Splunk - 文件监控

Splunk Enterprise 监控并索引文件或目录中出现的新数据。您还可以指定已挂载或共享的目录，包括网络文件系统，只要 Splunk Enterprise 可以读取该目录即可。如果指定的目录包含子目录，则监控进程会递归检查这些子目录中的新文件，只要可以读取这些目录即可。

您可以使用白名单和黑名单来包含或排除要读取的文件或目录。

如果您禁用或删除监控输入，Splunk Enterprise 不会停止索引文件：输入引用。它只会停止再次检查这些文件。

您指定文件或目录的路径，监控处理器会使用写入该文件或目录的任何新数据。这就是您可以监控实时应用程序日志的方式，例如来自 Web 访问日志、Java 2 平台或 .NET 应用程序等的日志。

将文件添加到监控

使用 Splunk Web 界面，我们可以添加要监控的文件或目录。我们进入 **Splunk 首页 → 添加数据 → 监控**，如下面的图片所示：

单击“监控”后，它会列出您可以用来监控文件的各种文件和目录类型。接下来，我们选择要监控的文件。

接下来，我们选择默认值，因为 Splunk 能够解析文件并自动配置监控选项。

最后一步之后，我们将看到下面的结果，该结果捕获了要监控的文件中的事件。

如果事件中的任何值发生更改，则上述结果将更新为显示最新结果。