Splunk:如何从W3C扩展格式中提取字段
我正在尝试configurationSplunk以正确parsingW3C日志格式的字段。 现在,我遇到了configuration混乱:我在哪里以及如何指定如何分割日志格式? 我的Inputs.conf如下所示: [monitor://C:\WINDOWS\system32\LogFiles\W3SVC98989898] disabled = false host = mywebsite.net sourcetype = iis 我试着把它添加到我的sourcetypes.conf中: [iis_w3c_default] DELIMS = " " FIELDS = "date", "time", "cs-method", "cs-uri-stem", "cs-uri-query", "cs-username", "c-ip", "cs-version", "cs(User-Agent)", "cs(Referer)", "sc-status", "sc-bytes" 但是使用ths作为源types未能提取任何有意义的字段。 我想我只是没有把握Splunk正在做的一切 一旦我有这个工作,我打算重新索引我的所有数据与新的领域(这将是一个本身的考验)。 我真的很想要Splunk,但是configuration太过于笨拙…