Splunk搜索处理语言指南

splunk

需积分: 49 27 浏览量更新于2023-03-16 3 收藏 1.65MB PDF 举报

身份认证购VIP最低享 7 折!

领优惠券(最高得80元）

"Splunk搜索手册(中文)是一个详细介绍如何使用Splunk搜索处理语言的指南，适用于初学者和有经验的用户。手册包含了搜索教程，帮助用户了解如何添加数据、搜索数据、创建简单报表和仪表板。此外，它还涵盖了搜索的基础知识、搜索处理语言语法、检索事件的方法、时间范围的选择、事件分类、统计分析、图表创建以及实时搜索和报表的使用。" 此手册详细介绍了Splunk Enterprise的搜索功能，包括以下关键知识点： 1. **搜索教程**：针对新手提供了一个逐步学习的路径，帮助他们掌握基础的搜索和报表制作技巧。 2. **Splunk搜索**：不仅包括基本的搜索操作，还涉及如何对正在运行的搜索执行控制，以及自定义搜索模式以优化用户体验。 3. **搜索处理语言(SPL)**：SPL是Splunk中的查询语言，用于检索和分析数据。手册详细解释了其语法和如何编写更有效的搜索查询。 4. **检索事件**：讨论了如何从索引和分布式搜索节点中获取事件，以及如何使用字段来过滤和提取信息。 5. **时间范围**：时间在搜索中扮演着重要角色，手册指导用户如何指定时间范围，使用时间调节器，以及利用时间查找相关事件。 6. **统计分析与可视化**：手册涵盖了创建统计性表格和图表的方法，包括基于时间的图表和非时间依赖的图表，以及如何直观展示高低字段值。 7. **关联分析**：讲解了如何在搜索结果中发现关联性、统计相关性和差异，以及如何构建多数据系列图表进行深入分析。 8. **实时搜索与报表**：介绍了如何在Splunk Web和命令行界面(CLI)中创建实时搜索和报表，以及性能预期和限制。 9. **字段处理**：涵盖了使用`eval`命令和函数、查找表以及搜索命令来评估和操作字段，特别是处理多值字段的方法。 10. **计算统计信息**：详细讲解了使用`stats`命令和函数进行各种统计计算，如聚合、分组和计算统计指标。 11. **事件分组与相关性**：这部分内容指导用户如何对事件进行分组和关联，以识别模式和趋势。这个中文版的Splunk搜索手册是学习和提升Splunk搜索技能的宝贵资源，无论对于系统管理员还是数据分析师，都能从中受益。通过深入理解和实践手册中的内容，用户能够更有效地利用Splunk的强大分析能力。

资源详情

资源推荐

在非常大的数据集中执行搜索可能需要很多的时间。如果您需要定期生成有关大量数据的报表，可使用摘要索引预先

计算出报表中最常使用的值。对保存的搜索进行计划以收集指标，并生成汇总数据（而不是原始数据）的报表。

阅读有关如何使用摘要索引来提高报表效率的更多信息。

使用搜索任务查看器使用搜索任务查看器

搜索任务查看器工具既可用于搜索性能问题的故障排除，又可帮助了解有关知识对象（如事件类型、标记、查找、搜

索命令和搜索内的其他组件）执行成本的信息。

搜索运行过慢时，搜索任务查看器可帮您确定搜索的哪个阶段花费多长时间。它会对搜索行为进行详细分析，以便于

您更好地了解如何优化搜索。

阅读有关如何使用搜索任务查看器的更多信息。

检索事件检索事件

关于检索事件关于检索事件

在 Splunk 中搜索时，使用搜索命令使搜索术语与事件数据的片段匹配。这些搜索术语为关键字、短语、布尔表达

式、字段名称和值对，等等，它们用于指定您想要从索引中检索到的事件。阅读关于如何“使用搜索命令”检索事件的

更多信息。

您的事件数据可能被划分到不同的索引和分布式搜索节点中。在“从索引和分布式搜索节点中检索事件”中阅读关于如

何跨多个索引和服务器搜索的更多信息。

事件按反向时间顺序从索引中检索而来。默认情况下，Splunk 搜索结果按从最新到最早排序。如果按时间过滤，检

索事件的速度会更快一些，无论您是使用时间线在事件群集上缩小还是将时间范围应用到搜索本身。有关详细信息，

请参阅如何“使用时间线调查事件”和“关于搜索中的时间范围”。

事件、事件数据和字段事件、事件数据和字段

在将数据添加到 Splunk 的索引后，通常使用短语

事件数据事件数据

来代表数据。事件本身是活动的单个记录或此事件数据的

实例。例如，事件可能是日志文件中的单个日志项。由于 Splunk 按事件的时间信息分隔各个事件，因此按时间戳来

区分各个事件。

下面是一个示例事件：

172.26.34.223 - - [01/Jul/2005:12:05:27 -0700] "GET /trade/app?action=logout HTTP/1.1" 200 2953

