트래픽 상태 축약

대부분의 트래픽은 클라이언트와 서버 사이에서 발생한다. 이때 출발지와 목적지 포트는 IP에 대한 정보가 없는 상태에서 출발지와 목적지 간의 관계를 알려주는 핵심 정보. 

Bin time spans and local time

다음은 기본 timechart. 계산 간격은 1시간.

키바나 세션 관리

엘라스틱 버전 8부터는 보안(인증 및 암호화 통신) 기능이 필수라 뺄 수 없다. 그래서 사용자 인증 과정을 거쳐야하는데 이게 세션 만료 시간이 있더라.

키바나 saved object 복구

data view(구 index pattern)는 삭제/등록을 아무리 반복해도 저장된 데이터에는 영향을 끼치지 않는다. 대신 과거 data view 환경에서 만들었던 차트 등의 화면은 사용할 수 없음. 이름이 같아도 식별 id가 다르기 때문.

Splunk의 eval과 rex - 2nd

간단한 정규표현식 테스트.

having query

다음은 변수 평균 길이를 구하는 집계 쿼리.

GET iis_log/_search
{
  "size": 0,
  "aggs": {
    "NAME": {
      "date_histogram": {
        "field": "@timestamp",
        "fixed_interval": "6h",
        "time_zone": "Asia/Seoul"
      },
      "aggs": {
        "avg_param_len": {
          "avg": {
            "field": "param_len"

ingest pipeline - 3rd

로그스태시 fingerprint 필터를 사용할 때 MURMUR3 해시 함수를 선택하면 숫자 해시값을 구할 수 있다.

input {
 file {
  path => "D:/test.log"
  start_position => "beginning"
  sincedb_path => "nul"
 }
}

filter {
 fingerprint {
  method => "MURMUR3"
 }
}