セキュリティ事業メニュー
セキュリティ事業
HOME
選ばれる
理由
サービス
取扱メーカー
事例・レポート・
ブログ・用語集
セミナー・
オンデマンド動画
TOP
製品・サービス
仕様・技術情報
ソリューション
ユーザー事例
サポート
セミナー・コンテンツ
評価機申込・FAQ
資料請求
お問い合わせ
イベント・セミナー
オンデマンド動画

マクロ機能を利用して、検索文を簡略化して表示する方法

公開日
2015-05-07
最終更新日
2024-01-11
バージョン
Splunk Enterprise 9.0.3
概要
マクロを利用して、よく利用する検索文を簡略化します。
参考情報
内容

マクロとは、コマンドも含めた検索文字列をまとめて保存することができる機能です。検索文に　`マクロ名`　を加えることで、設定した検索文字列が検索条件に追加されます。

よく使う検索条件が長い場合、マクロを利用することで検索条件を記述する手間を省くことが可能です。

マクロ利用例および設定例

利用例: 2023/4/1 00:00:00 から 2023/4/2 01:00:00 および 2023/4/2 08:55:00 から 2023/4/2 09:00:00 の範囲の全てのイベントを検索対象から除外します。

設定手順

Splunk Webにて設定を行います。

  • 画面右上の設定＞ナレッジ 詳細サーチ＞サーチマクロにて、新規作成をクリックします。
  • 任意の宛先Appを選択します。
  • 名前欄にマクロ名を記入します。ここで設定した名前を検索時に使用します。
    ※使用できる文字は英数字、アンダースコア(_)、ダッシュ(-)です。
  • 定義欄に以下を記入します。
    NOT ((_time > 1427814000 _time < 1427817600) OR (_time > 1427932500 _time < 1427932800))
  • 設定を保存します。任意でサーチマクロの画面にて、共有中の権限をクリックし、作成したマクロの権限を追加します。
  • 検索文に`<マクロ名>`を追加し、検索を実行します。
    検索例: index=test ERROR `macro`

以上

前のページへ