Splunk - 知识管理

Splunk 知识管理是指维护 Splunk Enterprise 实施的知识对象。

以下是知识管理的主要功能：

• 确保知识对象被组织中正确的群体共享和使用。

• 通过实施知识对象命名约定并淘汰重复或过时的对象来规范化事件数据。

• 监督改进搜索和透视性能的策略（报表加速、数据模型加速、摘要索引、批处理模式搜索）。

• 为透视表用户构建数据模型。

知识对象

它是一个 Splunk 对象，用于获取有关您数据的特定信息。创建知识对象时，您可以将其保留为私有，也可以与其他用户共享。知识对象的示例包括：保存的搜索、标签、字段提取、查找等。

知识对象的用途

在使用 Splunk 软件时，会创建和保存知识对象。但它们可能包含重复的信息，或者可能无法被所有目标受众有效地使用。为了解决这些问题，我们需要管理这些对象。这是通过对它们进行适当分类，然后使用适当的权限管理来处理它们来完成的。以下是各种知识对象的用途和分类：

字段和字段提取

字段和字段提取是 Splunk 软件知识的第一层。Splunk 软件从 IT 数据中自动提取的字段有助于为原始数据赋予意义。手动提取的字段扩展并改进了这一意义层。

事件类型和事务

使用事件类型和事务将有趣的一组类似事件组合在一起。事件类型将通过搜索发现的一组事件组合在一起。事务是在时间范围内跨越的概念相关的事件的集合。

查找和工作流操作

查找和工作流操作是知识对象的类别，它们以各种方式扩展了数据的实用性。字段查找使您能够从外部数据源（例如静态表（CSV 文件）或基于 Python 的命令）向数据添加字段。工作流操作支持数据中的字段与其他应用程序或 Web 资源之间的交互，例如对包含 IP 地址的字段进行 WHOIS 查找。

标签和别名

标签和别名用于管理和规范化字段信息集。您可以使用标签和别名将一组相关的字段值组合在一起，并为提取的字段标签提供反映其身份不同方面的标签。例如，您可以通过为每个主机分配相同的标签，将来自特定位置（例如建筑物或城市）的一组主机中的事件组合在一起。

如果您有两个不同的数据源使用不同的字段名称来引用相同的数据，则可以通过使用别名来规范化数据（例如，将 clientip 设为 ipaddress 的别名）。

数据模型

数据模型是一个或多个数据集的表示，它们驱动透视表工具，使透视表用户能够快速生成有用的表格、复杂的可视化效果和强大的报表，而无需与 Splunk 软件搜索语言进行交互。数据模型由完全了解其索引数据格式和语义的知识管理员设计。典型的数据模型利用其他知识对象类型。

我们将在后续章节中讨论这些知识对象的一些示例。