Splunk Enterprise

Splunk Enterprise简介

Splunk Enterpse破解版提供数据分析功能，可以帮助用户分析各种来源的数据，将复杂的数据添加到软件中，转换成可视化的分析结果，方便用户根据分析结果判断各种数据异常或数据增长趋势，结合数据图表和可视化仪表盘，可以清晰浏览数据分析结果。这个软件有很多功能。可以通过软件快速搜索数据，创建数据分析过程满足一定条件时触发的告警，添加交互，管理权限和导出仪表盘，生成报表手册。还可以将搜索和透视表保存为报表，支持编辑报表计划和将报表打印为PDF，为用户提供更多的数据分析和输出方案！

Splunk Enterpse软件功能

一.索引编制

Splunk企业索引构成您的信息技术基础设施的数据。您可以从网站、应用程序、数据库、操作系统等获取数据。Splunk实例的最大索引取决于Splunk企业许可证。

第二，搜索

搜索是用户在Splunk企业中导航数据的主要方式。您可以将搜索保存为报告，并使用它来增强仪表板面板的功能。搜索可以从您的数据中获得洞察力，例如:

从索引中检索事件。

计算指数

在动态时间窗口中搜索特定条件

识别数据中的模式

未来趋势

三.时事通讯

当历史搜索和实时搜索的搜索结果符合配置条件时，报警会提醒您。您可以配置警报来触发操作，例如向指定的电子邮件地址发送警报、向RSS源发布警报以及运行自定义脚本，例如向系统日志发布警报事件的脚本。

四.仪表盘

仪表板包含模块面板，如搜索框、字段、图表等。仪表板通常连接到已保存的搜索或数据透视表。它们显示已完成搜索的结果和后台运行的实时搜索的数据。

动词 （verb的缩写）在枢轴上转动

数据透视表是指使用透视编辑器创建的表、图表或数据可视化。使用透视编辑器，用户可以将数据模型对象定义的属性映射到表、图表或数据可视化，而无需用搜索处理语言(SPL)编写搜索来生成它们。数据透视图可以保存为报告并添加到仪表板中。

不及物动词报告

Splunk Enterpse允许您将搜索和透视保存为报告，并将报告作为仪表板面板添加到仪表板中。暂时运行报告，计划定期运行报告，或设置计划报告在结果满足特定条件时生成警报。

七.数据模型

该模型对关于一组或多组索引数据的专业领域知识进行编码。它们使透视编辑器用户能够创建报告和仪表板，而不必设计搜索来生成报告和仪表板。

Splunk Enterpse软件特色

Splunk提供应用程序和附加组件，具有针对特定于Windows或Linux的数据源、思科安全数据、赛门铁克Blue Coat数据等的预配置输入。在Splunkbase上寻找适合您需求的应用程序或加载项。Splunk企业版还自带很多数据源公式，比如Web博客、Java 2平台、企业版(J2EE)博客或者Windows性能指标。您可以在Splunk Web的“添加数据”页面找到这些内容。如果公式和应用程序不能满足您的需求，您可以使用通用输入配置功能来指定您的特定数据源。

数据源类型

Splunk提供了用于配置各种数据输入的工具，包括那些针对特定应用需求的工具。Splunk还提供了配置任意数据输入类型的工具。通常，您可以通过以下方式对Splunk输入进行分类:

1.文件和目录

2.网络事件

3.Windows资源

4.其他来源

Splunk Enterpse安装方法

1.下载大量的zip文件，选择所有的zip文件，点击解压。

2.然后打开splunk-6 . 4 . 3-b 03109 C2 bad 4-x-release . MSI开始安装，接受协议并单击install。

3.提示安装过程，等待安装主程序。

4.提示软件安装结束，不要启动软件。

Splunk Enterpse破解方法

1.关闭任务管理器中splunkd的服务内容，暂时结束服务。

2.打开crack，将补丁splunkd.exe复制到安装地址进行替换。

3.启动splunkd服务，打开主程序使用。

4.打开主程序，登录并加载附加的splunk-enterprise . lic以完成激活。

Splunk Enterpse教程

索引、索引器和索引器集群

本手册讨论了Splunk企业数据存储库以及创建和管理它们的Splunk企业组件。

索引是Splunk的企业数据存储库。Splunk Enterpse将传入的数据转换为事件，并将它们存储在索引中。

索引器是Splunk Enterpse的一个实例，用于索引数据。对于小型部署，单个实例还可以执行其他Splunk企业功能，例如数据输入和搜索管理。但是，在更大的分布式部署中，数据输入和搜索管理的功能将被分配给其他Splunk Enterpse组件。在单实例或分布式部署的情况下，本手册只关注索引功能。

索引器集群是所有数据的多个副本的集合，这些副本被配置为复制彼此的数据索引，以便系统可以保留它们。这个过程称为索引复制或索引器群集。使用同一数据的多个副本，群集可以提高搜索数据的可用性，同时防止数据丢失。

