如何从一个splunk搜索中筛选数据
从一个Splunk搜索中筛选数据可以通过使用Splunk的查询语言和搜索命令来实现。以下是一个完善且全面的答案：
Splunk是一种用于实时监控、搜索、分析和可视化大规模机器生成的数据的平台。它可以帮助用户从海量数据中提取有价值的信息，并支持各种用例，包括安全监控、运营分析、业务智能等。
在Splunk中，可以使用查询语言来构建搜索语句，以从数据中筛选出所需的信息。以下是一些常用的搜索命令和操作：
- 基本搜索：使用关键字和字段来搜索数据。例如，
index=your_index sourcetype=your_sourcetype keyword将在名为"your_index"的索引和指定的数据源类型中搜索包含"keyword"的数据。 - 过滤数据：使用条件语句来过滤数据。例如，
index=your_index sourcetype=your_sourcetype keyword | where field_name=value将在搜索结果中筛选出满足条件的数据。 - 聚合数据：使用聚合函数对数据进行汇总和计算。例如，
index=your_index sourcetype=your_sourcetype keyword | stats count(field_name) by another_field将按照"another_field"字段对搜索结果进行分组，并计算每个分组中"field_name"字段的计数。 - 时间范围：使用时间范围来限制搜索结果。例如，
index=your_index sourcetype=your_sourcetype keyword earliest=-1d latest=now将在过去一天内的数据中搜索包含"keyword"的结果。 - 排序和限制：使用排序和限制命令来对搜索结果进行排序和限制。例如，
index=your_index sourcetype=your_sourcetype keyword | sort field_name | head 10将按照"field_name"字段对搜索结果进行排序，并返回前10条结果。
Splunk还提供了许多其他的搜索命令和功能，如字段提取、正则表达式、事件分割等，以满足不同的搜索需求。
对于Splunk的应用场景，它可以应用于各种领域，包括安全监控、日志分析、业务智能、应用性能监控等。例如，在安全监控方面，Splunk可以帮助实时监测网络流量、检测异常行为、分析安全事件等；在日志分析方面，Splunk可以帮助收集和分析应用程序、系统和设备的日志数据；在业务智能方面，Splunk可以帮助分析业务数据、提供实时报表和可视化展示等。
腾讯云提供了一系列与Splunk相关的产品和服务，包括云原生日志服务CLS（Cloud Log Service）、云原生监控服务CM（Cloud Monitor）等。CLS提供了高可用、高性能的日志采集、存储和分析能力，可以与Splunk进行集成，帮助用户更好地管理和分析日志数据。CM提供了全面的云资源监控和告警功能，可以与Splunk结合使用，实现对云资源的实时监控和分析。
更多关于腾讯云相关产品和服务的介绍，请访问腾讯云官方网站：https://cloud.tencent.com/
相关·内容
我正在尝试将Splunk搜索转换为Elasticsearch搜索。我遇到的一个问题是如何处理Splunk的数据模型。如何将在Splunk中的特定数据模型中执行搜索转换为Elasticsearch搜索？
例如，在Splunk搜索中: tstats summariesonly=T count from datamodel="Web"........
Elasticsearch等同于在"Web“数据模型中执行搜索吗？
任何帮助，无论多么小，都会有帮助。谢谢
浏览 1提问于2016-10-08得票数 0
2回答
我在Splunk中有一个脚本，它定期运行，并将数据放入splunk中。现在我也想把这些数据传送到弹性搜索。所以数据在splunk和弹性搜索中都得到了输入。对怎么做有什么想法吗？
浏览 8提问于2016-09-28得票数 1
回答已采纳
1回答
我需要读取登录到splunk的json，解析它并存储在关系数据库中。
我知道如何解析json，并进行后处理。但是，我不太清楚如何从splunk中提取数据。对于这个用例，什么是最好的策略和java技术栈？( splunk和rest讨论的是运行搜索等，而不是数据提取本身。我看到spring集成对Splunk有一些扩展，所以我可能能够使用spring，但没有找到相同的具体示例)。
浏览 5提问于2015-08-12得票数 1
回答已采纳
1回答
我是新来的。就三天而已。我一直在使用Lucene索引和搜索原始数据形式的外地和非外地数据。我对lucenes搜索的表现印象深刻。我想知道经验社区是否能在splunk的一些功能上指导我。具体来说，与我对Lucene的了解相比，splunk。不仅仅限于搜索。
如何处理停止词？很常见的词是.我们可以手动提供给lucene.
