- Splunk 教程
- Splunk - 主页
- Splunk - 概述
- Splunk - 环境
- Splunk - 接口
- Splunk - 数据摄取
- Splunk - 源类型
- Splunk - 基本搜索
- Splunk - 现场搜索
- Splunk - 时间范围搜索
- Splunk - 共享和导出
- Splunk - 搜索语言
- Splunk - 搜索优化
- Splunk - 转换命令
- Splunk - 报告
- Splunk - 仪表板
- Splunk - 数据透视表和数据集
- Splunk - 查找
- Splunk - 时间表和警报
- Splunk - 知识管理
- Splunk - 子搜索
- Splunk - 搜索宏
- Splunk - 事件类型
- Splunk - 基本图表
- Splunk - 叠加图表
- Splunk - 迷你图
- Splunk - 管理索引
- Splunk - 计算字段
- Splunk - 标签
- Splunk - 应用程序
- Splunk - 删除数据
- Splunk - 自定义图表
- Splunk - 监控文件
- Splunk - 排序命令
- Splunk - 顶级命令
- Splunk - 统计命令
- Splunk 有用资源
- Splunk - 快速指南
- Splunk - 有用的资源
- Splunk - 讨论
Splunk - 知识管理
Splunk 知识管理涉及 Splunk Enterprise 实施的知识对象的维护。
以下是知识管理的主要特征-
确保知识对象由组织中正确的人员群体共享和使用。
通过实施知识对象命名约定并淘汰重复或过时的对象来标准化事件数据。
监督改进搜索和数据透视性能的策略（报告加速、数据模型加速、摘要索引、批处理模式搜索）。
为 Pivot 用户构建数据模型。
知识对象
它是一个 Splunk 对象，用于获取有关数据的特定信息。创建知识对象时，您可以将其保密，也可以与其他用户共享。知识对象的例子有：保存的搜索、标签、字段提取、查找等。
知识对象的用途
使用 Splunk 软件时，将创建并保存知识对象。但它们可能包含重复的信息，或者它们可能无法被所有目标受众有效地使用。为了解决这些问题，我们需要管理这些对象。这是通过对它们进行正确分类，然后使用适当的权限管理来处理它们来完成的。以下是各种知识对象的用途和分类 -
字段和字段提取
字段和字段提取是 Splunk 软件知识的第一层。Splunk 软件从 IT 数据中自动提取的字段有助于赋予原始数据意义。手动提取的字段扩展并改进了这一层含义。
事件类型和交易
使用事件类型和事务将有趣的相似事件组合在一起。事件类型将通过搜索发现的事件集组合在一起。事务是跨越时间的概念相关事件的集合。
查找和工作流程操作
查找和工作流操作是知识对象的类别，它们以各种方式扩展数据的有用性。字段查找使您能够从外部数据源（例如静态表（CSV 文件）或基于 Python 的命令）向数据添加字段。工作流操作支持数据字段与其他应用程序或 Web 资源之间的交互，例如对包含 IP 地址的字段进行 WHOIS 查找。
标签和别名
标签和别名用于管理和标准化字段信息集。您可以使用标签和别名将相关字段值集分组在一起，并提供反映其身份不同方面的提取字段标签。例如，您可以通过为每个主机提供相同的标签，将特定位置（例如建筑物或城市）的主机组的事件分组在一起。
如果您有两个不同的源，使用不同的字段名称来引用相同的数据，那么您可以使用别名（例如，将 clientip 别名为 ipaddress）来标准化数据。
数据模型
数据模型是一个或多个数据集的表示，它们驱动 Pivot 工具，使 Pivot 用户能够快速生成有用的表格、复杂的可视化和可靠的报告，而无需与 Splunk 软件搜索语言交互。数据模型是由完全了解索引数据的格式和语义的知识管理者设计的。典型的数据模型利用其他知识对象类型。
我们将在后续章节中讨论这些知识对象的一些示例。