/opt/splunk/etc/system/local/transforms.conf　が存在しない場合は新規作成します。

				[null1]※
				REGEX = <正規表現A>※
				DEST_KEY = queue
				FORMAT = nullQueue
				[null2]※
				REGEX = <正規表現B>※
				DEST_KEY = queue
				FORMAT = nullQueue

設定例：msg=aaa、もしくはmsg=bbbという文字列が含まれるイベントを除外して取り込む場合

				[null1]
				REGEX =msg\=aaa
				DEST_KEY = queue
				FORMAT = nullQueue
				[null2]
				REGEX =msg\=bbb
				DEST_KEY = queue
				FORMAT = nullQueue;

補足

• 必ずUTF-8で保存してください。
• transforms.confにおいて、「DEST_KEY」,「FORMAT」の部分は変更不要です。
• 正規表現A、及び正規表現Bには除外したい文字列にマッチするような正規表現を記載する必要がございます。

※印の部分（スタンザ名、正規表現）は御社環境に合わせた設定をお願い致します。

[<ソースタイプ名>]TRANSFORMS-null=null1,null2

設定例：ソースタイプtestに対する設定

				[test]
				TRANSFORMS-null=null1,null2

補足

• 上記はソースタイプに対する設定となりますがソースタイプの他に、ホスト、ソースに対して適用することも可能です。
• 設定値の記載方法TRANSFORMS-＜一意のクラス名＞=＜transforms.confにおいて使用したスタンザ名＞
• ここではクラス名をnullとし、transforms.confの設定にてnull1, null2を使用しているためイコールの右側にカンマで区切って設定しています

【注意事項】

• 設定はインデックスサーバー（もしくはヘビーフォワーダー）上で行います。（ユニバーサルフォワーダー上では設定できません）
• 設定を行った後に取り込まれるイベントのみが対象となります。すでに取り込まれたイベントは削除されません。