Splunk 查找

在搜索查询的结果中，我们有时会得到可能无法清楚表达字段含义的值。例如，我们可能会得到一个字段，该字段将产品 id 的值列为数字结果。这些数字不会让我们知道它是什么类型的产品。但是，如果我们将产品名称与产品 ID 一起列出，我们就会得到一份很好的报告，让我们能够理解搜索结果的含义。

使用来自两个数据集中的相同值将一个字段的值链接到另一个数据集中同名的字段称为查找过程。优点是，我们从两个不同的数据集中检索相关值。

创建和使用查找文件的步骤

为了在数据集中成功创建查找字段，我们需要按照以下步骤操作：

创建查找文件

我们考虑host为web_application的数据集，查看productid字段。该字段只是一个数字，但我们希望产品名称反映在我们的查询结果集中。我们创建一个包含以下详细信息的查找文件。在这里，我们将第一个字段的名称保留为 productid，这与我们将要使用的数据集中的字段相同。

productId,productdescription
WC-SH-G04,Tablets
DB-SG-G01,PCs
DC-SG-G02,MobilePhones
SC-MG-G10,Wearables 
WSC-MG-G10,Usb Light
GT-SC-G01,Battery
SF-BVS-G01,Hard Drive

添加查找文件

接下来，我们使用如下所示的设置屏幕将查找文件添加到 Splunk 环境：

选择查找后，我们会看到一个用于创建和配置查找的屏幕。我们选择如下所示的查找表文件。

我们浏览以选择文件 productidvals.csv 作为我们要上传的查找文件，并选择搜索作为我们的目标应用程序。我们还保留相同的目标文件名。

单击保存按钮后，文件将作为查找文件保存到 Splunk 存储库中。

创建查找定义

为了使搜索查询能够从我们刚刚上传的 Lookup 文件中查找值，我们需要创建一个查找定义。我们再次转到 设置→查找→查找定义→添加新。

接下来，我们通过转到 设置→查找→查找定义来检查我们添加的查找定义的可用性。

选择查找字段

接下来，我们需要为搜索查询选择查找字段。这是完成我去 新搜索→所有字段。然后选中 productid 框，这将自动添加查找文件中的 productdescription 字段。

使用查找字段

现在我们在搜索查询中使用 Lookup 字段，如下所示。可视化显示带有 productdescription 字段而不是 productid 的结果。

 调度是设置触发器以在无需用户干预的情况下自动运行报告的过程。以下是安排报告的用途：通过以不同的时间间隔（每月、每周或每天）运行相同的报告，我们可以获得该特定时期的结果。提高了仪表板的性能，因为报表在用户 ...