Splunk 警报创建

Question

我是 Splunk 的新手，需要有关在 Splunk 中创建以下警报的建议。

我需要创建一个警报来检查日志文件上次更新的时间戳，如果它在过去十分钟内没有更新，则应该触发警报。

提前致谢。希望这将是我学习 Splunk 部分的开始。

Answer 1

学习 Splunk 的良好开端是 splunk.com 上的免费 Splunk 基础知识 1 课程。

Splunk 不会定期索引文件更新时间戳。它将为从源中读取的每条记录提供时间戳，但不包括文件修改时间。但是，它可能仍然有效。试试这个简单的搜索

index=foo source=bar earliest=-10m

当结果数为零时触发警报。