是splunk通配符搜索、邻近搜索、regex搜索吗？我知道它可以进行实地搜索。
索引的优化。特别是compression.
可以在splunk上进行基于模糊同义词的搜索吗？
我知道这一定是一个很长的问题，但我很想从经验丰富的人那里了解一些观点，希望不要偏离规则。
谢谢。
浏览 1提问于2012-03-22得票数 0
回答已采纳
我正在尝试用Splunk创建一个搜索，让我只在非工作的时候才能得到结果。我的意思是，Splunk从日志中筛选出从上午8点到5点发生的所有事件
目前，我使用的查询是：earliest=-1mon，因此我获得了上个月的所有事件，但我只需要那些发生在工作时间之外的事件。
有可能吗？
浏览 0提问于2012-12-20得票数 0
回答已采纳
1回答
如何对ls和grep命令返回的文件进行grep？
例如：
# ls -alrth /app/splunk_export/*HSS* | grep 'Nov 24 11:*'
-rw-r--r-- 1 root root 63K Nov 24 11:17 /app/splunk_export/A20171124.1000+1300-1100+1300_HSS01HAM_CGP.csv
-rw-r--r-- 1 root root 40K Nov 24 11:17 /app/splunk_export/A20171124.1000+1300-1100+1300_HSS01HAM
浏览 0提问于2017-11-23得票数 2
使用Python检索Splunk生成的网页。该网页包含一个表/列表，需要很长时间才能加载。
加载网页时，Splunk提供网页，但该表/列表除外。在表应该存在的区域，Splunk将字符串“等待数据”返回给表/列表，因为Splunk在后台执行要完成的搜索查询。
我面临的问题是，Selenium有时返回一个适当的表/列表，有时满足于字符串“等待数据”。
我原以为使用driver.implicitly_wait()可以解决这个问题，但事实并非如此。
Q:如何配置Selenium以等待w继续，直到网页中没有字符串“等待数据”为止。或者，在页面“完全”加载之前，如何配置Selenium。
浏览 2提问于2022-08-11得票数 0
1回答
我正在splunk上搜索一些数据，时间范围为5分钟。我希望这个查询在它自己的splunk中每5分钟运行一次。如何做到这一点？我试着在splunk上找到它，但我看到的都是如何安排警报和报告。在查询被激活之后，我们如何访问查询生成的结果？
浏览 0提问于2015-10-14得票数 2
回答已采纳
我正在使用一个查询来查询splunk，这个查询是为了搜索splunk数据库。
现在，这个查询给了我很多字段作为结果。但我只希望输出中选定的字段。怎么做？
我正在使用‘自定义可视化’应用程序在splunk。我希望我的splunk查询在自定义可视化中使用，以便生成流程图。如何实现这一目标？
浏览 2提问于2015-09-03得票数 0
回答已采纳
我是一个相对较新的公司，它使用服务来创建Splunk环境。到目前为止，IT公司已经搭载了许多AWS、Azure、on和网络设备。我试图验证他们实际上是在将日志发送到Splunk索引中，以便我最终可以应用用例并对日志进行警报，并对那些不发送但应该发送的主机进行故障排除。在公司里没有一个Splunk资源，所以我正在尽我最大的努力去解决它。(经典)
IT经理给了我一个主机名和私有IP地址的电子表格，用于转发日志的所有设备。一开始，我想我可以运行一个搜索，只需将他的列表与主机名收到的日志进行比较，但我无法理解。这是我所做的。
在30天的搜索过程中，我运行了| metadata type=hosts i
浏览 10提问于2022-08-23得票数 1
Splunk中是否有Rest查询来获取在Splunk上执行的未保存/临时搜索。
给你一个背景，
团队正在试图理解加载模式，我们能够找到如何找到保存的搜索执行下面的链接。
在让所有用户在Splunk上执行未保存/临时搜索时，我们需要一些帮助
| rest /servicesNS/-/-/saved/searches splunk_server=local
上面的查询获取保存的搜索，但是在获取未保存的/特殊的搜索时需要帮助。
浏览 8提问于2022-06-29得票数 0
我已经在Splunk中创建了报告："splunk_report“。我想在Splunk仪表板中使用它。