1.指示器

当Splunk Enterpse处理传入数据时，它会将数据添加到索引中。Splunk Enterpse自带多个索引，您可以根据需要创建其他索引。

Splunk企业索引包含各种文件。这些文件分为两大类:

压缩原始数据(原始数据)

原始数据(索引文件，也称为tsidx文件)和一些元数据文件的索引。

Splunk Enterpse管理索引以促进灵活的搜索和快速的数据检索，最后根据用户可配置的时间表将其归档。Splunk Enterpse使用平面文件处理所有事务；它不需要在后台运行任何第三方数据库软件。

要开始索引，您只需要指定要由Splunk Enterpse索引的数据输入。您可以随时添加更多输入，Splunk Enterpse将开始为它们编制索引。

默认情况下，Splunk企业版将所有用户数据放入一个预配置的索引中。它还将其他几个索引用于内部目的。您可以添加新索引并管理现有索引以满足数据需求。

2.事件处理

在索引期间，Splunk Enterpse执行事件处理。它处理传入的数据以进行快速搜索和分析，并将结果作为事件存储在索引中。Splunk企业版可以在索引时以多种方式增强数据，包括:

将数据流划分为一个可搜索的事件。

或者确定创建时间。

提取主机、源和源类型等字段。

对传入数据执行用户定义的操作，例如标识自定义字段、屏蔽敏感数据、写入新的或修改的键、将中断规则应用于多行事件、过滤不需要的事件并将事件路由到指定的索引或。

3.变址类型

Splunk企业版支持两种类型的索引:

事件索引。事件索引具有最小的结构，可以容纳任何类型的数据，包括索引数据。事件索引是默认的索引类型。

指标索引。索引使用高度结构化的格式来处理与索引数据相关的更高容量和更低延迟要求。与将相同的数据放入事件索引相比，将测量数据放入测量索引可以提高性能并减少索引存储的使用。

索引器在处理和管理这两种索引类型方面几乎没有区别。不管它的名字是什么，事件处理的顺序和索引是一样的。指标数据实际上只是一个高度结构化的事件数据。

4.分度器

索引器是Splunk企业组件，用于创建和管理索引。索引器的主要功能是:

索引传入的数据。

搜索索引数据。

在只有一个Splunk Enterpse实例的单机部署中，索引器还处理数据输入和搜索管理功能。这种小规模部署可能满足组织中单个部门的需求。

对于较大规模的需求，索引与数据输入功能分离，有时与搜索管理功能分离。在这些大型分布式部署中，Splunk Enterpse indexer可能驻留在自己的计算机上，并且只能处理索引和搜索其索引数据。在这些情况下，其他Splunk企业组件将接管非索引角色。利用转发器数据，索引器索引和搜索数据，搜索头协调整个索引器中的搜索。这是一个扩展部署的示例:

Splunk索引器只是Splunk企业的一个实例。

5.索引器集群

索引器集群是一组Splunk企业节点，它们共同提供冗余的索引和搜索功能。集群中有三种类型的节点:

管理集群的单个主节点。主节点是一种特殊类型的索引器。

几个对等节点处理集群的索引功能，索引数据并制作其多个副本，并在整个数据中运行搜索。

一个或多个搜索头可以协调所有对等节点之间的搜索。

索引器集群具有从一个对等节点到下一个对等节点的自动故障转移功能。这意味着，如果一个或多个对等节点出现故障，传入的数据将继续被索引，并且被索引的数据将继续可搜索。

关于转发和接收

您可以将数据从一个Splunk企业实例转发到另一个Splunk企业实例，甚至转发到非Splunk系统。执行转发的Splunk实例称为转发器。

Splunk从一个或多个转发器接收数据的实例称为接收器。接收器通常是Splunk索引器，但也可以是另一个中继器。

1.样本转发布局

此图显示了三个中继器，它们向单个接收器(索引器)发送数据，该接收器对数据进行索引并使其可用于搜索:

与最初的web feed相比，转发器代表了更强大的数据转发解决方案，它们具有以下功能:

元数据(源、源类型和主机)

可配置缓冲区

数据压缩

SSL安全性

使用任何可用的网络端口。

转发和接收功能使各种有趣的拓扑成为可能。您可以构建一个环境来处理数据整合、负载平衡和数据路由等功能。

向集群添加对等方

您可以随时向索引器集群添加对等节点。为此，只需将Splunk企业实例作为对等节点启用。

启用对等节点前，请熟悉相关系统要求。确保Splunk企业实例满足版本兼容性和所有其他记录的要求。

当对等体启动时，主节点向对等体分发最新的配置分发包。

启用对等节点后，您可能需要采取措施确保对等节点正在从转发器接收数据。有许多方法可以配置转发器和对等节点之间的关系。根据群集与转发器的连接方式，您可能需要配置新的对等节点或转发器，或者两者都配置。

最后，考虑重新平衡集群的数据，将现有数据移动到新的对等节点。这允许新的对等体分担搜索负担。