Wyciągnij Splunk

1. Jak wyodrębnić pole z Splunk?
2. Jak wyodrębnić pole?
3. Co to jest Splunk _Raw?

Jak wyodrębnić pole z Splunk?

Uzyskaj dostęp do ekstraktora pola ze okna dialogowego All Fields

Aby uzyskać pełny zestaw typów źródeł w rozmieszczeniu Splunk, przejdź do strony Ekstrakcji pola w ustawieniach. Uruchom wyszukiwanie, które zwraca wydarzenia. Na górze paska bocznego pola kliknij wszystkie pola. W oknie dialogowym All Fields kliknij wyodrębnij nowe pola.

Jak wyodrębnić pole?

Wyodrębnij pole na miejscu

Naciśnij Ctrl+Alt+F lub z menu głównego, wybierz refaktor | Pole wyciągu. Wybierz wyrażenie, które chcesz wprowadzić jako pole. Jeśli Idea IntelliJ wykrywa więcej niż jedno wystąpienie w kodzie, pozwala określenie, które zdarzenia zastąpiają.

Co to jest Splunk _Raw?

_surowy. Pole _RAW zawiera oryginalne surowe dane zdarzenia. Polecenie wyszukiwania używa danych w _RAW podczas wykonywania wyszukiwań i ekstrakcji danych. Nie zawsze możesz szukać bezpośrednio na wartości .