事件包含成对的信息或字段。在添加数据且数据建立索引后，Splunk 会自动为您提取一些有用的字段，如事件的源

主机以及事件的数据源类型。

使用搜索命令使用搜索命令

只有使用搜索命令才能运行 Splunk 搜索。在搜索管道之初，已将其隐含。无需调用，但已经在使用了。

使用关键字、短语、字段、布尔表达式和比较表达式来准确指定您想要从 Splunk 索引检索到的事件。默认情况下，

当您使用关键字和短语进行搜索时，Splunk 会通过匹配数据中的原始事件字段 _raw 来检索事件。开始添加搜索调节

器（如 _time 和 tag 等字段）时，还可对 _raw 字段中提取的信息进行匹配。

关键字、短语和通配符关键字、短语和通配符

搜索包含关键字和带引号的短语（或任何非搜索调节器内容）的字符串时，Splunk 会在 _raw 字段中搜索匹配的事件

或结果。下面是关键字和短语的一些示例：

web

error

web error

"web error"

请注意，搜索加有引号的短语 "web error" 与不加引号时的搜索不同。搜索 web error 时，Splunk 会返回包含 "web" 和

"error" 的事件。搜索 "web error" 时，Splunk 只返回包含短语 "web error" 的事件。

Splunk 搜索语言支持正则表达式，其中最简单的是星号 (*) 通配符。使用 * 可匹配字符串中任意数量的字符。只搜索

* 意味着“全部匹配”，而且将会检索所有事件，直到达到最大限制。搜索作为字符串一部分的 * 时将基于该字符串进

行匹配。例如：

my* 将匹配 myhost1、myhost.ny.mydomain.com、myeventtype 等。

*host 将匹配 myhost、yourhost 等。

*host* 将匹配 host1、myhost3、yourhost27.yourdomain.com 等。

对于想要检索的事件而言，搜索术语越特定，越有机会匹配到事件。例如，搜索 "access denied" 将始终优于搜索

"denied"。如果 90% 的事件含有单词 "error"，仅 5% 的事件含有单词 "sshd"，而您想要查找的事件要求同时包含这

两个单词，则在搜索中包括 "sshd" 将更为有效。

布尔表达式布尔表达式

Splunk 支持布尔运算符：AND、OR 和 NOT；运算符必须为大写形式。两个词之间始终隐含有 AND 运算符，即：web

error与 web AND error 相同。

Splunk 按照以下顺序评估布尔表达式：

1.括号中的表达式。

2.OR子句。

3.AND或 NOT 子句。

无括号，

A=1 AND B=2 OR C=3

将作为...处理

A=1 AND ( B=2 OR C=3 )

可使用括号将布尔表达式分组。

web client error NOT (403 OR 404)

(A=1 AND B=2 ) OR C=3

web client error NOT (403 OR 404)

