製品・サービス
製品
サービス
- 簡易セキュリティコンサルティング【コンサルティング】
- Splunk SOAR 自動化アセスメントサービス【コンサルティング】
- ダッシュボード/SPL作成パック【実装・構築支援】
- バージョンアップサービス【実装・構築支援】
- Splunk Premium Apps 構築サポートサービス【実装・構築支援】
- Splunkセキュリティログ分析スタートパッケージ【独自App/サービス】
- Splunk × CrowdStrike Falcon Insight, Macnica Original App【独自App/サービス】
- 政府統一基準対応App【独自App/サービス】
- Smart Security Monitoring App【独自App/サービス】
- Splunk × LANSCOPE Original App 【独自App/サービス】
- Security Monitoring App for Box【独自App/サービス】
- Cloud Security Monitoring App【独自App/サービス】
- SIEM運用監視サービス【独自App/サービス】
- サービス一覧
- Macnica Premium Support for Splunk(利活用支援、バージョンアップ見守り)
- Macnica Premium Support for Splunk スキルアップパッケージ
仕様・技術情報
仕様・技術情報
タイムスタンプを認識する順番
- 公開日
- 2018-06-18
- 最終更新日
- 2024-01-11
- バージョン
- Splunk Enterprise 9.0.0
- 概要
- タイムスタンプを認識する順番・仕様を説明しています。
- 参考情報
-
- https://docs.splunk.com/Documentation/Splunk/9.0.0/Data/HowSplunkextractstimestamps
- https://docs.splunk.com/Documentation/Splunk/9.0.0/Data/Configurepositionaltimestampextraction
- https://docs.splunk.com/Documentation/Splunk/9.0.0/Data/Configuretimestamprecognition
- https://docs.splunk.com/Documentation/Splunk/9.0.0/Data/Configuredatetimexml
- 内容
-
タイムスタンプを認識する順番・仕様
Splunkは以下の順番でタイムスタンプを認識しようとします。
- イベント内に日時情報がある場合
①props.confで「TIME_FORMAT」が指定されている場合明示された「TIME_FORMAT」を使ってイベント内のタイムスタンプを探そうとします。
②props.confで「TIME_FORMAT」が指定されていない場合イベント内からタイムスタンプを認識しようとします。
- イベント内に日時情報がない場合
同じソースから取り込んだ直近のタイムスタンプを認識しようとします。
- ソース内に日時情報がない場合
Splunkはソース名やファイル名からタイムスタンプを認識しようとします。
- ファイル名に日時情報がない場合
ファイルの最終更新日時をタイムスタンプとして認識しようとします。
- datetime.xmlを使用して、イベントからタイムスタンプを認識しようとします。
- 上記1-5でもタイムスタンプを認識できない場合
Splunkサーバーのシステム時刻をタイムスタンプとして認識します。
(取り込んだ時間=そのイベントのタイムスタンプ)以上
株式会社マクニカ Splunk 担当
- TEL:045-476-2010
- E-mail:splunk-sales@macnica.co.jp
月~金 8:45~17:30