அமர்வுகள் டாஷ்போர்டில் தோன்றுகின்றன ஆனால் பயனர்பெயர் நிரல் காலியாகவே உள்ளது, முதல் உணர்வு பகுப்பாய்வியைக் குறை கூறுவதாகும். அந்த உணர்வு மதிப்பு இழக்கப்பட்டிருக்கக்கூடிய மூன்று முந்தைய நிலைகளைத் தவிர்க்கிறது. நுழைவாயில் கொள்கையின்படி அடையாளத்தை மறைக்கலாம், உள்வாங்கல் விதி அட்டவணைப்படுத்தலுக்கு முன் அதை நீக்கலாம், தேடல் நேரப் பிரித்தெடுத்தல் அதைப் பெயரிடத் தவறிவிடலாம். திருத்தம் எந்த எல்லையைப் பொறுப்பானது என நிரூபிக்க முடிகிறது என்பதைப் பொறுத்தது, எனவே பயனுள்ள வேலை உள்ளமைவு அல்ல, ஒப்பீடு.

டாஷ்போர்டிலிருந்து அல்ல, ஒரு நிகழ்விலிருந்து தொடங்குங்கள்

ஒரே அங்கீகார நிகழ்வைத் தேர்ந்தெடுத்து அதை எது அடையாளப்படுத்துகிறது என எழுதுங்கள்: நுழைவாயில் மாதிரி மற்றும் வெளியீடு, அங்கீகார முறை, நிகழ்வு அடையாளங்காட்டி, நேர முத்திரை மற்றும் மூல முகவரி. நபர் தட்டச்சு செய்த அதே வழியில் பயனர்பெயரைச் சேர்க்கவும், பெரிய மற்றும் சிறிய எழுத்துகள் உட்பட, ஏனெனில் எழுத்து உணர்திறன் தேடல் இருக்கும் ஒரு புலத்தை மறைக்கலாம். அந்த நிகழ்வை ஒவ்வொரு பிந்தைய ஒப்பீட்டுக்கும் குறிப்பாகக் கருதுங்கள்.

நிகழ்வு வகைகள் ஒரே திட்டத்தைப் பகிர்வதில்லை. தோல்வியடைந்த முயற்சி, வாடிக்கையாளர் இல்லாத வெற்றிகரமான உள்நுழைவு மற்றும் சுரங்கப்பாதை மறுஇணைப்பு ஒவ்வொன்றும் வெவ்வேறு புலங்களை உருவாக்கலாம், மேலும் முயற்சி பயனர் அங்கீகாரத்தை எட்டாதபோது சில நுழைவாயில்கள் அடையாளத்தை விட்டுவிடுகின்றன. எனவே ஒரு நிகழ்வு வகையில் காலி நிரல் குழாய்ப் பிரச்சினைக்கு பலவீனமான சான்று.

உண்மையான பணியாளர் கணக்குக்குப் பதிலாக அங்கீகரிக்கப்பட்ட சோதனை அடையாளத்துடன் வேலை செய்யுங்கள், ஒப்பீட்டைப் பதிவுத் தரவை ஏற்கனவே நிர்வகிக்கும் அணுகல் விதிகளுக்குள் வைத்திருங்கள். ஒரு மாதிரியைப் பெறுவதற்காக மட்டும் விரிவான அங்கீகாரப் பதிவைப் பரவலாக இயக்குவது நீங்கள் அளவிட முயலும் அமைப்பையே மாற்றுகிறது.

நான்கு எல்லைகளை வரிசையாக ஒப்பிடுங்கள்

மதிப்பு நான்கு புள்ளிகளில் ஒன்றில் மறையலாம். ஒவ்வொரு புள்ளிக்கும் வெவ்வேறு உரிமையாளரும் வெவ்வேறு திருத்தமும் உள்ளன.

