Splunk - 删除数据

可以使用 delete 命令从 Splunk 中删除数据。我们首先创建搜索条件来获取要标记为删除的事件。一旦搜索条件可接受,我们就在命令末尾添加 delete 子句以从 Splunk 中删除这些事件。删除后,即使是具有管理员权限的用户也无法在 Splunk 中查看此数据。

删除数据是不可逆的。如果您仍希望将已删除的数据放回 Splunk,则应随身携带原始源数据副本,可用于在 Splunk 中重新索引数据。这将是一个类似于创建新索引的过程。

分配删除权限

默认情况下,包括管理员用户在内的任何用户都无权删除数据。默认情况下,只有 "can_delete" 角色才有权删除事件。因此,我们创建一个新用户,分配此角色,然后使用此新用户的凭据登录以执行删除操作。下图显示了我们如何创建具有"can_delete"角色的新用户。我们按照路径设置→ 访问控制→ 用户→ 新用户到达此屏幕。

Remove Data0

然后我们退出 Splunk 界面并使用这个新创建的用户重新登录。

识别要删除的数据

首先,我们需要确定要删除的事件列表。这是使用指定过滤条件的常规搜索查询来完成的。在下面的示例中,我们选择查找来自主机 web_application 的事件,该事件的字段 http 状态值为 505。我们的目标是仅删除包含这些值的数据集,并将其从搜索结果中删除。下图显示了选定的这组数据。

Remove Data1

删除选定的数据

接下来,我们使用 delete 命令从结果集中删除上述选定的数据。它只需在搜索查询末尾的"|"后添加单词 delete,如下所示 −

Remove Data2

运行上述搜索查询后,我们可以看到下一个屏幕,其中这些事件已被删除。

Remove Data3

您还可以进一步运行搜索查询以验证这些事件未返回在结果集中。