注意：包含搜索通常将优于排除搜索。搜索 "access denied" 在生成结果时要快于搜索 NOT "access granted"。

字段表达式字段表达式

添加数据时，Splunk 将提取成对的信息，并将它们另存为字段。某些字段是所有事件的公用字段，而其他字段则不

是公用字段。将字段添加到搜索术语，更有机会匹配到特定事件。

如果要在 Web 访问日志中搜索特定 HTTP 状态错误，请不要搜索 "web error 404"，您可使用字段来搜索：

status=404

阅读关于如何“使用字段检索事件”的更多信息。

使用通配符匹配多个字段值使用通配符匹配多个字段值

您还可使用星号通配符匹配多个字段值。例如，以下搜索将返回具有 HTTP 状态为 400、401、402 等等的事件。

status=40*

使用比较运算符匹配字段值使用比较运算符匹配字段值

您可使用比较运算符匹配某个特定值或一系列字段值。

运算符示例结果

= field=foo 精确匹配 "foo" 的多值字段值。

!= field!=foo 不匹配 "foo" 的多值字段值。

< field<x 小于 x 的数字字段值。

> field>x 大于 x 的数字字段值。

<= field<=x 小于等于 x 的数字字段值。

>= field>=x 大于等于 x 的数字字段值。

例如，要找到 delay 字段大于 10 的事件：

delay > 10

使用使用 CASE() 和和 TERM() 匹配短语匹配短语

如果要搜索 Splunk 索引中的特定术语或短语，请使用 CASE() 或 TERM() 指令强制 Splunk 对整个术语进行精确的匹

配。

CASE 强制 Splunk 搜索术语和字段值的匹配项，区分大小写。

TERM 强制 Splunk 将括号中的内容匹配为索引中的一个术语，即使其中包含通常被识别为次要分割符的字符

（如句点或下划线）。

当搜索含有次要分割符的术语时，Splunk 会默认将其视为一个短语：它搜索子术语（即两个次要分割符之间的术

语）的组合项，并对结果进行后期过滤。例如，当您搜索 IP 地址 127.0.0.1 时，Splunk 会搜索： 127 AND 0 AND 1

如果这些子术语的组合项很常见，即使整个术语本身并不常见，搜索效率也不会很高。

如果搜索 TERM(127.0.0.1)，Splunk 会将 IP 地址视为原始数据中的单个术语进行匹配。

TERM 比较适用于术语包含次要分割符并且被主分割符（如空格或逗号）限制的情况。实际上，TERM 不适用于不被

主分割符限制的术语。以下示例说明了这一点。

有关 Splunk 如何将事件划分成若干个可搜索段的更多信息，请阅读《数据导入手册》中的“关于分段”。

示例示例

TERM(127.0.0.1) 适用于类似如下所示的原始数据：

127.0.0.1 - admin

但是，它不适用于类似如下所示的数据：

ip=127.0.0.1 - user=admin

这是因为 "=" 是次分割符，而事件的 IP 地址部分的索引为：ip, 127, 0, 1, ip=127.0.0.1

如果您的数据如下所示：

ip 127.0.0.1 - user admin

TERM(user admin) 无法返回结果。空格是主要分割符，而 Splunk 不会将短语 "user admin" 作为单个术语进行索引。

使用字段检索事件使用字段检索事件

字段是事件数据中的可搜索名称/值对。所有字段都具有名称，因此可使用名称搜索相应字段。使用字段表达式搜索

比仅使用关键字和带引号的短语搜索更精确（从而更高效）。

让我们看一下下面的搜索：

host=webserver

此搜索中，host=webserver 指示要搜索 host 字段值为 webserver 的事件。运行此搜索时，Splunk 不会检索 host 字段为

其他值的事件。它也不会检索包含将 webserver 作为值共享的其他字段的事件。这意味着，与仅在搜索栏中搜索

webserver 时的结果相比，此搜索会返回一组更具体的搜索结果。

有关更多信息，请阅读《知识管理器》手册中的“关于字段”。

索引时间和搜索时间字段索引时间和搜索时间字段

在 Splunk 处理事件数据时，它会先后在索引时和搜索时从该数据中提取并定义字段。

在索引时间内，Splunk 会提取一小组默认字段。

这些索引字段称为默认字段，因为它们存在于所有事件中。三个重要的默认字段为主机、来源和来源类型，这些字段

会说明事件的来源。其他默认字段包括日期时间字段，这些字段为事件时间戳提供了额外的可搜索粒度。Splunk 还

自动添加分类为内部字段的默认字段。

Splunk 还可以在索引时提取自定义索引字段；这些字段已针对索引时间提取进行配置。

在搜索时，Splunk 可以自动提取其他字段，具体取决于其搜索模式设置，以及对于所运行搜索的类型该设置是否启

用字段发现。

有关“搜索时间”和“索引时间”的说明，请参阅《管理索引器和群集手册》中的“索引时间对比搜索时间”。

搜索示例搜索示例

示例 1：在所有 "corp" 服务器上搜索用户 "strawsky" 访问的事件。随后，报告了 20 个最近发生的事件。

host=corp* eventtype=access user=strawsky

在本示例中，host 是默认字段，而 eventtype 和 user 是 Splunk 可能自动提取的或者您已定义的其他字段。

通常，事件类型是一个用户定义字段，可让您对事件进行分类以简化搜索。您可以将搜索保存为事件类型，并使用

eventtype 字段快速检索这些事件。有关更多信息，请阅读《知识管理器》手册中的“关于事件类型”。

示例 2：搜索来自来源 "/var/www/log/php_error.log" 的事件。

剩余67页未读，继续阅读

cuiboyin

粉丝: 2
资源: 4

Splunk搜索处理语言指南

SPLUNK8.2.0中文手册

splunk语法

多条件模糊匹配搜索--模糊查询

Splunk 6.2.0 搜索参考中文手册

Splunk 5.0搜索手册：检索事件与报表创建

Splunk 6.5中文搜索指南：优化与实战

Splunk Enterprise 6.0 搜索命令与API参考手册

Splunk5.0搜索手册：事件检索与报表创建

使用Splunk进行实时日志监控与分析

使用Splunk进行网络安全监控与事件响应

Snort与Splunk整合配置及数据可视化实战

日志管理与分析 - Elk与Splunk简介

20. 高效应用下线操作手册

splunk搜索语句两个条件

如何上手使用splunk

docker pull splunk/splunk:8.2.4

linux怎么安装splunk

Splunk国产化平替

部署splunk客户端步骤

splunk两个条件搜索

最新资源