BoundaryWhat to compareA gap means
Gateway event viewThe device's own event display and logging policyThe identity was masked or never emitted
Collector receiveThe raw event as received, before parsingTransport, filter or source selection dropped it
Index-time pipelineTransforms applied before storageRedaction or rewriting removed the value
Search-time extractionThe field name and regex used by the queryThe label does not match the stored key

மதிப்பு மறையும் முதல் எல்லையில் நிறுத்துங்கள். சாதனப் பார்வைக்கும் மூல நகலுக்கும் இடையிலான வேறுபாடு போக்குவரத்து அல்லது சேகரிப்பாளர் உள்ளமைவைச் சுட்டுகிறது; அங்கு பொருந்தினாலும் அட்டவணைப்படுத்தப்பட்ட நிகழ்வில் மதிப்பு இல்லாதது ஒரு மாற்றத்தைச் சுட்டுகிறது; அட்டவணைப்படுத்தப்பட்ட நிகழ்வில் மதிப்பு இருந்தும் டாஷ்போர்டில் இல்லாதது பிரித்தெடுத்தல் அல்லது வினவலைச் சுட்டுகிறது.

இந்த வரிசை முக்கியம் ஏனெனில் ஒவ்வொரு பிந்தைய நிலையும் தகவலை இழக்க மட்டுமே முடியும், ஒருபோதும் அதை மீட்டெடுக்க முடியாது. ஒரு வழக்கமான கோவை முந்தைய நிலை இடம்காட்டியால் மாற்றிய சரத்தை மீட்க முடியாது, தனியுரிமை அமைப்பு ஒருபோதும் அனுப்பப்படாத மதிப்பை விளக்க முடியாது.

மூலத்தில் மறைப்பது கொள்கை, பகுப்பாய்வி பிழை அல்ல

Cisco இன் ASA பதிவு ஆவணம் பயனர்பெயர் மறைப்பை உள்ளமைக்கக்கூடிய நடத்தையாக விவரிக்கிறது, செல்லாத அல்லது தெரியாத பயனர்பெயர்கள் எவ்வாறு காட்டப்படுகின்றன என்பதும் அடங்கும். எனவே மூல நிகழ்வில் மறைக்கப்பட்ட அடையாளம் தனியுரிமைக் கொள்கை கோருவதாகவே இருக்கலாம், அதைப் பகுப்பாய்வுத் தோல்வியாகக் கருதுவது கட்டுப்பாட்டைப் பலவீனப்படுத்தும் கோரிக்கைக்கு வழிவகுக்கிறது.

சரியான பிரதிநிதித்துவம் வெளியீடு மற்றும் செய்தி வகையைப் பொறுத்தது. ஒரு நிகழ்வு இடம்காட்டியைக் கொண்டிருக்கலாம், மற்றொன்று புலத்தை முழுவதுமாக விட்டுவிடலாம், அங்கீகாரத் தோல்வியில் ஒருபோதும் பெயர் இருக்காது. ஒவ்வொரு காணாமல் போன அடையாளத்துக்கும் பழைய பிழை அறிக்கையைப் பயன்படுத்துவதற்குப் பதிலாக குறிப்பிட்ட நிகழ்வுக்கான ஆவணப்படுத்தப்பட்ட நடத்தையைச் சரிபார்க்கவும்.

மறைப்பு வேண்டுமென்றே இருக்கும்போது, கேள்வி புலத்தை எவ்வாறு மீட்டெடுப்பது என்பதிலிருந்து தணிக்கைத் தேவையை வேறு வழியில் நிறைவேற்ற முடியுமா என்பதற்கு மாறுகிறது. அமர்வு அடையாளங்காட்டிகள், சிறிய குழுவிடம் உள்ள கட்டுப்படுத்தப்பட்ட அடையாள வரைபடம், அல்லது குறுகிய அதிகாரம் பெற்ற நிகழ்வு ஊட்டம் ஆகியவை ஒவ்வொரு முயற்சிக்கப்பட்ட பயனர்பெயரையும் ஒவ்வொரு பதிவு வாசகருக்கும் முன் வைக்காமல் தேவையை நிறைவேற்றுகின்றன.

