イベントのデータ構造を識別するデフォルトのフィールド。インデクサーは、データにインデックスを付けるときにソースタイプフィールドを識別して追加します。その結果、インデックス付けされた各イベントにはsourcetypeフィールドがあります。検索でsourcetypeフィールドを使用して、（特定のソースからのすべてのデータではなく）特定のタイプのすべてのデータを検索します。

また、Splunkインデックスを作成するにはどうすればよいですか？ SplunkWebを使用する

1. Splunk Webで、[設定]> [インデックス]に移動し、[新規]をクリックします。
2. [インデックス名]に、インデックスの名前を入力します。ユーザー定義のインデックス名は、数字、小文字、アンダースコア、およびハイフンのみで構成する必要があります。
3. [インデックスデータ型]で、[指標]をクリックします。
4. 必要に応じて、インデックスの残りのプロパティを入力します。
5. [保存]をクリックします。

また、Splunkのデフォルトのインデックスは何ですか？

インデックスのデフォルトセットmain：これはデフォルトのSplunkEnterpriseインデックスです。特に指定がない限り、処理されたすべてのデータはここに保存されます。 _internal：SplunkEnterpriseの内部ログと処理メトリックを保存します。 _audit：ファイルシステム変更モニター、監査、およびすべてのユーザー検索履歴に関連するイベントが含まれます。

インデックスはSplunkのどこに保存されますか？

各インデックスは、ディスク上の一連のディレクトリを占有します。デフォルトでは、これらのディレクトリは$ SPLUNK_DBにあり、デフォルトでは$ SPLUNK_HOME / var / lib / splunkにあります。 Splunkのインストールが/ opt / splunkにある場合、インデックスmainはパス/ opt / splunk / var / lib / splunk / defaultdbをルートとします。