令 也 还 会 返 回 count 和 percent 字 段, 因 此 您 可 使 用 table 命 令 以 只 保 留 clientip 值 这 些 结 果 应 当 与 先 前 的 结 果 相 符, 前 提 是 您 在 同 一 时 间 范 围 上 运 行 它 不 过, 如 果 您 更 改 了 时 间 范 围, 则 可 能 会 看 到 不 同 的 结 果, 因 为 买 得 最 多 的 顾 客 将 有 所 不 同! 2. 重 新 设 置 结 果 格 式, 以 使 其 更 便 于 阅 读 : sourcetype=access_* action=purchase [search sourcetype=access_* action=purchase top limit=1 clientip table clientip] stats count, values(product_id) as product_id by clientip rename count AS "How much did he buy?", product_id AS "What did he buy?", clientip AS "VIP Customer" 34

35 后 续 步 骤 尽 管 该 报 表 已 完 全 可 以 接 受, 不 过 您 可 能 想 使 它 变 得 更 好 例 如, 您 认 为 您 的 上 级 无 法 根 据 产 品 ID 编 号 来 知 道 商 品 名 称 您 希 望 按 照 产 品 名 称 而 不 是 令 人 困 惑 的 产 品 ID 来 显 示 VIP 顾 客 的 购 买 情 况 在 您 准 备 就 绪 后, 请 继 续 到 下 一 主 题 以 学 习 如 何 使 用 字 段 查 找 来 为 您 的 事 件 添 加 更 多 信 息 使 用 字 段 查 找 上 一 个 主 题 引 导 了 您 如 何 使 用 子 搜 索 如 果 您 还 不 熟 悉 它, 请 返 回 并 阅 读 如 何 使 用 子 搜 索 本 主 题 将 引 导 您 使 用 字 段 查 找 来 为 您 的 事 件 添 加 新 字 段 什 么 是 字 段 查 找? 字 段 查 找 使 您 能 够 参 考 位 于 外 部 CSV 文 件 中 与 您 的 事 件 数 据 匹 配 的 字 段 通 过 使 用 此 匹 配, 您 可 以 向 事 件 数 据 添 加 更 多 有 意 义 的 信 息 和 可 搜 索 字 段 以 丰 富 这 些 数 据 请 参 阅 知 识 管 理 器 手 册 相 关 主 题, 以 了 解 有 关 如 何 使 用 字 段 查 找 来 将 HTTP 状 态 代 码 描 述 添 加 到 您 的 Web 访 问 事 件 数 据 的 示 例 在 先 前 的 示 例 中, 您 创 建 了 一 个 报 表, 其 中 列 出 了 买 得 最 多 的 顾 客 购 买 了 多 少 商 品, 以 及 他 们 购 买 了 什 么 商 品 这 些 商 品 是 按 产 品 ID 编 号 列 出 的, 而 这 些 编 号 本 身 并 无 任 何 意 义, 因 为 您 并 不 知 道 它 代 表 哪 种 商 品 在 您 向 您 的 上 级 和 同 事 展 示 此 报 表 之 前, 您 需 要 添 加 实 际 的 产 品 名 称 该 信 息 在 您 的 数 据 中 并 不 存 在, 但 您 可 以 使 用 字 段 查 找 来 从 外 部 文 件 中 添 加 它 要 继 续, 请 下 载 并 解 压 缩 该 CSV 文 件 :product_lookup.csv.zip 重 要 提 示 : 要 完 成 其 余 教 程 部 分, 您 必 须 按 照 本 主 题 中 的 程 序 操 作 如 果 您 不 按 照 本 主 题 中 的 程 序 操 作, 后 续 主 题 中 的 搜 索 将 不 会 生 成 正 确 的 结 果 找 到 查 找 管 理 器 1. 在 Splunk 导 航 菜 单 中 ( 位 于 右 上 角 ), 单 击 管 理 器 这 将 带 您 前 往 Splunk 管 理 器, 您 可 从 中 访 问 并 配 置 您 的 Splunk 服 务 器 的 应 用 知 识 对 象 和 其 他 设 置, 例 如 系 统 数 据 部 署 以 及 验 证 设 置 等 如 果 您 看 不 到 其 中 某 些 选 项, 这 意 味 着 您 无 权 查 看 或 编 辑 它 们 现 在, 我 们 只 关 心 知 识 配 置 2. 在 知 识 下 方, 单 击 查 找 35

36 这 将 带 您 前 往 管 理 器 > 查 找 视 图 此 视 图 允 许 您 编 辑 现 有 查 找, 做 法 是 单 击 表 中 的 链 接, 查 找 表 文 件 查 找 定 义 和 自 动 查 找 如 果 您 需 要 添 加 新 的 查 找, 只 需 单 击 操 作 下 方 的 新 增 以 添 加 该 查 找 项 上 载 查 找 文 件 在 管 理 器 > 查 找 视 图 中 : 1. 在 查 找 表 文 件 的 操 作 下 方, 单 击 新 增 这 将 带 您 前 往 管 理 器 > 查 找 > 查 找 表 文 件 视 图, 您 可 从 中 上 载 CSV 文 件 以 便 在 您 的 字 段 查 找 定 义 中 使 用 2. 保 留 目 标 应 用 值 为 搜 索 这 将 告 诉 Splunk 在 搜 索 应 用 中 保 存 您 的 查 找 表 文 件 3. 在 上 载 查 找 文 件 下 方, 浏 览 到 要 上 载 的 CSV 文 件 (product_lookup.csv) 36

