Splunk Search

インデックスの設定について

satoshitonoike
Engager

現行、勤怠管理をしているDBから排出されるデータを受信し、分析する用途で本ツールを使用したいと考えています。
この受信するデータは、月初から現在までの累積データが毎日作成・修正が行われます。
そのため、昨日以前のデータを破棄または検索不化にし、常に新しいデータのみを表示させたいのです。

そこで、frozenTimePeriodInSecsを設定し、1日毎にindex内のデータをフローズン化させることで、検索にかからないようにするのが良いのではないだろうかと思って、検証していますが、一向にうまくいきません。
状況としては、徐々にデータが消えていき、設定した時間をオーバーして全件フローズン化されるといった状況です。

解決したい事項としましては、フローズン化されるまで受信したデータを表示し続けること、frozenTimePeriodInSecsの設定時間通りにフローズン化されることです。
もしくは、違う方法ので上記の課題解決ができるなど、ありましたら、ご回答願いたいです。
よろしくお願いします。

0 Karma

Hajime
Path Finder

違う方法としましては、検索対象の時間範囲を当日のみにすればよいと思いますが、いかがでしょうか。
※前提条件としては、イベントのタイムスタンプがデータの作成・修正時刻となっていることです。
なお、frozenTimePeriodInSecsの設定値については、イベントのタイムスタンプをベースとし、設定値に達したものからフローズンの状態に遷移します(既定ではデータが削除されます)ので、タイムスタンプが正しく設定されていないと期待する動作にはなりません。

0 Karma

satoshitonoike
Engager

ご回答いただき、ありがとうございます。
できればデータの削除も含めた形で自動分析させたいと思っているので、できればフローズン化をできるのが一番良いと思ってますが、難しそうならご回答のような方法を使いたいと思います。

0 Karma
Get Updates on the Splunk Community!

Enterprise Security Content Update (ESCU) | New Releases

In December, the Splunk Threat Research Team had 1 release of new security content via the Enterprise Security ...

Why am I not seeing the finding in Splunk Enterprise Security Analyst Queue?

(This is the first of a series of 2 blogs). Splunk Enterprise Security is a fantastic tool that offers robust ...

Index This | What are the 12 Days of Splunk-mas?

December 2024 Edition Hayyy Splunk Education Enthusiasts and the Eternally Curious!  We’re back with another ...