splunk - Splunk - 指定向下钻取搜索

Question

我对 Splunk 比较陌生，正在创建一个新视图来显示过去 5 分钟内某些事件的平均时间。我创建了一个宏搜索来执行搜索，该搜索需要两个参数（交易名称和搜索持续时间），所以在我的第一个面板中，这是 EVENT_*_LOGIN 和 -5m。该视图当前显示每个不同事件名称的简单结果表。

我想做的是，当用户单击特定行时，它将向下钻取到过去 4 小时内该事务的所有事件的时间线视图。有没有办法指定单击或向下钻取显示的信息？

抱歉，如果这含糊不清，如果有更多信息，请给我发消息。需要。

提前致谢

Answer 1

最简单的方法是使用SideView Utils并利用它们的RedirectororSearch模块根据用户点击的内容自定义填充搜索查询。

根据单击的图表在弹出窗口中打开自定义搜索

<module name="FlashChart">
    <param name="width">100%</param>
    <module name="Redirector">
        <param name="popup">True</param>
        <param name="url">flashtimeline</param>
        <param name="arg.q">search MyField="$click.value$" eventtype="#$click.name2$" hoursago=4</param>
    </module>
</module>

根据单击的表格元素在弹出窗口中打开自定义搜索

<module name="SimpleResultsTable">
    <param name="drilldown">all</param> 
    <module name="Redirector">
        <param name="popup">True</param>
        <param name="url">flashtimeline</param>
        <param name="arg.q">search MyField="$click.value$" eventtype="#$click.name2$" hoursago=4</param>
    </module>
</module>

您可以访问Search/Redirector使用 Splunk Web 安装的文档：

    http://[splunk_web]/en-US/modules#Splunk.Module.Redirector
    http://[splunk_web]/en-US/modules#Splunk.Module.Search

Answer 2

从 Splunk 版本 5 开始，它们现在支持动态向下钻取。检查此处的文档以查看是否满足您的需要。