37 4. 在 目 标 文 件 名 下 方, 命 名 文 件 product_lookup.csv 这 将 是 您 在 查 找 定 义 中 用 来 参 考 该 文 件 的 名 称 5. 单 击 保 存 您 的 查 找 文 件 将 被 上 载 到 Splunk 的 搜 索 应 用 中, 但 现 在 您 需 要 定 义 要 设 置 的 查 找 类 型 注 意 : Splunk 不 识 别 文 件 或 无 法 上 载 文 件, 在 尝 试 再 次 上 载 文 件 之 前, 请 检 查 它 是 否 已 解 压 缩 6. 单 击 痕 迹 以 返 回 到 管 理 器 > 查 找 : 定 义 字 段 查 找 在 管 理 器 > 查 找 视 图 中 : 1. 在 查 找 定 义 的 操 作 下 方, 单 击 新 增 这 将 带 您 前 往 管 理 器 > 查 找 > 查 找 定 义 视 图, 您 可 从 中 定 义 您 的 字 段 查 找 2. 保 留 目 标 应 用 值 为 搜 索 3. 命 名 您 的 查 找 product_lookup 4. 在 类 型 下 方, 选 择 基 于 文 件 5. 在 查 找 文 件 下 方, 选 择 product_lookup( 您 的 查 找 表 名 称 ) 6. 保 留 配 置 基 于 时 间 的 查 找 和 高 级 选 项 未 选 中 7. 单 击 保 存 现 在,Splunk 已 经 知 道 该 product_lookup 是 基 于 文 件 的 查 找 37

38 自 动 查 找 在 管 理 器 > 查 找 视 图 中 : 1. 在 自 动 查 找 的 操 作 下 方, 单 击 新 增 这 将 带 您 前 往 管 理 器 > 查 找 > 自 动 查 找 >> 新 增 视 图, 您 可 从 中 配 置 查 找 以 自 动 运 行 2. 保 留 目 标 应 用 值 为 搜 索 3. 命 名 您 的 自 动 查 找 product_lookup 4. 在 查 找 表 下 方, 选 择 product_lookup 5. 在 应 用 到 和 命 名 下 方, 选 择 sourcetype 并 键 入 access_combined_wcookie 6. 在 查 找 输 入 字 段 下 方, 键 入 : 输 入 字 段 是 您 的 事 件 数 据 中 的 字 段, 用 来 与 查 找 表 中 的 字 段 进 行 匹 配 7. 在 查 找 输 出 字 段 下 方, 键 入 以 下 内 容 在 第 一 个 字 段 之 后, 可 使 用 添 加 另 一 个 字 段 链 接 来 添 加 更 多 字 段 : 输 出 字 段 是 查 找 表 中 的 字 段, 您 将 根 据 输 入 字 段 匹 配 情 况 来 将 其 添 加 到 您 的 事 件 数 据 中 您 在 这 里 添 加 了 字 段 :price, 其 中 包 含 每 个 product_id 的 价 格, 以 及 product_name, 其 中 包 含 针 对 每 个 product_id 的 描 述 性 名 称 38

39 8. 保 留 重 写 字 段 值 未 选 中 如 果 您 选 中 此 框,Splunk 会 将 您 的 事 件 数 据 中 存 在 的 任 何 字 段, 覆 盖 为 查 找 表 中 所 映 射 到 的 对 应 字 段 的 值 由 于 您 会 添 加 两 个 新 字 段, 因 此 不 必 关 注 此 选 项 9. 单 击 保 存 返 回 到 搜 索 仪 表 板 ( 单 击 << 返 回 到 搜 索 ), 运 行 搜 索 以 获 得 时 间 范 围 ( 昨 天 ) 内 的 Web 访 问 活 动 : sourcetype=access_* 当 您 滚 动 查 看 字 段 边 栏 或 字 段 对 话 框 时, 您 应 当 可 以 看 到 所 添 加 的 新 字 段 使 用 新 查 找 字 段 搜 索 现 在, 您 可 以 运 行 先 前 的 子 搜 索 示 例 来 查 看 VIP 顾 客 购 买 了 什 么 商 品 这 次 会 将 product_id 字 段 替 换 为 更 易 读 的 product_name: sourcetype=access_* action=purchase [search sourcetype=access_* action=purchase top limit=1 clientip table clientip] stats count, values(product_name) AS product_name by clientip sort - count rename count AS "How much did he buy?", product_name AS "What did he buy?", clientip AS "VIP Customer" 结 果 与 先 前 的 子 搜 索 示 例 完 全 一 样, 不 同 的 是,VIP 顾 客 的 购 买 数 据 更 易 于 理 解 将 该 搜 索 保 存 为 VIP Customer 搜 索 加 速 保 存 VIP Customer 搜 索 时, 保 存 对 话 框 中 包 含 一 个 新 选 项 : 加 速 39