我已经从report添加了新的面板-> new，但现在它显示了一个表(正如它在saved report中定义的那样)，我想要获得该表中的总行数。是否可以计算当前报告的数量？例如："splunk_report“|统计数据计数(系统)
我不想复制整个搜索查询，因为将来当报告中的搜索更改时，我必须在两个地方更改它。
浏览 1提问于2021-07-21得票数 0
我想访问splunk搜索之后的事件的值。
数据在活动中的格式如下
18/06/28 14:12:07 250 219561 711914 72864 0 784778 - 18-06-28 14:08:43
我希望在14:12:07的基础上每小时获得所有数据
请建议我们如何在Splunk中做到这一点
浏览 0提问于2018-06-29得票数 0
splunkmonitormessage= subprocess.Popen(["sudo", "/opt/splunkforwarder/bin/splunk", "add monitor", path], stdin=subprocess.PIPE, stdout=subprocess.PIPE)
(我也尝试过str(路径))
正在抛出一个错误：
命令错误:子命令‘/opt/log/node_defaultNode.log’对于命令'add‘无效。数据转发配置管理工具。
命令:启用本地索引-parameter .禁用本地索引-par
浏览 5提问于2014-06-13得票数 0
回答已采纳
如何将我的网页重定向到Splunk搜索页面？获取“无效earliest_time”
我想将我的网页重定向到splunk搜索页面
我使用这个URL：
但我一直在说“无效的earliest_time”。
当我在Splunk搜索页面中执行搜索时，我在browser：中看到这个URL
我的问题是，Splunk如何将最早的=05/11/2015:16:44:28转化为earliest=1431351868？我在和Java一起工作。我试着在请求中发送日期长值，但仍然得到相同的错误.
谢谢,
浏览 5提问于2015-11-23得票数 0
回答已采纳
1回答
我正在尝试学习Splunk，并了解如何在AWS上安装Splunk Enterprise。
在阅读文档时，我在Splunk中遇到了索引集群和头部搜索集群，但没有(我能找到的)文档显示这两个集群是如何相互作用的。
在一个环境中设置了索引器集群和搜索头集群，但即使在这个环境中，也没有提到这两个集群如何协同工作和相互关联。
任何参考相关文档或解释的资料都会很棒。
浏览 0提问于2018-01-29得票数 0
我目前在本地模式下运行ossec 3.6，并将数据转发到Splunk。我似乎在wazuh中找不到类似的东西-我是不是错过了什么？我们真的不想要一个经理，因为不管怎样，我们所有的数据都会流向Splunk。我们希望继续以Splunk格式输出ossec/wazuh数据，并直接发送到Splunk。我已经在谷歌上搜索并阅读了wazuh文档，但找不到任何解决这个问题的东西。这个是可能的吗？
浏览 47提问于2021-06-04得票数 0
回答已采纳
为什么会出现以下Splunk搜索： search sourcetype=srt | table serialNumber 将给出一个由一列组成的序列号表，而相同的查询放在子搜索括号中 [search sourcetype=srt | table serialNumber] 返回的不是我期望的表，而是完整的记录？ 文档似乎建议这两个结果应该是相同的。
浏览 29提问于2021-03-24得票数 1
如果我安装了splunk转发器，我就可以将远程数据放到我的splunk安装中，并对我的日志进行索引，搜索是很棒的。但是我有许多路由器设备和其他运行syslog的设备，并且可以将它们的日志导出到某个地方。
我如何配置Splunk来接收这些日志，或者是否有其他解决方法可供使用？
浏览 0提问于2011-12-28得票数 2
1回答
我想进行splunk搜索，其中排除了所有与包含字符串"error“的事件的传递相关的事件。
这是我目前的搜索
*base-search*
| eval rm_id=if(like(_raw, "%[error]%") , 0, transid)
我必须将"rm_id“字段中的所有值排除在我的搜索之外。
