Advanced Searching and Reporting

コースの目的

モジュール1 – 効率的なサーチの使用

• サーチアーキテクチャの確認
  
• バケツのコンポーネント(.tsidxおよびjournal.gzファイル)がどのように使用されるかを理解する
• ブルームフィルターを使用してサーチを高速化する方法
  
• サーチ文字列の各部の説明
  
• 中央コマンドと分散コマンドの使用の相違点について理解する
  
• より効果的なサーチの作成

モジュール2 – サーチの細かい調整

• Splunkでsegmentersがどのように使用されるかについて理解する
  
• lispyを使用してディスクから読み取るイベントの数を減らす

モジュール3 – データの操作とフィルタリング

• binコマンドを使用して、指定のフィールド内の値に基づいてサーチ結果をグループ分けする
• untableとxyseriesを使用して、サーチ結果のフィールドを再グループ化する
  
• foreachを使用して、一連の関連フィールドに対して追加処理を行うテンプレートを作成する

モジュール4 – 複数値フィールドの操作

• 複数値eval関数を使用したデータの分析と整形
  
• makemvコマンドを使用して、単一値を複数値フィールドに変換する
  
• mvexpandコマンドを使用して、複数値フィールド内の各値に対して別々のイベントを作成する

モジュール5 – 高度なトランザクションの使用

• 特定のイベントの発生前後に記録されたイベントを検索する
  
• 完全または不完全なトランザクションの比較
  
• トランザクションの分析

モジュール6 – 時間の操作

• 時間修飾子の使用
  
• カスタムの時間範囲および時間枠を使用したイベントのサーチ
  
• 相対的な日付の活用と表示
  
• 複数のサブサーチ内でのカスタムの時間範囲の使用

モジュール7 – サーチの結合

• appendおよびappendcolsコマンドの使用と相違点
  
• joinおよびunionの使用(および使用しないとき)

モジュール8 – サブサーチの使用

• サブサーチを使用してメインのサーチにフィルタリングやその他の情報を提供する
  
• サブサーチを使用すべきでないケース
  
• サブサーチのトラブルシューティング

モジュール9 – その他のヒント

• 正規表現の使用について
  
• ルックアップの使用に関するガイダンス
  
• その他の最適化のヒント