Splunk - 15 분마다 검색을 예약하는 방법?

Question

나의 현재 구성이 내가 이메일을 보내 매 15 분마다 검색 실행하고 경고를 트리거하기 위해 필요한이

처럼, 문제는 심지어 내가 누군가가 도움을 줄 수, 트리거되지 않습니다 때때로 경고 로그에서 볼 수 있다는 것입니다 이 문제?

Answer 1

두 가지 가능성이 나는

P1, 클라이언트가 부딪히는 유지하는 여기에서 생각하고있다 : 당신은 그들 중 너무 많은 병렬 수정에서 실행되기 때문에 예약 된 검색이 실행을 건너 뛸 수있는 동시 검색 과부하로 고통하고 있습니다 :

4-59/15 * * * * 
8-59/15 * * * * 

P2를, 당신의 검색 최적화되어 있는지 확인 분 0에서 그들을 멀리 이동하고 예를 들어, 시간에 걸쳐 무작위로 확산 : 당신이 경고를 부르는, 정말 경고하지 않고 오히려 키워드와 검색보다 출력을 집계 된 메트릭으로 처리하여 전체 ou를 전달합니다. tput, 때때로 15MB 이상 Exchange 서버 막힘 수정 : 경고는 Eval 문과 결합하여 임계 값을 설정하고 이후의 조건이 충족 될 때 경고를 발생시키는보고 명령 (통계, 차트)을 사용해야합니다. 관심있는 팀이 Splunk에 로그인하여 기본 이벤트를 확인할 수 있도록 이메일에 URL을 생성합니다.