40 如 果 您 的 搜 索 具 有 大 量 的 事 件, 并 且 完 成 的 速 度 很 慢, 您 可 以 加 速 搜 索, 从 而 您 将 来 再 次 运 行 搜 索 时 它 的 完 成 速 度 更 快 只 有 搜 索 符 合 加 速 条 件 时 此 选 项 才 可 用 因 为 该 搜 索 是 报 表 搜 索, 所 以 它 符 合 条 件 本 教 程 中 使 用 的 示 例 数 据 在 数 据 量 上 有 很 大 的 限 制, 并 且 运 行 搜 索 时 仅 针 对 一 天 的 数 据 ( 昨 天 ) 选 中 此 框 不 会 对 您 将 在 本 教 程 中 保 存 的 该 搜 索 和 即 将 发 生 的 搜 索 的 速 度 产 生 显 著 影 响 请 阅 读 在 知 识 管 理 器 手 册 中 的 保 存 搜 索 并 共 享 搜 索 结 果 主 题 中 符 合 条 件 的 更 多 搜 索 加 速 和 搜 索 后 续 步 骤 在 您 准 备 就 绪 后, 请 继 续 到 下 一 主 题 以 运 行 更 多 搜 索 更 多 搜 索 示 例 在 上 一 个 主 题 中, 您 使 用 查 找 表 来 将 两 个 新 字 段 添 加 到 网 上 商 店 事 件 数 据 中 如 果 您 还 没 有 添 加 这 些 字 段, 请 返 回 并 阅 读 如 何 使 用 字 段 查 找, 并 按 照 添 加 字 段 的 程 序 进 行 操 作 没 有 这 些 字 段, 下 面 的 搜 索 将 不 会 返 回 正 确 的 结 果 重 新 回 到 鲜 花 礼 品 店, 您 需 要 收 集 信 息, 以 便 为 您 的 上 级 构 建 有 关 昨 天 购 买 记 录 的 报 表 : 页 面 浏 览 次 数 是 多 少? 页 面 浏 览 次 数 和 实 际 购 买 次 数 之 间 的 差 异? 购 买 了 什 么 以 及 购 买 的 金 额? 有 多 少 次 尝 试 购 买 失 败? 本 主 题 利 用 您 从 先 前 主 题 中 学 习 的 内 容 编 写 搜 索 以 回 答 上 述 问 题 搜 索 参 考 手 册 这 些 示 例 中 使 用 的 搜 索 命 令 与 函 数 仅 仅 是 全 部 可 用 搜 索 命 令 与 函 数 中 的 一 小 部 分 有 关 所 有 搜 索 命 令 的 完 整 语 法 和 用 法 描 述, 请 参 阅 搜 索 参 考 手 册 搜 索 命 令 的 完 整 列 表 eval 命 令 的 函 数 列 表 stats 命 令 的 函 数 列 表 示 例 1 - 页 面 浏 览 次 数 是 多 少? 昨 天 网 站 页 面 被 浏 览 了 多 少 次? 1. 首 先 运 行 搜 索 以 获 得 页 面 浏 览 总 次 数 选 择 时 间 范 围, 其 他 > 昨 天 : sourcetype=access_* method=get 40

41 接 下 来, 您 要 统 计 页 面 浏 览 次 数 ( 通 过 method 字 段 来 描 述 ) 2. 使 用 stats 命 令 : sourcetype=access_* method=get stats count AS Views 这 里 您 使 用 stats 命 令 的 count() 函 数 来 计 算 您 的 Web 访 问 日 志 中 的 "GET" 事 件 数 这 是 搜 索 返 回 的 事 件 总 数, 因 此 它 应 当 与 检 索 事 件 计 数 相 符 该 搜 索 实 际 上 捕 获 的 是 此 计 数, 并 将 其 保 存 到 您 可 使 用 的 字 段 中 这 里 无 需 将 count 字 段 重 命 名 为 Views, 不 过 您 稍 后 会 再 次 使 用 它, 这 将 有 助 于 避 免 混 淆 3. 将 此 搜 索 保 存 为 Pageviews (Yesterday) 示 例 2 - 页 面 浏 览 次 数 和 购 买 次 数 之 间 的 差 异? 从 示 例 1 中 您 得 到 了 总 浏 览 次 数 有 多 少 浏 览 网 站 的 访 问 者 购 买 了 商 品? 页 面 浏 览 次 数 和 购 买 次 数 之 间 的 百 分 比 差 异? 1. 首 先 运 行 示 例 1 中 的 搜 索 从 时 间 范 围 挑 选 器 上 选 择 其 他 > 昨 天 : sourcetype=access_* method=get stats count AS views 2. 使 用 stats 来 统 计 购 买 次 数 ( 通 过 action 字 段 来 描 述 ): sourcetype=access_* method=get stats count AS Views, count(eval(action="purchase")) AS Purchases 您 也 可 以 再 次 使 用 count() 函 数, 这 次 使 用 eval() 函 数 来 计 算 购 买 操 作 的 数 量, 并 将 该 字 段 重 命 名 为 Purchases 这 里 需 要 重 新 命 名 - 使 用 stats 命 令 的 eval() 函 数 的 语 法 要 求 您 重 命 名 该 字 段 现 在, 您 只 需 要 使 用 总 浏 览 次 数 和 购 买 次 数 来 计 算 百 分 比 41

42 3. 使 用 eval 命 令, 并 将 结 果 发 送 至 rename: sourcetype=access_* method=get stats count AS Views, count(eval(action="purchase")) as Purchases eval percentage=round(100-(purchases/views*100)) rename percentage AS "% Difference" eval 命 令 使 您 能 够 评 估 某 个 表 达 式, 并 将 结 果 保 存 到 某 个 字 段 中 这 里 您 使 用 round() 函 数 来 将 计 算 得 出 的 Purchases 与 Views 百 分 比 舍 入 至 最 接 近 的 整 数 5. 将 您 的 搜 索 保 存 为 "% Difference Purchases/Views" 示 例 3 - 购 买 了 什 么 以 及 购 买 的 金 额? 这 个 例 子 需 要 两 个 字 段 product_name 和 price, 这 两 个 字 段 在 字 段 查 找 示 例 中 添 加 如 果 您 尚 未 添 加 它 们, 请 参 考 该 示 例, 并 遵 照 相 应 程 序 执 行 操 作 构 建 表 格 以 显 示 昨 天 售 出 了 哪 些 商 品, 每 种 商 品 的 销 售 数 量, 以 及 计 算 得 出 的 每 种 商 品 的 收 入 1. 首 先 运 行 搜 索 以 按 产 品 名 称 列 出 所 有 购 买 数 量 将 时 间 范 围 更 改 为 其 他 > 昨 天 : sourcetype=access_* action=purchase stats count by product_name 2. 使 用 stats 函 数 以 包 括 所 购 买 产 品 计 数, 每 种 产 品 的 价 格, 以 及 每 种 产 品 的 总 收 入 sourcetype=access_* action=purchase stats count, values(price), sum(price) by product_name 42

