如何在 Splunk 中排除某些事件不被索引？
How do I exclude some events from being indexed by Splunk?
题目类型: 技术面试题
这是一道技术面试题，常见于澳洲IT公司面试中。
难度: hard
分类: Splunk 数据输入, 过滤与路由
标签: splunk, props.conf, transforms.conf, nullQueue, regex, indexing
参考答案摘要
TL;DR 可以通过在 props.conf + transforms.conf 定义正则规则，把不需要的事件发送到 nullQueue 来丢弃，从而避免进入索引。 思路 用 regex 匹配事件 将不符合的事件送往 nullQueue 将符合的事件送往 indexQueue props.conf 示例 [source::/var/log/foo] # Transforms must be app...
答题技巧
技术面试题建议先理清思路再作答，从基础概念讲起，逐步深入。可以结合实际项目经验解释技术原理，展示你的理解深度和实践能力。
本题提供 STAR 原则详细解答和技术解析，登录匠人学院学习中心即可查看完整答案、收藏题目并进行模拟面试练习。
