サイト内検索
セキュリティ事業メニュー
セキュリティ事業
HOME
選ばれる
理由
サービス
取扱メーカー
事例・レポート・
ブログ・用語集
セミナー・
オンデマンド動画
TOP
製品・サービス
仕様・技術情報
ソリューション
ユーザー事例
サポート
セミナー・コンテンツ
評価機申込・FAQ
資料請求
お問い合わせ
イベント・セミナー
オンデマンド動画

アラートやレポートによるルックアップテーブルの参照タイミング

公開日
2016-05-27
最終更新日
2024-07-01
バージョン
Splunk Enterprise 9.0.4
概要
ルックアップテーブルの更新をリアルタイムサーチに反映させる方法を記載します。
参考情報
内容

リアルタイムサーチのルックアップテーブル参照タイミング

リアルタイムサーチをアラート／レポートとして利用している場合、参照するルックアップテーブルは最初にリアルタイムサーチを実行した時点のものが参照され続けます。

常に最新のルックアップテーブルをリアルタイムサーチに反映させるためにはupdate=trueオプションが必要になります。

  • update=trueオプションがない場合

リアルタイムサーチは初めに参照したルックアップテーブルのみを参照し、それ以後、ルックアップテーブルが更新されてもリアルタイムサーチには反映されません。

サーチ実行例） sourcetype=cc | lookup testlookup zz OUTPUT xx yy

  • update=trueオプションがある場合

リアルタイムサーチは常に最新のルックアップテーブルを参照します。

サーチ実行例） sourcetype=cc | lookup update=true testlookup zz OUTPUT xx yy

以上

前のページへ