Splunk campos de configuração de entrada de dados

Descrição dos campos no Splunk formulário de configuração de entrada de dados.

Configuração básica

Tabela 1. Guia Introdução

Campo	Descrição
Nome da entrada de dados	Nome da nova entrada de dados. Este campo é obrigatório.
Descrição	Descrição da entrada de dados.
MID Server	. MID Server para o qual os logs são transmitidos. Nota: Somente você pode selecionar MID Servers que oferecem suporte à autenticação básica. MID Servers Que oferecem suporte a MTLS não estão listados. O número máximo padrão de entradas de dados que transmitem logs para um único MID Serveré 10. Você pode modificar esse número nas propriedades DO MID Server. Este campo é obrigatório.
Porta	A porta do MID Server. Certifique-se de que a equipe de segurança da sua organização abra a porta selecionada no MID Server. Este campo é obrigatório.
Protocolo de transporte	O protocolo usado para transmitir mensagens de log para seu ServiceNow instância. TCP - Ao usar o protocolo TCP (Transmission Control Protocol), todos os logs chegarão à instância. No entanto, o Splunk o pipeline pode ser bloqueado se MID Server está inativo ou a conexão com ele foi perdida. TCP é o protocolo de transporte padrão. UDP - Ao usar o protocolo UDP (User Datagram Protocol, protocolo de datagramas do usuário), o. Splunk o pipeline nunca será bloqueado. No entanto, alguns logs podem ser descartados antes de chegarem à instância. Para obter mais informações sobre como transmitir dados de log usando o protocolo de transporte TCP ou UCP, consulte Streaming de dados Splunk usando Heavy Forwarder: Selecionando TCP ou UDP [KB0998928] artigo no Now Support Base de conhecimento.
Usar dados preparados	Opção para ingerir dados de log do Splunk no formato pré-processado ("cozido") que Splunk usa no remetente. Ingestão de dados em HLA nesse formato, garante que cada linha de log retenha as informações contextuais relevantes Splunk incorpora-se nele. Nota: Se você selecionar esta opção, não há necessidade de editar o. props.conf e. transforms.conf arquivos durante Splunk configuração de entrada de dados.
Usar fuso horário do encaminhador	Opção para passar informações sobre o fuso horário no qual o encaminhador está localizado. . MID Server o usa essas informações para ajustar o fuso horário do qual os logs chegam. Esta opção é relevante ao usar Splunk Encaminhadores universais.
Habilitar compactação	Opção para enviar logs em formato compactado. Enviar logs em um formato compactado minimiza o tamanho dos dados que estão sendo transferidos, o que é importante ao lidar com grandes volumes de dados de log. Esta opção é relevante ao usar Splunk Encaminhadores universais e só podem ser usados quando SSL/TLS está habilitado.

Configuração avançada

Tabela 2. Formulário de configuração avançada

Campo	Descrição	Valores padrão
Usar SSL/TLS	Opção para selecionar o uso de SSL/TLS. Nota: Para enviar logs em um formato compactado, o SSL/TLS deve estar habilitado.
Pesquisar nomes de host	Opção para selecionar executar a pesquisa DNS para resolver IPs para nomes de host.	falso
Contagem de threads do Boss	O número de threads que gerenciam as conexões.	1
Contagem de threads de trabalhador	O número de threads que manipulam os dados recebidos.	4
Segundos para o tempos limite de leitura	O tempo limite em segundos desde a última leitura. Quando o tempo limite expira, o sistema fecha o canal.	30
Fuso horário padrão	O fuso horário padrão dos eventos. O sistema usa esse padrão quando o log não especifica um fuso horário.	GMT
Proporção de soltura de subamostra	A proporção de eventos a serem descartados.	-1
Taxa de recebimento de subamostra	A proporção de eventos a serem recebidos.	-1
Tamanho máximo em bytes	O tamanho máximo das mensagens de log em bytes.	32766
Codificação de caracteres	A codificação de caracteres para esta entrada de dados.	UTF-8
Descartar se a fila estiver cheia	Opção para selecionar descartar logs se houver uma carga no MID Server.