Splunk警报创建

Question

我是Splunk的新手，需要在Splunk中创建以下警报的建议。

我需要创建一个警报，它将检查日志文件的最后更新时间戳，如果它在过去十分钟内没有更新，那么警报应该被触发。

提前谢谢。希望这将是我学习Splunk部分的开始。

Answer 1

splunk.com上的免费Splunk基础1课程是学习Splunk的一个很好的开始。

Splunk不会常规地索引文件更新时间戳。它将具有从源读取的每条记录的时间戳，但不具有文件修改时间。然而，它可能仍然有效。试试这个简单的搜索

index=foo source=bar earliest=-10m

当结果数为零时触发警报。