浏览 3提问于2022-09-21得票数 -3
回答已采纳
1回答
我有一个splunk容器运行在码头上，我有一些原始的splunk索引数据(zeek，goose，iris_plus等)db目录包含.tsidx、.data、.dat文件和journal文件。如何(以及在哪里)运行CLI搜索以获取所有可能的事件？
蒂娅！
浏览 1提问于2022-09-19得票数 0
回答已采纳
我想在Splunk中创建一个报表/线条图，它显示了每周负荷的多个数据点。下面是电子表格中的一个简单示例，但我很难找到这在Splunk中是否可行，如果是的话，如何实现它。我在用
"| dbquery mydatabaseconn "Select load_date, source, sum(transactions) from mytable group by load_date, source "
作为我的搜索。
浏览 5提问于2015-11-30得票数 0
回答已采纳
1回答
我想在Splunk中执行行为分析/异常检测，通过比较历史数据(比如上个月的数据)和今天的数据来发现异常。
我正在分析FTP日志，因此，例如，我想要具有I/城市和登录时间的所有用户的历史基线/报告。异常可以定义为同一用户从不同的IP范围/城市和不同的时区登录。命令:异常、异常值、分析字段在Splunk中可用，但这些命令通常在搜索数据的时间范围内工作，而不是像我们希望的那样与用户的历史数据进行比较。
我如何在Splunk中实现这一点？
浏览 3提问于2014-10-21得票数 0
2回答
我想在很长一段时间内(例如，几个月或几年)运行一个Splunk查询，但是我搜索的数据足够多，只能搜索几个小时或几天的数据。
然而，对于我想在Splunk中回答的问题，我会对一个统一的或统计上没有偏见的数据样本感到满意。换句话说，与任何连续的事件相比，我更喜欢在过去一个月中展开的查询返回N个事件。
我考虑的一种方法是只使用date_minute=0搜索事件，以便快速过滤1/60的事件，这很有帮助，但不太灵活。
是否有更好的方法来有效地在Splunk中对事件进行采样？
浏览 1提问于2014-04-03得票数 5
回答已采纳
我有一些splunk警报，如果没有结果就会触发。但是，我们的splunk搜索偶尔会关闭一分钟，导致所有这些警报都会触发。
我不是splunk服务器的负责人，所以我不能做任何事情来提高搜索的能力。但是，我可以修改警报的查询。我不是在寻找如何保持搜索的建议。这不是我能控制的。
有没有办法可以修改搜索以检查搜索是否正常工作？例如，也许有一种方法总是从搜索中返回至少1个结果，然后我可以修改我的警报，使其在只有1个结果而不是0的时候触发。
因此，伪查询应该是这样的: query，如果搜索正在工作，则始终只返回1个结果|将这些结果附加到期望>0结果的原始splunk查询
浏览 14提问于2020-02-28得票数 0
1回答
如何将来自几个Splunk事件的json数据可视化为列图表？
每当应用程序将数据记录到Splunk时，我得到的json结构如下：
{
"monat": "2020-06-01",
"duration": 512,
"herkunft": "abc"
}
列图表应计数相等的monat字段，并将它们放在同一列中。如果有一个新的月份(monat字段)，应该创建一个新的列。
我很难定义搜索词。
浏览 3提问于2020-11-11得票数 1
回答已采纳
我想要创建一个发送端口，它将所有进出BizTalk的消息写入文件。我的组织正在使用Splunk。Splunk将从文件目录导入数据，以理解各种消息。
是否可以在订阅“一切”的发送端口中创建筛选器？我可以通过对系统中的每种消息类型应用筛选器来解决这个问题。然而，有许多信息来回往返，我想知道是否有一个更简单的解决方案？
我正在使用BizTalk 2013。
浏览 0提问于2015-02-18得票数 1
回答已采纳
我是splunk的新手，正在尝试对受损的域控制器安全事件日志执行事件分析。我使用的是splunk云平台的免费试用版，并摄取了csv数据，让splunk自动创建索引。该攻击是一种暴力破解攻击，似乎某些恶意用户试图在AD中查找远程桌面用户组的成员。
我附上了我当前的splunk搜索结果的屏幕截图和进一步的过滤器，我想使用黑色突出显示。正如您将在当前搜索结果中看到的那样，它列出了许多这样的事件，但我只对某些事件感兴趣，在Subject部分下，帐户名称的值不是给定的名称集(例如ID4$、Admin、Harvester等)。如何才能做到这一点？
