如何在Splunk中向事件添加自定义字段？

Question

我想将自定义字段添加到特定索引，并让它们相应地记录日志。

当前只有一些默认字段，例如“主机”，“索引”，“源类型”等...

不确定是否是添加其他数据的最佳位置。

如何添加更多字段？

我目前正在使用Splunk SDK提交事件。

Answer 1

通过使用此类最小事件测试Splunk，您正在对自己造成伤害。他们没有让您看到Splunk可以做什么的能力。您仅获得默认字段，因为Splunk不知道用一个单词做什么。如果您有类似“ foo = bar”的名称，那么您会看到Splunk创建了“ foo”字段。

每台计算机都有至少一个可用于测试Splunk的日志文件。

可以使用转换将字段添加到事件。这样做是一个高级主题，无法使用GUI来完成。我建议您在尝试跑步之前先学习使用更好的示例数据。

Answer 2

我还要提到我是通过Splunk SDK提交事件的。

为了获得我想在活动中显示的字段，我必须提交活动数据作为活动名称。

    var myindexes = service.indexes();
    // Submit an event to the index
    myindexes.fetch(function (err, myindexes) {
    let myindex = myindexes.item("audits-client");


    let evtData = {
        timestamp: Date.now(),
        userAgent: headers['user-agent'],
        protocol: "http",
        file: "null"
    }

    myindex.submitEvent(evtData, {

        sourcetype: "web"

    }, function (err, result, myindex) {
        console.log("Submitted event: ", result);
        return result
    });
});