Splunk 검색 - 기본 검색 기능 이용하기

1. 검색 기능 개념

Splunk에 많은 로그를 수집하는 이유는 향후에 저장 로그를 검색해서 원하는 결과를 얻기 위함이다.

자신이 원하는 데이터를 얻기 위해서는 요구하는 내용을 구체적이고 명확하게 작성해야한다.

보통 Splunk에서 검색을 수행할 때 Search&Report앱을 많이 사용한다.

해당 페이지에서 검색어 입력 및 다향한 조건을 이용하여 시간대별로 해당 로그를 확인할 수 있다.

 

 

아래 검색 내역에서 이전에 사용자가 검색한 내용들을 확인할 수 있다.

 

2. 기본 검색 방법

1) 검색 방법

error 라는 문구를 입력 후 검색하면 로그 중 error 문자가 포함된 로그를 출력한다.

사용자가 입력한 항목은 대소문자 구분자를 구분하지 않는다.

 

error

 

검색할 단어가 여러개일 경우 띄어쓰기로 구분하고 여러개의 단어가 모두 포함된 로그를 출력한다.

cart success

 

 

띄어쓰기를 포함한 문자를 검색하고 싶을 땐 ""(큰 따옴표)로 해당 문자를 묶어주면 된다.

"Mac OS"

 

2) 와일드 카드 사용

error* 문구를 입력 후 검색하면 errorpage, error_id 등 error로 시작하는 문자열이 포함된 로그가 출력된다.

error*

 

3) Boolean 연산자 사용

AND, OR, NOT의 Boolean 연산자를 사용할 수 있다.

Boolean 연산자는 반드시 대문자로 작성해야한다.