Splunkのトレーニング + 認定

Advanced Searching and Reporting

Splunkのトレーニング + 認定に関する最新の資料(英語)はこちら

コースの説明

この3日間のバーチャルコースでは主に、より高度なサーチおよびレポーティングコマンドについてご説明します。シナリオベースの例や実践的な課題を使用して、強力なサーチ、レポート作成、チャート作成の方法を学べます。また、複雑なサーチで最終的な結果を生成する方法を手順を追ってご説明します。主なトピックとして、サーチの最適化、その他のチャート作成用コマンドおよび関数、結果の整形と計算、イベントの相関付け、サーチおよびサブサーチの組み合わせの使用といった内容を取り上げます。 

インストラクター主導のトレーニングスケジュール

コースの前提条件

  • Splunk Fundamentals 1
  • Splunk Fundamentals 2
  • Splunk Fundamentals 3
  • 強く推奨:少なくとも6カ月のSplunkサーチ言語の使用経験

コーストピック

  • 効率的なサーチの使用
  • サーチの細かい調整
  • データの操作とフィルタリング
  • 複数値フィールドの操作
  • 高度なトランザクションの使用
  • 時間の操作
  • サーチの結合
  • サブサーチの使用

コースの目的
 

モジュール1 – 効率的なサーチの使用
  • サーチアーキテクチャの確認
  • バケツのコンポーネント(.tsidxおよびdjournal.gzファイル)がどのように使用されるかを理解する
  • ブルームフィルターを使用してサーチを高速化する方法
  • サーチ文字列の各部の説明
  • 中央コマンドと分散コマンドの使用の相違点について理解する
  • より効果的なサーチの作成
モジュール2 – サーチの細かい調整
  • Splunkでsegmentersがどのように使用されるかについて理解する
  • lispyを使用してディスクから読み取るイベントの数を減らす
モジュール3 – データの操作とフィルタリング
  • binコマンドを使用して、指定のフィールド内の値に基づいてサーチ結果をグループ分けする
  • untableとxyseriesを使用して、サーチ結果のフィールドを再グループ化する
  • foreachを使用して、一連の関連フィールドに対して追加処理を行うテンプレートを作成する
モジュール4 – 複数値フィールドの操作
  • 複数値eval関数を使用したデータの分析と整形
  • makemvコマンドを使用して、単一値を複数値フィールドに変換する
  • mvexpandコマンドを使用して、複数値フィールド内の各値に対して別々のイベントを作成する
モジュール5 – 高度なトランザクションの使用
  • 特定のイベントの発生前後に記録されたイベントを検索する
  • 完全または不完全なトランザクションの比較
  • トランザクションの分析
モジュール6 – 時間の操作
  • 時間修飾子の使用
  • カスタムの時間範囲および時間枠を使用したイベントのサーチ
  • 相対的な日付の活用と表示
  • 複数のサブサーチ内でのカスタムの時間範囲の使用
モジュール7 – サーチの結合
  • appendおよびappendcolsコマンドの使用と相違点
  • joinおよびunionの使用(および使用しないとき)
モジュール8 – サブサーチの使用
  • サブサーチを使用してメインのサーチにフィルタリングやその他の情報を提供する
  • サブサーチを使用すべきでないケース
  • サブサーチのトラブルシューティング
モジュール9 – その他のヒント
  • 正規表現の使用について
  • ルックアップの使用に関するガイダンス
  • その他の最適化のヒント