セキュリティ事業メニュー
セキュリティ事業
HOME
選ばれる
理由
サービス
取扱メーカー
事例・レポート・
ブログ・用語集
セミナー・
オンデマンド動画
TOP
製品・サービス
仕様・技術情報
ソリューション
ユーザー事例
サポート
セミナー・コンテンツ
評価機申込・FAQ
資料請求
お問い合わせ
イベント・セミナー
オンデマンド動画

アラートやレポートによるルックアップテーブルの参照タイミング

公開日
2016-05-27
最終更新日
2016-05-02
バージョン
Splunk Enterprise 6.2.3
概要
ルックアップテーブルの更新をリアルタイムサーチに反映させる方法
参考情報
内容

リアルタイムサーチのルックアップテーブル参照タイミング

アラートやレポートにより定期的にサーチが実行され、ルックアップテーブルが参照される場合は、サーチが実行された時点で最新のルックアップテーブルが使用されます。

そのためリアルタイムサーチをアラート／レポートとして利用している場合、参照するルックアップテーブルは最初にリアルタイムサーチを実行した時点のものが参照され続けます。

常に最新のルックアップテーブルをリアルタイムサーチに反映させるためにはupdate=trueオプションが必要になります。

  • update=trueオプションがない場合

リアルタイムサーチは初めに参照したルックアップテーブルのみを参照し、それ以後、ルックアップテーブルが更新されてもリアルタイムサーチには反映されません。

サーチ実行例） sourcetype=cc | lookup testlookup zz OUTPUT xx yy

  • update=trueオプションがある場合

リアルタイムサーチは常に最新のルックアップテーブルを参照します。

サーチ実行例） sourcetype=cc | lookup update=true testlookup zz OUTPUT xx yy

以上

前のページへ