Splunk设置正确的事件时间

最新推荐文章于 2023-11-02 15:17:26 发布

当当呀

最新推荐文章于 2023-11-02 15:17:26 发布

阅读量893

点赞数

分类专栏： Splunk

本文链接：https://blog.csdn.net/Swime/article/details/119386321

版权

本文介绍了如何在Splunk中纠正日志事件时间的问题。默认情况下，Splunk使用日志中最早出现的时间作为事件时间，但实际日志事件时间可能在其他位置。通过在props.conf中针对特定sourcetype配置MAX_TIMESTAMP_LOOKAHEAD、TIME_FORMAT和TIME_PREFIX参数，可以指定正确的时间格式和标识，确保事件时间以正确的时刻记录。操作需在采集器配置并重启生效。

摘要由CSDN通过智能技术生成

Splunk默认会将日志中最先出现的时间作为事件的事件

例如，我这里有一笔防火墙日志

Mar 4 10:53:30 172.23.5.111 Mar 4 10:35:04 PA-3020 1,2019/03/04 10:35:03,001801037311,TRAFFIC,end,1,2019/03/04 10:35:03,172.23.4.49,10.29.4.192,0.0.0.0,0.0.0.0,Tap,,,msrpc-base,vsys1,Tap,Tap,ethernet1/12,ethernet1/12,,2019/03/04 10:35:03,95098,1,54260,135,0,0,0x1c,tcp,allow,2632,1484,1148,24,2019/03/04 10:34:36,12,any,0,2511479410,0x0,172.16.0.0-172.31.255.255,10.0.0.0-10.255.255.255,0,14,10,tcp-fin,0,0,0,0,,PA-3020,from-policy,,,0,,0,,N/A

默认情况下，当Splunk收到这一笔数据，_time为19/03/04 10:53:30.000，实际上“Mar 4 10:35:04”才是设备产生这一笔日志的时间，如果我想拿第二个时间作为事件的时间，要怎么做呢？

方法如下：

在props.conf找到对应的sourcetype，添加