43 count() 函 数 计 算 事 件 数 values() 函 数 返 回 每 种 product_name 的 price 值 而 sum() 函 数 将 每 种 product_name 的 price 值 全 部 相 加 3. 现 在, 您 只 需 重 命 名 字 段 以 使 表 格 更 易 读 懂 : sourcetype=access_* action=purchase stats count AS "# Purchased", values(price) AS Price, sum(price) AS Total by product_name eval Total="$ ".tostring(total, "commas") 这 里 使 用 'AS' 来 重 命 名 表 格 标 题 此 外, 使 用 eval 命 令 的 tostring() 函 数 来 将 计 算 得 出 的 总 价 值 转 换 为 字 符 串, 并 重 新 设 置 其 格 式, 以 包 含 美 元 符 号 "$" 和 逗 号 ( 点 '.' 是 字 符 串 连 接 的 快 捷 方 式 符 号 ) 5. 将 您 的 搜 索 保 存 为 Purchases and Revenue (Yesterday) 示 例 4 - 有 多 少 次 尝 试 购 买 失 败? 在 先 前 的 例 子 中, 您 搜 索 了 成 功 购 买 的 次 数, 但 您 还 想 知 道 失 败 的 尝 试 购 买 计 数! 1. 运 行 搜 索 以 获 得 失 败 的 尝 试 购 买 次 数, 从 时 间 范 围 挑 选 器 中 选 择 昨 天 : sourcetype=access_* action=purchase status=503 ( 您 应 当 认 得 此 搜 索 来 自 本 教 程 前 面 部 分 的 开 始 搜 索 主 题 ) 此 搜 索 返 回 事 件 列 表, 因 此 我 们 可 以 统 计 结 果 计 数 2. 使 用 stats 命 令 : sourcetype=access_* action=purchase status=503 stats count 这 将 返 回 单 个 值 : 43

44 这 意 味 着 昨 天 没 有 失 败 的 购 买 尝 试! 3. 将 此 搜 索 保 存 为 Failed purchases (Yesterday) 后 续 步 骤 现 在, 您 应 当 可 以 轻 松 地 使 用 搜 索 语 言 和 搜 索 命 令 了 在 您 准 备 就 绪 后, 请 继 续 到 下 一 主 题 以 学 习 关 于 报 表 和 仪 表 板 创 建 报 表 和 仪 表 板 关 于 报 表 和 仪 表 板 本 章 引 导 您 使 用 Splunk Web 从 本 教 程 保 存 的 搜 索 创 建 报 表 和 仪 表 板 Splunk 报 表 构 建 器 通 过 利 用 任 何 已 完 成 搜 索 的 结 果 来 帮 助 您 轻 松 地 生 成 复 杂 的 报 表 它 提 供 了 广 泛 的 报 表 选 项, 包 括 众 多 报 表 参 数 和 图 表 类 型 Splunk 完 成 此 任 务 就 像 使 用 Splunk Web 创 建 和 编 辑 简 单 的 仪 表 板 一 样 简 单 您 可 以 将 刚 刚 运 行 的 搜 索 添 加 到 新 的 仪 表 板 或 现 有 仪 表 板, 或 使 用 仪 表 板 编 辑 器 创 建 仪 表 板, 并 使 用 仪 表 板 面 板 填 充 这 些 仪 表 板 在 您 准 备 就 绪 后, 请 继 续 到 下 一 个 主 题 以 运 行 报 表 搜 索 报 表 示 例 本 主 题 基 于 您 在 之 前 的 搜 索 示 例 中 运 行 并 保 存 的 搜 索 来 引 导 您 进 行 创 建 图 表 和 构 建 报 表 重 新 回 到 鲜 花 礼 品 店, 您 仍 然 在 构 建 您 的 报 表 您 先 前 运 行 的 搜 索 返 回 单 个 值 ( 例 如, 失 败 的 错 误 信 息 计 数 ) 或 结 果 表 格 ( 产 品 购 买 情 况 表 格 ) 现 在, 您 还 想 向 有 关 昨 天 活 动 的 报 表 添 加 一 些 可 视 化 元 素 : 每 种 产 品 类 别 的 购 买 计 数 和 浏 览 计 数 不 同 时 段 产 品 购 买 计 数 不 同 时 段 产 品 购 买 计 数 的 趋 势 使 用 报 表 构 建 器 Splunk 在 收 集 搜 索 结 果 时 可 以 动 态 地 更 新 生 成 的 图 表 在 您 启 动 搜 索 之 后, 您 可 以 在 搜 索 完 成 之 前 开 始 构 建 您 的 报 表 您 可 以 使 用 字 段 菜 单 来 快 速 构 建 简 单 的 预 定 义 报 表, 或 使 用 报 表 构 建 器 以 定 义 生 成 并 微 调 您 的 报 表 格 式, 包 括 您 要 创 建 的 图 表 类 型 和 在 该 图 表 上 显 示 的 内 容 如 果 您 正 在 处 理 运 行 时 间 很 长 的 搜 索, 但 不 希 望 等 到 搜 索 完 成 后 再 开 始 基 于 此 搜 索 定 义 报 表, 单 击 创 建 并 选 择 报 表... 可 启 动 报 表 构 建 器 搜 索 会 在 报 表 构 建 器 启 动 之 后 继 续 运 行, 而 且 完 成 的 报 表 将 涵 盖 所 返 回 事 件 数 据 的 完 整 范 围 如 果 您 的 搜 索 字 符 串 包 含 报 表 命 令, 您 可 以 通 过 单 击 显 示 报 表 来 访 问 报 表 构 建 器 Splunk 会 带 您 直 接 前 往 报 表 构 建 流 程 的 格 式 设 置 阶 段, 因 为 您 的 报 表 命 令 已 经 定 义 了 报 表 您 不 必 深 入 了 解 报 表 命 令 以 使 用 报 表 构 建 器, 不 过, 如 果 您 掌 握 这 方 面 的 知 识, 那 么 可 以 使 用 报 表 构 建 器 来 做 更 多 事 情 要 了 解 有 关 使 用 报 表 构 建 器 来 定 义 基 本 报 表 参 数 设 置 图 表 格 式 以 及 导 出 或 打 印 已 完 成 报 表 的 更 多 信 息, 请 参 阅 Splunk 数 据 可 视 化 手 册 中 的 使 用 报 表 构 建 器 定 义 报 表 每 种 产 品 的 购 买 和 浏 览 图 表 44