浏览 4提问于2021-11-01得票数 0
我设置了一些set作业并将其部署到Azure，System.Diagnostics.Trace输出自动上传到(blob db)/(service System.Diagnostics.Trace)
我有Splunk的附加读物，如下所示：
导入工作正常，所以现在我正在寻找一种方法，以几种方式更改默认行为：
将数据源报告为完整的blob名称(如"MyService/2017/07/15/1234-5678.applicationLog.csv“)
所需: Splunk只报告服务名称(如"MyService“)的数据源。这将使在源代码上的搜索更容易。
Splunk报告
浏览 3提问于2017-08-03得票数 0
在通过Spring Splunk入站适配器执行实时搜索时，我得到了以下错误。
SEVERE: org.springframework.messaging.MessagingException: search Splunk data failed; nested exception is java.lang.UnsupportedOperationException: The 'real-time' search isn't supported because of the infinite Splunk Job nature.
谁能告诉我如何从Spring应用程序中执行
浏览 1提问于2016-06-06得票数 0
1回答
面对以下问题:我需要在一些豆荚上添加一个搜索域，以便能够与无头服务进行通信。Kubernetes文档建议设置一个dnsConfig并设置其中的所有内容，这就是我所做的。此外，也有一个限制，即只能设置6个搜索域。清单的一部分：
spec:
hostname: search
dnsPolicy: ClusterFirst
dnsConfig:
searches:
- indexer.splunk.svc.cluster.local
containers:
- name: search
不幸的是，它没有任何效果，并且目标pod上的resolv.conf
浏览 4提问于2020-03-03得票数 4
回答已采纳
1回答
嗨，我正在用Solr搜索引擎开发rails web应用程序。获取搜索结果的路径是'/ search / results‘。
用户在搜索某样东西时会提出很多请求，而我需要随时获取实时搜索请求的最大计数(检查需要做一些优化或增加RAM等)。我知道有高峰时间，当加载是关键，搜索工作缓慢。
我使用Splunk服务收集应用程序日志，可以从日志中获取请求计数，但我不知道如何编写正确的Splunk查询来获取我需要的数据。
那么，如何才能获得每1小时的最大请求数，以获取日期范围的“/search/results”路径？
谢谢你！
浏览 0提问于2015-01-13得票数 0
回答已采纳
考虑以下两个Splunk搜索：
index=a | join type=inner MyKey [search index=b]
以及：
index=a | join type=inner MyKey [search index=b | where MyVal > 0]
值得注意的是，后者--其子搜索具有约束的搜索--其结果行数是前者的三倍。
用于命令的join表示语义足够接近于SQL的join
如果指定的字段对每个字段都是公共的，则使用联接来组合搜索和子搜索的结果。您还可以使用自联接命令将表连接到表本身。
此片段与type=inner参数相关：
如果指定的字段对每个字段都是公
浏览 0提问于2012-10-15得票数 1
1回答
我试图从splunk搜索中获取值，以获得电子邮件警告消息。我用来触发警报的splunk搜索查询是"resourceGroup="myResourceGroup" severity="Error" (简化版本)。搜索的输出如下
{
msg: Error encountered will getting details from API
resourceGroup: myResourceGroup
severity: Error
sourceContext: SystemContext
success: false
