search - 如何安排搜索在 Splunk 中每 5 分钟运行一次？

Question

我正在 splunk 上搜索 5 分钟时间范围内的一些数据。我希望此查询每 5 分钟在 splunk 中自行运行一次。如何才能做到这一点？我试着在 splunk 上找到它，但我只能看到如何安排警报和报告。以及在激活查询后，我们如何访问查询生成的结果？

Answer 1

从技术上讲，您可以进行预定搜索，但只有在谈论报告或警报时才有意义。您的预定方法实际上是最佳做法(因为也有可能对最后 5 分钟进行实时搜索)。

• 如果您只需要一份报告，您可以告诉 Splunk 以 HTML 表格或 PDF 文档的形式通过电子邮件将其发送给您。
• 如果您只想在某些条件匹配时收到提醒(即超过 X 个结果)，那么您需要设置提醒。
• 可以使用预定搜索，但访问起来有点棘手(恕我直言)

在警报/报告计划选项中，您必须设置以下内容:

• 最早:-6m@m
• 最新:-1m@m
• Cron 表达式:*/5 * * * *

不要忘记设置一些触发条件(用于警报)或传递方法(用于报告);)