45 在 本 示 例 中, 我 们 将 绘 制 有 关 每 种 产 品 类 型 的 浏 览 次 数 和 购 买 次 数 的 图 表 记 得 您 在 之 前 某 个 主 题 中 保 存 了 类 似 的 搜 索 我 们 来 略 微 修 改 : 1. 在 时 间 范 围 昨 天 上 运 行 此 搜 索 : sourcetype=access_* method=get chart count AS views, count(eval(action="purchase")) AS purchases by category_id rename views AS "Views", purchases AS "Purchases", category_id AS "Category" 这 里 您 使 用 chart 命 令, 而 不 是 stats 命 令 chart 命 令 允 许 您 创 建 图 表, 并 通 过 by 子 句 来 指 定 X 轴 2. 单 击 创 建, 并 从 列 表 中 选 择 报 表... 由 于 您 使 用 chart 命 令, 并 且 已 定 义 了 您 的 报 表, 因 此 这 将 打 开 报 表 构 建 器 的 设 置 报 表 格 式 页 面 如 果 您 在 此 窗 口 中 看 到 不 同 的 内 容, 例 如 其 他 图 表 类 型, 则 可 能 是 您 没 有 在 默 认 设 置 下 查 看 不 过 您 现 在 不 必 关 注 这 一 点 3. 在 格 式 设 置 选 项 下 方 : 保 留 图 表 类 型 设 置 为 柱 形 图 将 图 表 命 名 为 Purchases and Views by Product Type 45

46 由 于 您 在 使 用 chart 命 令, 因 此 您 需 要 定 义 图 表 的 坐 标 轴 4. 在 常 规 下 方, 将 图 例 位 置 更 改 为 顶 部 5. 在 格 式 下 方, 单 击 X 轴 : 键 入 "Product type" 作 为 X 轴 标 题 6. 在 格 式 下 方, 单 击 Y 轴 : 键 入 "Count of events" 作 为 Y 轴 标 题 7. 单 击 应 用 46

47 现 在, 您 应 当 可 以 看 到 以 柱 形 图 格 式 显 示 的 购 买 和 浏 览 次 数 图 表, 其 中 X 轴 为 产 品 类 型 7. 单 击 保 存, 并 从 列 表 中 选 择 保 存 报 表... 这 将 打 开 保 存 报 表 对 话 框 窗 口 将 您 的 报 表 命 名 为 Purchases & Views (Yesterday) 单 击 完 成 >> 按 产 品 名 称 列 出 最 热 卖 商 品 该 报 表 需 要 字 段 查 找 示 例 中 的 product_name 字 段 如 果 您 尚 未 添 加 查 找, 请 参 考 该 示 例, 并 遵 照 相 应 程 序 执 行 操 作 在 此 报 表 中, 我 们 将 绘 制 有 关 昨 天 每 种 商 品 完 成 购 买 次 数 的 图 表 1. 搜 索 : sourcetype=access_* timechart count(eval(action="purchase")) by product_name usenull="f" 再 次 使 用 count() 函 数 但 这 次 还 使 用 了 usenull 参 数, 以 确 保 图 表 只 对 那 些 具 有 product_name 值 的 事 件 计 数 47

48 2. 单 击 创 建, 并 选 择 报 表... 由 于 您 在 搜 索 字 符 串 中 使 用 了 timechart 命 令, 这 将 直 接 带 您 前 往 报 表 构 建 器 的 步 骤 2 以 设 置 您 的 报 表 格 式 3. 在 格 式 设 置 选 项 下 方 : 将 图 表 类 型 更 改 为 柱 形 图 将 图 表 命 名 为 Top purchases by Product 将 堆 叠 模 式 更 改 为 堆 叠 由 于 您 使 用 了 timechart 命 令, 因 此 将 坐 标 轴 命 名 为 :X 轴 为 时 间,Y 轴 为 事 件 的 计 数 将 坐 标 轴 重 命 名 为 时 间 和 购 买 计 数 4. 单 击 应 用 每 个 柱 条 表 示 在 该 半 小 时 期 间 购 买 的 不 同 产 品 5. 单 击 保 存, 并 选 择 保 存 报 表... 将 您 的 报 表 命 名 为 Products Purchased (Yesterday) 单 击 完 成 >> 最 热 卖 商 品 趋 势 48

