Splunk의 sourcetype 변경 - 2nd

collect 명령 사용 시 소스타입 옵션은 필드 추출 작업에 관여하지 않는다. 하는 일이 뭐야?

엘라스틱 Anomaly Detection Job

엘라스틱이 데이터 성격별로 알아서 이상징후를 분석해주는 ML 작업 기능을 제공한다. ECS와 호환되는 테이블 구조일 때만 ML 작업 선택 가능. 다음은 winlogbeat로 윈도우 이벤트 연동 시 선택 가능한 ML 작업 내역.   

데이터 곤조

Logstash 필터 xml - 2nd

xml 필터는 xml 코드만을 인식한다.

filter {
 mutate {
  remove_field => ["@timestamp", "@version", "path", "host"]
 }

 xml {
  force_array => false
  source => "message"
  target => "event"
 }
}