What do you specifically want to do? For example, is this App helpful? It can be used if the log supports the data model. https://splunkbase.splunk.com/app/2699/ ... View more

Populating the summary index with data is easy. (your search)| collect index=your_summary_index However, it does not mean faster with data.It is only faster because the search is performed periodically and the results are created in advance. There are disadvantages such as the need to recover manually if the regular execution fails. It's a good idea to compare the pros and cons with "Accelerate reports". I think it's better to "Accelerate reports" that can automatically recover from missing teeth. https://docs.splunk.com/Documentation/Splunk/8.0.2/Report/Acceleratereports ... View more

I think it's not about file size, it's about file specifications. Can you upload a sample file? Do you know the specifications of the update? ... View more

Try this! index=ABC | stats count AS usercount by L | rename L as user ... View more

Because there is no _time. index=opennms nodelabel="GQML2-WANRTC001" "uei.opennms.org/nodes/nodeUp" OR "uei.opennms.org/nodes/nodeDown" | rex field=eventuei "uei.opennms.org/nodes/node(?<State>.+)" | transaction nodelabel startswith=eval(State="Down") endswith=eval(State="Up") keepevicted=true | eval downtime=if(closed_txn=1,duration,null) | eval downtime=tostring(downtime, "duration") | fillnull value="" downtime | eval Status=if(closed_txn=1,"Up","Down") | table nodelabel,Status,downtime ... View more

Try this! (your search) | transaction nodelabel startswith=eval(State="Down") endswith=eval(State="Up") keepevicted=true | eval downtime=if(closed_txn=1,duration,null) | eval downtime=tostring(downtime, "duration") | fillnull value="" downtime | eval Status=if(closed_txn=1,"Up","Down") | table nodelabel,Status,downtime ... View more

ログを取り込む場合にまず考慮するのはApp（Add-on）が使えるか否かです。Appが使える場合は自動的にソースタイプも決まります。使えるかどうかは試してみないとわからないことが多いです。バージョンの違いやログのカスタマイズ、転送方式の違い等様々な原因で使えない場合があります。 MS製品はUFをインストールできればキーバリュー型のデータで取り込める場合が多いです。フォーマットの仕様も公開されているので手動でフィールド定義するのも容易です。 gmailはそもそも何のログをどのような方式で取り込むかが問題です。 FW製品はAppも豊富でログのフォーマットも単純です。 checkpointやSonicWallであればAppがそのまま使える可能性が高いです。 IDS/IPS系はログのフォーマットや転送方式等いろいろ複雑です。Appが使えない場合がでもAppがあればAppを参考に設定します。 DBのログの場合は監査ログであればAppがあります。個別データであればAppはないのでCSVやTSV形式でデータを取り込むのが良いと思います。ソースタイプとは関係ないですが、DBの監査ログはケースによっては100万件を超えるファイルが作成されたりするのでログの現状をよく確認してから取り込まないと障害の原因になったりします。 すべてCSVにしてしまうとソースタイプで識別できなくなるので取り込み形式はCSVでソースタイプ名は機器やログの種類等で意味を持たせたほうが良いと思います。 ・IIS -> iis ・MS Exchange -> 独自 ・gmail -> 独自 ・Firewall-1 -> App ・SonicWall　-> App ・NetScreen/SSG -> App ・FortiGate -> App ・Proventia -> App ・Oracle　-> 独自 ・PostgreSQL　-> 独自 ・MySQL　-> 独自 ・DB2　-> 独自 ... View more

If sortby is not specified, the default display order of Splunk will be applied, so it will be _time. ... View more

仕様です。 system/local（存在しなければ追加）のlimits.conf のパラメータを調整してください。 [pdf] max_rows_per_table = 20000 max_mem_usage_mb = XXXX　※エラーになるようなら増やす render_endpoint_timeout = XXXX　※エラーになるようなら増やす ... View more

gcusello, thank you. What I want to do is a simple distributed search. I want to search the Splunk index used by ALLINONE from another Splunk. Port confirmed 8089. Index information is displayed on the SH side. ... View more

Distributed search Search NG:SH(v726)--->ALL-IN-ONE(733) Search OK:IDX(v726)<---ALL-IN-ONE(733) ... View more

マニュアルを読んでもらえば記述が見つかると思いますが、maxoutはappend等のコマンドはデフォルト値を別に持っているのでそちらが優先されます。なのでlimits.confを超えて出力されます。 https://docs.splunk.com/Documentation/Splunk/latest/Search/Aboutsubsearches ＜サブサーチでlimits.confの値を使う例＞※10000件でエラー index=* [| makeresults count=100000|table _time] ＜append のmaxoutの値が使われる例＞※50000件でエラー | makeresults |append [| makeresults count=100000] ... View more

Is the problem that the number of results is different? Did you check the displayed error? https://answers.splunk.com/answers/506621/unknown-error-for-peer-xxx-search-results-might-be.html How about the following search statement? | bin span=1m _time | stats count as "nombre de connexions" by user, _time, host, name ... View more

The search statement is correct. Please tell us specifically about the problem. ... View more

Can search statements be published? Also check if there is an error in "Search Job Inspector". ... View more

The processing capacity of the indexer is 300GB / Day. https://docs.splunk.com/Documentation/Splunk/8.0.0/Capacity/Summaryofperformancerecommendations Assuming that there is no problem with the performance of the hard disk, The cause of queue clogging may take a long time to process one index. server.conf parallelIngestionPipelines = 2 The workaround is to do multiple processes. However, PS is required for more than 3 multiplexes. https://docs.splunk.com/Documentation/Splunk/8.0.0/Indexer/Pipelinesets ※Run a health check to check for problems. ... View more