Splunk - 檔案監控

Splunk Enterprise 監控並索引檔案或目錄中出現的新資料。您還可以指定已掛載或共享的目錄，包括網路檔案系統，只要 Splunk Enterprise 可以讀取該目錄即可。如果指定的目錄包含子目錄，則監控程序會遞迴檢查這些子目錄中的新檔案，只要可以讀取這些目錄即可。

您可以使用白名單和黑名單來包含或排除要讀取的檔案或目錄。

如果您停用或刪除監控輸入，Splunk Enterprise 不會停止索引檔案：輸入引用。它只會停止再次檢查這些檔案。

您指定檔案或目錄的路徑，監控處理器會使用寫入該檔案或目錄的任何新資料。這就是您可以監控即時應用程式日誌的方式，例如來自 Web 訪問日誌、Java 2 平臺或 .NET 應用程式等的日誌。

將檔案新增到監控

使用 Splunk Web 介面，我們可以新增要監控的檔案或目錄。我們進入 **Splunk 首頁 → 新增資料 → 監控**，如下面的圖片所示：

單擊“監控”後，它會列出您可以用來監控檔案的各種檔案和目錄型別。接下來，我們選擇要監控的檔案。

接下來，我們選擇預設值，因為 Splunk 能夠解析檔案並自動配置監控選項。

最後一步之後，我們將看到下面的結果，該結果捕獲了要監控的檔案中的事件。

如果事件中的任何值發生更改，則上述結果將更新為顯示最新結果。