تم فقد الأحداث المهتزة - حل مشاكل تحليل الطابع الزمني في Splunk: دراسة حالة حول WinHostMon

قابلية التطبيق

الوصف

عند مراقبة بيانات القرص من WinHostMon، تم ملاحظة إختلافات كبيرة بين الطوابع الزمنية للحدث (_time) والطوابع الزمنية للإبتلاع (_indexTime). تم تعيين وقت بعض الأحداث على تواريخ بعيدة في الماضي، مما أدى إلى تأخير في الفهرسة ونتائج بحث مضللة.

نشأت هذه المشكلة بسبب إساءة تفسير القيمة الرقمية في الحقل 'FreeSpaceKB' على أنها وقت epoch بسبب الإعداد الافتراضي DATETIME_CONFIG=\etc\datetime.xml' في PROPS.conf.

إستجلاء

الأعراض:
- لم ترجع نتائج البحث عن 'index=windows sourcetype=WinHostMon' أية نتائج على الإطلاق.
- أظهر البحث طوال الوقت عن نفس SPL تأخيرا كبيرا بين <time' و<indexTime'.
- كانت الأحداث التي لها "time" في الماضي تظهر على الرغم من عدم وجود مشاكل في عمليات التبني أو الفهرسة.
- إستمرت المشكلة على الرغم من حدوث عملية التناول والفهرسة على نفس الخادم.

النتائج الرئيسية:
- تم العثور على أحداث السجل الداخلي Splunkd OK:

INFO ExecProcessor [4664 ExecProcessorSchedulerThread] - message from “”C:\Program Files\Splunk\bin\splunk-winhostinfo.exe”" splunk-winhostinfo - Output event Name=“D:“\nDriveType=“fixed”\nTotalSpaceKB=2147483019\nFreeSpaceKB=1607839214\nFileSystem=“NTFS”\n

- تأكد هذا السجل من صحة إستيعاب الأحداث، ولكن أظهرت عمليات البحث قيم '|time' غير الصحيحة.
- كشف فحص سجلات الأحداث الأولية عن الحقل 'FreeSpaceKB=1607839214'، الذي يتوافق مع الحقبة الزمنية ل 13 ديسمبر 2020.
- أظهر تحليل ملف props.conf DATETIME_config يشير إلى '\etc\datetime.xml'، مما يسمح Splunk بتفسير 'FreeSpaceKB' على نحو خاطئ كطابع زمني.

قرار

1. التكوين المحدث:
   - props.conf معدل لنوع مصدر WinHostMon:

     [WinHostMon]
     DATETIME_CONFIG = CURRENT

قام التغيير بتوجيه Splunk لاستخدام وقت الإهتلاك (_indexTime) كطابع زمني للحدث بدلا من تحليل واحد من البيانات الأولية.

2. خطوات التحقق من الصحة:
   - تم إعادة تشغيل Splunk لتطبيق التكوين المحدث.
   - بيانات إختبار معاد فهرستها للتحقق من الإصلاح.
   - ملاحظة أن الأحداث الآن لها قيم زمنية دقيقة متناسقة مع _وقت الفهرسة.

الفوائد الرئيسية
- التحقق دوما من كيفية تحليل الطوابع الزمنية عند مواجهة تأخيرات الفهرسة أو شذوذ الطوابع الزمنية.
- أستخدم 'DATETIME_CONFIG = CURRENT' عندما تفتقر الأحداث إلى حقول طابع زمني صالحة أو عندما يمكن إساءة تفسير الحقول الرقمية.