49 对 于 stats 和 chart 搜 索, 您 可 以 向 其 结 果 表 格 添 加 迷 你 图 Sparklines 是 在 搜 索 结 果 表 内 部 显 示 的 内 联 图 表, 它 专 门 显 示 有 关 每 行 主 键 的 随 时 间 变 化 趋 势 有 关 更 多 信 息, 请 参 阅 搜 索 手 册 中 的 为 您 的 搜 索 结 果 添 加 迷 你 图 本 例 使 用 迷 你 图 来 描 述 昨 天 购 买 计 数 的 变 化 趋 势 本 例 需 要 字 段 查 找 示 例 中 的 product_name 字 段 如 果 您 尚 未 添 加 查 找, 请 参 考 该 示 例, 并 遵 照 相 应 程 序 执 行 操 作 在 时 间 范 围 昨 天 上 运 行 此 搜 索 : sourcetype=access_* chart sparkline(count(eval(action="purchase"))) AS "Purchases Trend (Yesterday)" by product_name 该 搜 索 与 您 刚 才 用 来 构 建 报 表 的 上 两 个 搜 索 类 似 它 使 用 chart 命 令 来 计 算 每 种 产 品 product_name 的 购 买 计 数 count(eval(action="purchase")) 这 里 的 不 同 之 处 在 于 购 买 计 数 现 在 是 sparkline() 函 数 的 参 数 ( 此 外, 结 果 被 重 命 名 为 "Purchases Trend (Yesterday)" 以 表 明 您 在 追 踪 昨 天 一 整 天 中 购 买 计 数 的 趋 势 ) 我 们 来 将 其 添 加 到 报 表, 以 不 仅 仅 显 示 昨 天 的 购 买 总 次 数, 也 显 示 全 天 的 购 买 计 数 的 趋 势 : sourcetype=access_* chart sparkline(count(eval(action="purchase"))) AS "Purchases Trend (Yesterday)" count(eval(action="purchase")) AS Total by product_name rename product_name AS "Product Name" 将 此 保 存 为 Top Purchases Trend (Yesterday) 访 问 保 存 的 报 表 在 您 保 存 报 表 之 后, 前 往 << 返 回 搜 索 Splunk 将 在 搜 索 仪 表 板 上 的 搜 索 和 报 表 菜 单 中 列 出 所 有 已 保 存 的 报 表 : 49

50 更 快 地 生 成 报 表 本 教 程 使 用 的 是 相 对 小 的 样 本 数 据 集, 所 以 这 些 报 表 搜 索 的 速 度 也 相 对 较 快 Splunk 可 以 生 成 大 量 数 据 的 报 表, 但 是 可 能 花 费 很 多 时 间 才 能 制 作 非 常 大 的 数 据 集 的 报 表 如 果 您 要 定 期 运 行 这 些 报 表, 则 在 每 次 搜 索 运 行 时 汇 总 数 据 并 根 据 这 些 摘 要 创 建 报 表 会 更 为 高 效 使 用 报 表 命 令 的 搜 索 ( 以 表 格 和 图 表 形 式 生 成 报 表 的 搜 索 ) 都 可 使 用 报 表 加 速 针 对 巨 大 的 数 据 集 搜 索 设 置 此 报 表 加 速 只 需 单 击 复 选 框, 并 设 置 时 间 范 围 即 可 只 要 搜 索 在 该 时 间 范 围 内 运 行 ( 至 少 是 部 分 ), 将 来 运 行 的 搜 索 速 度 应 该 会 较 快 报 告 加 速 只 对 具 有 100k 或 更 多 热 数 据 桶 事 件 的 完 成 速 度 缓 慢 的 搜 索 有 效, 还 有 对 满 足 在 知 识 管 理 器 手 册 中 的 关 于 报 表 加 速 和 摘 要 索 引 中 概 述 的 合 格 条 件 的 搜 索 有 效 有 关 符 合 条 件 和 不 符 合 条 件 的 搜 索 的 更 多 信 息 和 示 例, 请 参 阅 知 识 管 理 器 手 册 中 的 管 理 报 表 加 速 后 续 步 骤 如 果 您 很 满 意 您 所 创 建 的 报 表, 您 可 以 通 过 多 种 选 项 来 保 存 并 将 其 共 享 给 其 他 人 要 查 看 这 些 选 项, 请 阅 读 保 存 搜 索 并 共 享 搜 索 结 果 您 还 可 以 从 您 的 搜 索 和 报 表 中 创 建 仪 表 板 仪 表 板 可 以 包 含 多 个 面 板, 每 个 面 板 显 示 由 隐 藏 的 预 定 义 搜 索 生 成 的 图 表 列 表 和 其 他 数 据 在 您 准 备 就 绪 后, 请 继 续 到 下 一 主 题, 它 将 引 导 您 创 建 仪 表 板 面 板 仪 表 板 示 例 在 您 继 续 学 习 本 主 题 之 前, 您 应 当 复 习 构 建 字 段 值 报 表, 您 已 从 中 构 建 并 保 存 了 一 些 报 表 本 主 题 将 引 导 您 创 建 简 单 的 仪 表 板, 其 中 使 用 了 您 在 先 前 主 题 中 保 存 的 相 同 搜 索 和 报 表 重 新 回 到 鲜 花 礼 品 店, 您 的 上 级 要 求 您 汇 总 一 个 仪 表 板 以 显 示 该 网 上 商 店 所 售 商 品 的 相 关 指 标 信 息 您 还 决 定 自 行 构 建 一 个 仪 表 板 以 帮 助 您 或 所 在 IT 团 队 中 的 另 一 个 成 员 查 找 并 故 障 排 除 该 网 上 商 店 相 关 问 题 创 建 仪 表 板 面 板 所 有 仪 表 板 面 板 都 基 于 搜 索 要 基 于 您 的 搜 索 生 成 仪 表 板 面 板, 并 将 其 添 加 到 新 的 或 现 有 的 仪 表 板, 单 击 创 建, 然 后 从 菜 单 中 选 择 仪 表 板 面 板... 然 后, 使 用 创 建 仪 表 板 面 板 对 话 框 来 为 新 的 或 先 前 存 在 的 仪 表 板 创 建 新 面 板,Splunk 也 会 自 动 保 存 支 配 面 板 的 搜 索 有 关 仪 表 板 的 更 多 信 息, 请 参 阅 Splunk 数 据 可 视 化 手 册 中 的 通 过 UI 创 建 和 编 辑 仪 表 板 仪 表 板 1: 鲜 花 礼 品 店 商 品 购 买 情 况 第 一 个 仪 表 板 将 显 示 有 关 该 鲜 花 礼 品 店 的 不 同 商 品 日 常 购 买 情 况 的 指 标 信 息 对 于 该 仪 表 板, 您 将 使 用 保 存 的 搜 索 : Products Purchased (Yesterday) Products & Revenue (Yesterday) Purchases & Views (Yesterday) 50

