問題タブ [splunk]

タイムスタンプが01〜24（00〜23ではなく）のアプリケーションログがあります。検索を実行して、「24」を「00」に置き換えようとしています。例：

戻る必要があります

これまでのところ私は持っています

([0-9+]+).([0-9]+).([0-9\.$]+) ([0-9]+):([0-9]+):([0-9]+)

Splunk でダッシュボードを作成する理由を理解しようとしています。ビューを使用すると、チャートや検索とともにフォームを追加できますが、ダッシュボードではできません。では、なぜダッシュボードを作成する必要があるのでしょうか? 一方と他方の利点はありますか？

どこかにLdapサーバーをセットアップしました。私はそれにバインドでき、データベースのエントリを追加、変更、削除できます。認証に関しては、サーバーにユーザー名とパスワードを与えて、2つに一致するエントリを検索するように要求するのと同じくらい簡単ではありませんか？さらに、そこにユーザーのパスワードが含まれているのは「userPassword」フィールドではありませんか？

ここで、Ldapサーバーから認証するようにsplunkをセットアップしようとしましたが、ユーザー名とパスワードを指定しましたが、認証に失敗しました。splunkがチェックするのは「userPassword」フィールドではありませんか？考えられる理由は何ですか？

基本的に区切り文字「、」の間のフィールドを抽出し、値を変数に入れるsplunkクエリを作成しようとしています。

2 つのコンマの間のすべてを抽出したい。

現在、正規表現を指定せずに の間のすべてを取得するオプションはありません, ,。

私が考えることができる最も近いのは,.*, ..しかし.*、貪欲になり、他のすべてに一致します。

が検出された後にワイルドカード マッチングを停止するために使用できる正規表現はあり,ますか?

私は試した

うまくいきませんでした。

バッジを使用して追跡するユーザーの大規模な拡張ネットワークがあります。総トラフィックは、1 か月あたり約 6,000 万インプレッションです。現在、かなり低速なデータベースベースのロギング ソリューション (PHP でカスタム構築されているため、面倒です...) から、Amazon S3 ログと Splunk に依存する単純なログベースの代替ソリューションに切り替えることを検討しています。

Splunk を他の分析タスクに使用した後、私は本当に気に入っています。しかし、システムで S3 のようなソースをセットアップする方法は明確ではありません。リモート ソースには Universal Forwarder がインストールされている必要があるようですが、これはオプションではありません。

これに関するアイデアはありますか？

出力内の特定の文字列と一致する必要があるプロジェクトに取り組んでいます。

ここにサンプルがあります：

基本的に、スペースの後の各行が次の列に属していることを理解する必要があるアプリケーションがあります。次に、アクション名の後、すべてを他のものとして扱うことができます。したがって、私は以下のような正規表現形式を出しました：

戦略は、文字列を認識し、その後のスペースを無視することです。ただし、これはアクション名の間にスペースがある可能性があるため、アクション名まで機能します。したがって、私の問題は、入力として「ユーザーの挿入」と別の入力として「パスワードRSO部分の変更」が必要なように、正規表現を使用してアクション名内の文字列を認識させる方法です。

ユニバーサル フォワーダーを使用して Activemq ログをリモート システムの Splunk インデクサーにプッシュしようとしていますが、機能しません。私のローカル システムでは、次のようなログが表示されます。

06-13-2012 20:29:38.841 +0530 WARN DeploymentClient - デプロイメント サーバーにハンドシェイク メッセージを送信できません。エラー ステータス: not_connected 06-13-2012 20:29:40.741 +0530 WARN TcpOutputProc - ip=ip.address:9997 への raw 接続がタイムアウトしました

ローカル システム OS - Windows-7 リモート システム OS - Windows NT 2003

誰でもこれを解決するのを手伝ってくれますか?

ありがとう

以下の構成に従って、Splunk インストールに SSO とリバース プロキシを提供するように Apache サーバーを構成しました。SSO は、ポート 8000 で実行されている Splunk インスタンスを /splunk URL の背後に隠すリバース プロキシと同様に機能します。

問題は Apache ログにあります。次のエラー メッセージが大量に表示されます。

この問題が Splunk に関連しているかどうかはわかりません。他の誰かがこれを見たことがありますか?どうすれば問題を解決できますか?

コマンドプロンプトで手動で呼び出すと、完全に実行できるスクリプトがあります。

このスクリプトを名前を付けて保存し<filename>.batてダブルクリックすると、常に次のエラー メッセージが表示されます。

環境変数の設定の問題でしょうか。誰かが以前にそのようなことに遭遇したことがありますか、それとも私のコードに問題がありますか?

次のようなログがあります。

2012年6月19日7:15:59AMorg.apache.catalina.core.StandardEngine start

情報：サーブレットエンジンの起動：Apache Tomcat / 6.0.29

タイムスタンプがISO8601に準拠していません。上記の形式に基づいて分離を実現する方法はありますか？現在、複数のラインをランダムにクラブしています。