浏览 4提问于2022-11-30得票数 1
2回答
如何从搜索返回的splunk事件列表中获得特定splunk事件的url？
如果这是不可能的，而且我需要创建一个只返回该事件的搜索，那么对于我可以在查询中使用的每个事件，是否有一些唯一的id呢？
浏览 2提问于2017-11-07得票数 8
回答已采纳
我在斯普伦克试图减少原木的产量。当我试图使用下面的查询来减少日志时，我得到了大量的日志条目
Spunk query: (source!="/var/log/kubernetes/audit/kube-apiserver-audit.log" cluster_name::dkp-test index="tst-dkp") null sourcetype="fluentd:monitor-agent"
我试图通过使用emit_interval 300和cache_ttl 3600来减少日志生成，但是它没有工作。
有谁能建议我如何减少splunk连接器
浏览 2提问于2022-01-31得票数 0
我能够在splunk仪表板中获得多个事件(api的日志)，如下所示
事件-1：
{ "corrId":"12345", "traceId":"srh-1", "apiName":"api1" }
事件-2：
{ "corrId":"69863", "traceId":"srh-2", "apiName":"api2" }
事件-3：
{ "corrId":"12345",
浏览 0提问于2020-09-30得票数 1
1回答
倾倒扣篮事件
、、
我们设置了nagios实例，通过使用MK-Livestatus和扣篮，我们能够将nagios的所有警报通过livestatus的套接字进行推送，这要归功于splunk的调用。
然而，splunk现在正在接收数据，当有人使用应用程序搜索它的事件时，它得到了它的"OK“事件状态的公平份额。我们希望能够删除这些多余的事件，这样当有人在Splunk中搜索日志时，它们就不会出现。在这种情况下，最明显的解决方案是在使用Splunk挖掘日志时调整搜索索引。然而，对于最终用户来说，这是不可接受的，因为他们没有那么多知识，也没有时间和资源对自己进行深入的splunk教育。
尽管如此，我们需要有一种方法通
浏览 0提问于2016-06-15得票数 0
回答已采纳
我正在尝试创建一个摘要索引，以便从中收集搜索数据。在splunk文档中要在splunk web应用程序中创建索引，它说要单击Settings>Indexes，但我在应用程序右上角的设置中看不到索引按钮。我找错地方了吗？
浏览 1提问于2017-06-15得票数 1
我正在splunk中构建一个视图，并且想要显示一个时间表。但是，我只想显示过去24小时的数据，而不是splunk默认的上周数据。我该怎么做呢？
当我只是进行搜索时，我可以在页面顶部选择时间跨度，但在创建仪表板图表时不可用。
浏览 0提问于2012-04-13得票数 0
回答已采纳
我正在使用java rest api sdk从Splunk的搜索应用程序中检索事件。我在搜索期间检索了名为splunk_server的字段，并为其设置了值。然后，我尝试将日志消息格式化为key=value对模式。例如：splunk_server=remoteserver。我希望将我为新事件设置的splunk_server值添加到splunk中。但出现的是默认值。
有没有办法设置splunk_server的值，并在每次添加新事件时显示我在Splunk服务器中设置的值？
浏览 2提问于2012-03-27得票数 0
我有一个splunk容器运行在docker上，并希望使用cli搜索将原始splunk索引数据转换为json，并将输出保存为本地文件。怎么做？
提前感谢！
浏览 6提问于2022-09-15得票数 0
回答已采纳
3回答
我知道Splunk不需要MySQL数据库提供的很多功能，要对大数据进行索引和执行搜索，使用关系数据库可能不是一个好的选择。
Splunk是使用Lucene作为搜索引擎，还是制作了磁盘上的数据格式？
如果我问这个问题的方式有什么问题，我很抱歉。这是我关于堆栈溢出的第一个问题。
浏览 2提问于2014-01-07得票数 5
回答已采纳
1回答
我需要你帮我提个建议。在当前的场景中，我们在云上有一个应用程序，通过splunk我们可以查看日志。我正在考虑使用flume/kafka这样的大数据工具来实现这一点，我可以从云中获取实时日志数据(目前由splunk获取)，并将其提供给我们的HDFS。这里很少有人关心
