最初に検索を実行すると、[選択されたフィールド]リストにデフォルトのフィールドhost、source、およびsourcetypeが含まれます。デフォルトのフィールドはすべてのイベントに表示されます。興味深いフィールドは、イベントの少なくとも20％に表示されるフィールドです。フィールド名の横には、そのフィールドにある個別の値の数が表示されます。

さらに、Splunk検索で抽出されたフィールドを使用するにはどうすればよいですか？ Splunk Enterpriseにデータを追加した後、ソースタイプが固定されている限り、フィールドエクストラクタを使用してそのデータからフィールドを抽出します。データを追加した後、フィールドエクストラクタにアクセスします

1. [データの追加]ページに入ります。
2. 固定ソースタイプでデータ入力を定義します。
3. 新しいデータ入力を保存します。

ここで、Splunkイベントのデフォルトフィールドは何ですか？

3つの重要なデフォルトフィールドは、ホスト、ソース、およびソースタイプであり、イベントの発生場所を示します。その他のデフォルトフィールドには、イベントのタイムスタンプに検索可能な粒度を追加する日付/時刻フィールドが含まれます。 Splunk Enterpriseは、内部フィールドとして分類されたデフォルトフィールドも追加します。

Splunkのソースとソースタイプとは何ですか？

ソースは、特定のイベントが発生したファイル、ストリーム、またはその他の入力の名前です。ソースタイプは、データの性質に応じて、 Splunkソフトウェアが着信データストリームを個々のイベントに処理する方法を決定します。