splunk에서 개인을위한 개인 룩업 테이블을 만드는 방법은 무엇입니까?

Question

저는 네트워크 보안 프로젝트를 진행하고 있습니다. 다른 사용자가 다른 사용자의 내용을 보지 못하도록 개인 사용자를위한 개인 조회 테이블을 만들어야합니다. 조회 테이블. 이 .../my_app/lookup/ folder 내부 12_april_lookup.csv 파일을 만든

curl -k -u username:pwd https://localhost:8089/servicesNS/nobody/*appname*/data/lookup-table-files -d 'eai:data=/opt/splunk/var/run/splunk/lookup_tmp/april.csv' -d 'name=12_april_lookup.csv' 

: 나는에 의해 조회 테이블을 만들었습니다. 이 조회 테이블 권한은이 시점에서 비공개입니다.

하지만, 내가 검색 명령 아래의 표를 조회하기 위해 일부 데이터를 추가 할 때 :

| makeresults | eval name="xyz" | eval token="12345"| outputlookup 12_april_lookup.csv append=True createinapp=True 

다음 파일

이 될 전역 권한을 가진 다른 응용 프로그램 폴더에 생성 얻을 것이다. 파일이 글로벌 권한 글로벌 수준에서 만들어 그래서,이 명령은 글로벌 응용 프로그램 수준에서 실행되면서 : 이제 모든 사용자가 같은 응용 프로그램의 검색 섹션 명령 아래 실행

|inputlookup 12_april_lookup.csv 

Answer 1

필요에 의해 파일 내용을 볼 수 있습니다. splunk에는 모든 앱에 검색 섹션이 있습니다. 해당 앱 조회 폴더에 생성 된 앱 검색 섹션 파일을 기반으로합니다. Google에서 검색 할 때마다 올바른 앱 섹션에 있는지 확인하십시오. | makeresults | eval name="xyz" | eval token="12345"| outputlookup 12_april_lookup.csv append=True createinapp=True