51 Top Purchases Trends (Yesterday) 首 先, 确 保 您 已 进 入 搜 索 应 用 中 1. 单 击 仪 表 板 和 视 图, 并 从 列 表 中 选 择 创 建 仪 表 板... 这 将 打 开 创 建 新 仪 表 板 对 话 框, 您 可 从 中 定 义 新 的 仪 表 板 2. 要 创 建 新 的 仪 表 板 : 2a. 为 该 仪 表 板 指 定 唯 一 ID "Products" 此 ID 是 您 用 来 在 Splunk 内 从 其 他 对 象 参 考 的 仪 表 板 名 称 2b. 将 仪 表 板 命 名 为 Flower & Gift Shop - Products 该 名 称 是 您 在 导 航 菜 单 中 和 仪 表 板 顶 部 看 到 的 标 签 2c. 单 击 创 建 这 将 带 您 前 往 新 的 仪 表 板, 现 在 它 只 是 一 个 空 仪 表 板 我 们 首 先 来 为 其 填 入 面 板 3. 在 仪 表 板 顶 部, 其 名 称 旁 边 是 一 些 仪 表 板 选 项 如 果 编 辑 处 于 关 闭 状 态, 您 可 以 看 到 有 关 打 印 仪 表 板 和 下 载 PDF 版 本 的 选 项 现 在 我 们 暂 不 关 注 这 些 选 项 稍 后 您 会 读 到 有 关 它 们 的 更 多 信 息 3a. 要 开 始 编 辑 仪 表 板, 将 编 辑 开 关 切 换 为 打 开 当 编 辑 处 于 打 开 状 态 时, 您 将 看 到 三 个 选 项 : 新 面 板 使 您 能 够 将 面 板 添 加 到 仪 表 板 编 辑 XML 使 您 能 够 编 辑 仪 表 板 的 XML 代 码 编 辑 权 限 使 您 能 够 控 制 可 以 访 问 仪 表 板 的 人 员 3b. 要 将 面 板 添 加 到 仪 表 板, 单 击 新 面 板 这 将 打 开 新 面 板 对 话 框, 您 可 从 中 定 义 面 板 属 性 51

52 4. 要 将 新 面 板 添 加 到 仪 表 板, 需 为 其 指 定 名 称 和 与 之 关 联 的 搜 索 : 4a. 在 标 题 下 方, 将 面 板 命 名 为 "Products Purchased (Yesterday)" 这 是 面 板 的 标 签 4b. 在 搜 索 命 令 下 方, 选 择 保 存 的 搜 索 所 有 仪 表 板 面 板 均 与 搜 索 相 关 联 您 可 以 指 定 面 板 是 依 靠 预 定 义 的 已 保 存 搜 索 来 运 行, 还 是 使 用 专 门 为 其 设 计 并 以 内 联 方 式 相 关 联 的 搜 索 来 运 行 对 于 这 些 仪 表 板, 您 将 只 使 用 已 保 存 的 搜 索 和 报 表 4c. 从 列 表 中, 选 择 名 为 "Products Purchased (Yesterday)" 的 已 保 存 搜 索 4d. 单 击 保 存 现 在, 您 已 经 为 "Flower & Gifts Shop - Products" 仪 表 板 添 加 了 新 的 面 板 这 里, 搜 索 结 果 默 认 显 示 为 表 格 这 并 不 是 您 想 要 的 面 板 可 视 化 效 果, 因 此 让 我 们 做 些 修 改 5. 对 于 此 面 板, 单 击 编 辑, 并 从 列 表 中 选 择 编 辑 可 视 化... 这 将 打 开 编 辑 可 视 化 对 话 框, 您 可 从 中 修 改 搜 索 结 果 在 面 板 中 的 代 表 方 式 : 数 据 表 格 事 件 列 表 图 表 单 值 面 板 和 仪 表 有 关 Splunk 可 视 化 选 项 的 更 多 信 息, 请 参 阅 可 视 化 参 考 52

53 6. 从 可 视 化 列 表 中, 选 择 柱 形 图 以 便 以 堆 叠 柱 形 图 表 形 式 显 示 您 的 结 果 7. 单 击 保 存 现 在, 该 面 板 看 起 来 应 如 下 所 示 : 53