这是否可行和合理？
用于日志搜索(与splunk相同的功能)
我们可以使用哪种工具？
浏览 1提问于2016-08-04得票数 0
我正在尝试使用Splunk记录来自IIS的整个部署的消息。我注意到，当我从一个定制的AMI/Image中旋出一个新的EC2实例时，它具有与它创建的父映像相同的PC‘主机名’。
如果我在这台新服务器上设置了splunk转发器，它将以与原始图像相同的主机名转发数据，这使得报告不可能进行区分。
是否有人知道，我可以在创建EC2实例时动态设置主机名，也可以在splunk中配置主机名，以便为新的转发器指定主机名？
非常感谢你能给予的任何帮助！
浏览 0提问于2015-10-06得票数 0
回答已采纳
我有一个有650k事件索引数据的Splunk服务器。我想将整个数据从一个实例迁移到另一个新实例。我尝试使用数据字段为-27D@d的迁移脚本，但我只能迁移50k数据。-27D@d是可以获得初始数据的点。你能帮我一下吗？代码如下： import splunklib.client as client
import splunklib.results as results
import json
import requests
send_string = ""
service=client.connect(host="host1", port=8089, user
浏览 36提问于2021-10-17得票数 0
回答已采纳
1回答
我们在中部署了Splunk (url修改)。
并且能够访问上的Splunk主页(url修改)。
我正在构建一个仪表板应用程序，它使用Splunk REST服务提供的JSON数据。
我已经通过了和rest端点作为。
从上面的链接中我了解到
我需要用用户名和密码向services/auth/登录发出post请求。这将返回将用于进一步API调用的会话密钥。
必须向服务/搜索/作业发出post请求才能创建搜索。这将返回搜索id。
我需要检查服务/搜索/作业/搜索完成。
如果搜索完成，那么我就可以使用服务/ search /作业//结果检索结果。
我面临的问题是我不知道基本URL是什么。我试过构
浏览 1提问于2017-08-23得票数 4
回答已采纳
我有一个"Bal_123.csv“文件，当我在splunk web上通过查询”sourcetype="Bal_123.csv“”来搜索它的数据时，我得到了逗号分隔格式的最新索引原始数据。但是为了进一步的操作，我需要.Json格式的数据 我们有没有办法获得.Json格式的数据。我知道我可以将数据导出为Json格式，但我正在使用Rest调用从splunk获取数据，并且我需要splunk本身的Json数据。 关于这一点，有人能帮我吗？
浏览 26提问于2019-01-22得票数 0
我想从第二个splunk搜索的结果中过滤一个splunk搜索的结果 我有两个splunk查询 index=pool status=OK Detail=Outgoing | table order
A11 A12 A13
index=pool status=OK Detail=Incmoing| table order
A11 A12 我想从第一次搜索中过滤第二次搜索的结果，这样我就可以得到如下结果 A13
浏览 12提问于2019-04-19得票数 0
2回答
推出splunk，我正在讨论切换到JSON。Splunk现在支持spath，甚至支持JSON实现用户友好性(ref：http://dev.splunk.com/view/logging-best-practices/SP-CAAADP6 )
具有讽刺意味的是，Splunk还建议反对JSON (ref：http://docs.splunk.com/Documentation/Storm/Storm/User/Bestpractices )。当然，风暴是云，不是托管，而是什么？
有人在splunk中使用JSON吗？有人能谈谈现实世界中索引搜索的性能差异以及利用spath轻松创建搜索查询的能力吗？
浏览 0提问于2015-01-22得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
腾讯会议
实时音视频活动推荐
腾讯云开发者
