如何在 Splunk 中排除某些事件不被索引？

How do I exclude some events from being indexed by Splunk?

题目类型: 技术面试题

这是一道技术面试题，常见于澳洲IT公司面试中。

难度: hard

分类: Splunk 数据输入, 过滤与路由

标签: splunk, props.conf, transforms.conf, nullQueue, regex, indexing

参考答案摘要

TL;DR 可以通过在 props.conf + transforms.conf 定义正则规则，把不需要的事件发送到 nullQueue 来丢弃，从而避免进入索引。 思路 用 regex 匹配事件 将不符合的事件送往 nullQueue 将符合的事件送往 indexQueue props.conf 示例 [source::/var/log/foo] # Transforms must be app...

本题提供 STAR 原则详细解答和技术解析，登录匠人学院学习中心即可查看完整答案。