Splunk - Gestión del conocimiento
La gestión del conocimiento de Splunk se trata del mantenimiento de los objetos de conocimiento para una implementación de Splunk Enterprise.
Abajo están los main features of knowledge management -
Asegúrese de que los objetos de conocimiento sean compartidos y utilizados por los grupos correctos de personas de la organización.
Normalice los datos de eventos mediante la implementación de convenciones de nomenclatura de objetos de conocimiento y la eliminación de objetos duplicados u obsoletos.
Supervise estrategias para mejorar la búsqueda y el rendimiento dinámico (aceleración de informes, aceleración de modelos de datos, indexación resumida, búsqueda en modo por lotes).
Cree modelos de datos para usuarios de Pivot.
Objeto de conocimiento
Es un objeto de Splunk para obtener información específica sobre sus datos. Cuando crea un objeto de conocimiento, puede mantenerlo en privado o puede compartirlo con otros usuarios. Los ejemplos de objeto de conocimiento son: búsquedas guardadas, etiquetas, extracciones de campo, búsquedas, etc.
Usos de los objetos de conocimiento
Al utilizar el software Splunk, los objetos de conocimiento se crean y guardan. Pero pueden contener información duplicada o es posible que no todos los destinatarios los utilicen de manera eficaz. Para abordar estos problemas, necesitamos administrar estos objetos. Esto se hace clasificándolos correctamente y luego usando la administración de permisos adecuada para manejarlos. A continuación se muestran los usos y la clasificación de varios objetos de conocimiento:
Campos y extracciones de campo
Campos y extracciones de campo es la primera capa del conocimiento del software Splunk. Los campos extraídos automáticamente del software Splunk de los datos de TI ayudan a dar significado a los datos sin procesar. Los campos extraídos manualmente amplían y mejoran esta capa de significado.
Tipos de eventos y transacciones
Utilice tipos de eventos y transacciones para agrupar conjuntos interesantes de eventos similares. Los tipos de eventos agrupan conjuntos de eventos descubiertos mediante búsquedas. Las transacciones son colecciones de eventos relacionados conceptualmente que abarcan el tiempo.
Búsquedas y acciones de flujo de trabajo
Las búsquedas y las acciones de flujo de trabajo son categorías de objetos de conocimiento que amplían la utilidad de sus datos de varias formas. Las búsquedas de campo le permiten agregar campos a sus datos desde fuentes de datos externas, como tablas estáticas (archivos CSV) o comandos basados en Python. Las acciones del flujo de trabajo permiten interacciones entre campos de sus datos y otras aplicaciones o recursos web, como una búsqueda de WHOIS en un campo que contiene una dirección IP.
Etiquetas y alias
Las etiquetas y los alias se utilizan para gestionar y normalizar conjuntos de información de campo. Puede utilizar etiquetas y alias para agrupar conjuntos de valores de campo relacionados y proporcionar etiquetas de campo extraídas que reflejen diferentes aspectos de su identidad. Por ejemplo, puede agrupar eventos de un conjunto de anfitriones en una ubicación particular (como un edificio o una ciudad) dando la misma etiqueta a cada anfitrión.
Si tiene dos fuentes diferentes que usan diferentes nombres de campo para referirse a los mismos datos, entonces puede normalizar sus datos usando alias (por ejemplo, asignando un alias clientip a ipaddress).
Modelos de datos
Los modelos de datos son representaciones de uno o más conjuntos de datos e impulsan la herramienta Pivot, lo que permite a los usuarios de Pivot generar rápidamente tablas útiles, visualizaciones complejas e informes sólidos sin necesidad de interactuar con el lenguaje de búsqueda del software Splunk. Los modelos de datos están diseñados por administradores del conocimiento que comprenden completamente el formato y la semántica de sus datos indexados. Un modelo de datos típico hace uso de otros tipos de objetos de conocimiento.
Discutiremos algunos de los ejemplos de estos objetos de conocimiento en los capítulos siguientes.