Splunk - 标签


标签用于为特定字段和值组合分配名称。这些字段可以是事件类型、主机、源或源类型等。您还可以使用标签将一组字段值分组在一起,以便您可以通过一个命令搜索它们。例如,您可以将星期一生成的所有不同文件标记为名为 mon_files 的标签。

为了找到我们要标记的字段值对,我们需要扩展事件并找到要考虑的字段。下图显示了我们如何扩展事件以查看字段 -

标签1

创建标签

我们可以通过使用编辑标签选项将标签值添加到字段值对来创建标签,如下所示。我们选择“操作”列下的字段。

标签2

下一个屏幕提示我们定义标签。对于“状态”字段,我们选择状态值 503 或 505,并分配一个名为 server_error 的标记,如下所示。我们必须一一选择两个事件,每个事件的状态值为 503 和 505。下图显示了状态值为 503 的方法。对于状态值为 503 的事件,我们必须重复相同的步骤505.

标签3

使用标签搜索

创建标签后,我们只需在搜索栏中输入标签名称即可搜索包含该标签的事件。在下图中,我们看到所有状态为:503 或 505 的事件。

标签