54 8. 为 仪 表 板 再 添 加 两 个 新 面 板 : 8a. 添 加 名 为 Purchases & Views (Yesterday) 的 面 板, 以 显 示 昨 天 的 购 买 计 数 和 浏 览 计 数 (# Purchases & Views) 编 辑 可 视 化 类 型 以 显 示 柱 形 图 表 8b. 添 加 名 为 Products & Revenue (Yesterday) 的 面 板, 以 列 出 昨 天 售 出 的 产 品 以 及 销 售 收 入 (Purchases and Revenue (Yesterday)) 编 辑 可 视 化 类 型 以 显 示 数 据 表 格 8c. 添 加 名 为 Top Purchases Trends (Yesterday) 的 面 板, 以 列 出 昨 天 售 出 的 产 品, 以 及 显 示 昨 天 一 整 天 购 买 趋 势 的 迷 你 图 编 辑 可 视 化 类 型 以 显 示 数 据 表 格 8d. 在 您 添 加 新 面 板 之 后, 拖 动 面 板 以 重 新 排 列 它 们, 使 其 如 下 所 示 : 这 就 是 您 的 商 品 销 售 情 况 仪 表 板 现 在, 我 们 将 按 照 相 同 步 骤 创 建 运 营 情 况 仪 表 板 仪 表 板 2: 鲜 花 礼 品 店 运 营 情 况 第 二 个 仪 表 板 包 含 简 单 的 报 表, 在 每 天 开 始 上 班 时, 您 可 以 从 中 查 看 有 关 近 期 Web 访 问 活 动 的 一 些 信 息 对 于 该 仪 表 板, 您 将 使 用 保 存 的 搜 索 : Total views (Yesterday) Failed purchases (Yesterday) Errors (Yesterday) 首 先, 请 返 回 到 搜 索 应 用 中 1. 单 击 仪 表 板 和 视 图, 并 从 列 表 中 选 择 创 建 仪 表 板..., 定 义 新 的 仪 表 板,Flower & Gift Shop - Operations 2. 对 于 此 仪 表 板, 您 将 添 加 三 个 面 板 : 两 个 单 值 面 板 和 一 个 事 件 列 表 面 板 它 看 起 来 应 如 下 所 示 : 54

55 2a. 第 一 个 面 板 使 用 保 存 的 搜 索 Total views (Yesterday), 该 面 板 是 单 值 面 板 2b. 第 二 个 面 板 使 用 保 存 的 搜 索 Failed purchases (Yesterday), 该 面 板 也 是 单 值 面 板 2c. 第 三 个 面 板 使 用 保 存 的 搜 索 Errors (Yesterday), 该 面 板 是 事 件 列 表 面 板 3. 在 您 添 加 新 面 板 之 后, 拖 动 面 板 以 重 新 排 列 它 们, 如 上 方 仪 表 板 屏 幕 快 照 所 示 这 就 是 您 的 鲜 花 礼 品 店 运 营 情 况 仪 表 板 后 续 步 骤 由 于 您 已 经 创 建 和 保 存 了 仪 表 板, 所 以 您 可 以 打 印 仪 表 板, 生 成 仪 表 板 面 板 的 PDF 文 件, 并 定 期 交 付 PDF 有 关 更 多 信 息, 请 继 续 到 下 一 个 主 题! 查 看 和 打 印 仪 表 板 在 上 一 个 主 题 中, 您 使 用 在 整 个 教 程 中 运 行 的 搜 索 和 报 表 创 建 和 保 存 了 两 个 仪 表 板 Splunk 允 许 您 通 过 单 击 某 个 按 钮 生 成 仪 表 板 的 PDF 您 还 可 以 让 Splunk 定 期 生 成 PDF, 并 将 其 定 期 发 送 给 项 目 相 关 方 本 主 题 介 绍 用 于 查 看 打 印 和 生 成 仪 表 板 的 PDF 的 选 项 查 看 保 存 的 仪 表 板 在 仪 表 板 和 视 图 下 方 的 搜 索 应 用 中 查 找 保 存 的 仪 表 板 55

56 从 此 列 表 中, 您 还 可 以 编 辑 或 管 理 现 有 仪 表 板 让 我 们 只 查 看 一 个 仪 表 板 从 列 表 中 选 择 "Flower & Gift Shop - Products" 仪 表 板 打 印 和 PDF 选 项 在 Flower & Gift Shop - Products 仪 表 板 的 顶 部, 您 应 该 看 到 打 印 和 PDF 选 项 : ( 请 记 住, 编 辑 处 于 关 闭 状 态 时 您 将 看 到 这 些 选 项 ) 打 印 仪 表 板 打 印 选 项 简 明 易 懂 - 就 像 打 印 网 页 一 样 您 要 打 印 仪 表 板 窗 口 的 内 容 时 将 其 选 中 它 会 以 可 打 印 的 格 式 显 示 仪 表 板, 并 且 您 的 浏 览 器 的 打 印 对 话 框 处 于 打 开 状 态 生 成 仪 表 板 PDF 您 在 Splunk 中 查 看 仪 表 板 时, 单 击 生 成 PDF 以 生 成 可 通 过 浏 览 器 或 PDF 查 看 器 应 用 程 序 查 看 的 PDF 生 成 的 PDF 将 出 现 在 您 的 浏 览 器 窗 口 中, 或 在 PDF 查 看 器 应 用 程 序 打 开, 会 准 确 地 显 示 直 到 您 单 击 按 钮 那 一 刻 的 结 果 注 意 : 如 果 您 的 图 表 标 题 中 包 括 & 字 符, 此 面 板 将 不 包 括 在 PDF 中 您 可 以 编 辑 您 的 面 板 以 更 改 标 题 名 称 关 于 此 功 能 的 更 多 信 息, 请 参 阅 数 据 可 视 化 手 册 中 的 生 成 仪 表 板 PDF 计 划 通 过 电 子 邮 件 仪 交 付 表 板 PDF 1. 要 设 置 通 过 电 子 邮 件 进 行 计 划 的 仪 表 板 PDF 交 付, 请 单 击 仪 表 板 顶 部 的 计 划 PDF 交 付, 打 开 计 划 PDF 交 付 对 话 框 56