SPLUNK43强势登陆.PDFVIP

SPLUNK 4.3 强势登陆 POSTED BY ADMIN ON MAR 1, 2012 IN FLOWS29 | 0 COMMENTS 2012 年 1 月，Splunk 发布了最新版本 4.3 ，得知新版本的发布后，我马上到 Splunk 的官网下载并安装到自己的虚拟机上做了一番测试理解。 下面我们就 Splunk 4.3 的新特性和新功能进行逐一尝鲜。 新功能 用户界面增强 新版本全面增加了对 iOS 系统设备的浏览支持，使用基于 html5 的 UI ，在苹果 的 IPhone 及 IPAD 上都可以访问 splunk 的 web 界面，这在 iOS 横行的年代 着实提高了用户对 Splunk 的可操作性。 而在其他的操作界面上，Splunk 4.3 也在之前版本的基础上做了很大改进，主 要包括： • 搜索栏与时间操作栏的集成，使 Splunk 的搜索页面更加连贯美观，界面浑 然一体。 1 • 将仪表台编辑、告警编辑、预约搜索等高能按钮统一到界面上的同一个按钮， 便于用户的理解和操作。 • 在对仪表盘进行编辑时，可以对仪表盘中的视图进行随意的拖拽和细节编辑， 增加了用户对仪表盘进行编辑时的直观度和灵活性。 • 在各界面上增加了大量直观的操作按钮，更便于用户对自己的 Splunk 进行 快速操作。 2 • 增加了搜索结果导出的功能，使用户可以随意导出搜索结果为特定格式，供 数据探讨及存档使用。 • 极大简化了保存特定搜索的流程，提高编辑效率。 • 更丰富的告警分类模式，使各种告警类别一目了然。 3 • 现在用户自己可以对界面上方讨厌的信息提示进行编辑了，在后台的管理 - 用户界面 -Bulletin Messages 中可以对界面的提示信息进行随意的修改， 以后再也不用看到那些无关紧要的信息占据着自己的 Splunk 界面了。 新特性 - Bloom Filters 提高搜索效率 新版本的 Splunk 会为各种搜索建立 buckets ，这种机制可以大幅提高Splunk 的搜索效率。 4 而设置的方法也是非常简单，首先修改 /opt/splunk/etc/system/default/limits.conf 文件， [search]段落中 use_bloomfilter 的值，设置为 true/false 来确定是否打开 bloom filters 功能； 然后修改每一个 app 中的 indexes.conf 文件，通过设置 bloomHomePath 的值来定义 bloom filters 文件的路径，修改 createBloomfilter 的值来设置是 否建立一个 bloom filters 文件。 新特性 - Real time backfill 完整数据视图 当开始进行一次实时搜索时，可以设置 Splunk 是否将开始时间点之前，指定的 时间窗口大小之内的事件也显示出来。例如，选择实时搜索时间间隔为 5 分钟， 开始实时搜索的时间点为 12:00 ，则可以设置，在开始进行搜索时，是否将 11:55– 12:00 以内符合条件的事件也显示出来。可以通过修改 /opt/splunk/etc/system/default/limits.conf 文件， [realtime]段落中的 default_backfile 值来设置是否开启 realtime backfill 特