அட்டவணைப்படுத்தலுக்கு முன் அநாமதேயமாக்கலை மீட்க முடியாது

நிகழ்வுச் செயலாக்கம் பற்றிய Splunk ஆவணம், அட்டவணைப்படுத்தலுக்கு முன் தரவை மீண்டும் எழுதும் அல்லது நீக்கும் sed கோவைகள் மற்றும் மாற்றங்கள் மூலம் அநாமதேயமாக்கலை விவரிக்கிறது. அதே இடம்தான் முக்கியம்: மூல நிகழ்வு உள்ளே வரும்போதே மாற்றப்படுகிறது, எனவே தேடல் நேரப் பிரித்தெடுத்தலுக்குக் கண்டுபிடிக்க எதுவும் மிஞ்சவில்லை.

அட்டவணைப்படுத்தல் நேரத் திருத்தமும் தேடல் நேரப் புலப் பிரித்தெடுத்தலும் வெவ்வேறு பிரச்சினைகளைத் தீர்க்கின்றன. திருத்தம் மதிப்பை யார் எப்போதும் பார்க்கலாம் என்பதைக் கட்டுப்படுத்துகிறது; பிரித்தெடுத்தல் வினவல் எந்தப் பெயரைப் பயன்படுத்துகிறது என்பதை மட்டும் தீர்மானிக்கிறது. ஹாஷிங் தொடர்பைப் பாதுகாக்கும் இடைநிலை விருப்பம், ஆனால் சிறிய பயனர்பெயர் இடத்தின் மீதான நிலையான ஹாஷ், யாராவது அதற்கு எதிராக சாத்தியமான பெயர்களைச் சோதிக்க முடிந்தால் இன்னும் அடையாளப்படுத்துகிறது.

சேமிக்கப்பட்ட நிகழ்வில் இன்னும் அடையாளம் இருந்தால், பிரச்சினை கீழே உள்ளது: மூல வகை, வரி பிரித்தல், பிரிப்பான் கையாளுதல், புல மாற்றுப் பெயர்கள் அல்லது வினவலே. இவை சாதாரண பகுப்பாய்வுத் திருத்தங்கள், அவை தனியுரிமை எல்லையைத் தொடுவதில்லை.

எல்லைக்குப் பொருந்தும் திருத்தத்தைத் தேர்ந்தெடுங்கள்

மூன்று நிபந்தனைகள் பதிலைத் தீர்மானிக்கின்றன. முதலில், தனியுரிமைக் கொள்கை அடையாளத்தை விலக்க விரும்புகிறதா? இரண்டாவது, தணிக்கை அல்லது விசாரணை செயல்முறைக்கு அடையாளம், புனைப்பெயர், அல்லது அமர்வு மட்டும் தேவையா? மூன்றாவது, மதிப்பு எந்த எல்லையில் தேவை — சேகரிப்பு, சேமிப்பு அல்லது வழங்கல்?

கொள்கை விலக்க விரும்பினால், கட்டுப்பாட்டை அல்ல, தேவையையோ வழங்கலையோ மாற்றுங்கள். கொள்கை அடையாளத்தை அனுமதித்தாலும் சேகரிப்பு அதை விட்டுவிட்டால், சேகரிப்பாளரைத் திருத்தி மூல நிகழ்வை உறுதிப்படுத்துங்கள். சேமிப்பு அப்படியே இருந்தால், பிரித்தெடுத்தலைத் திருத்தி தொடக்கத்தில் பிடித்த அங்கீகரிக்கப்பட்ட நிகழ்வுக்கு எதிராகச் சோதியுங்கள்.

மாற்றப் பதிவில் எல்லையைப் பெயரிட்டு விசாரணையை முடிக்கவும்: மூலத்தில் மறைக்கப்பட்டது, உள்வாங்கலில் நீக்கப்பட்டது, அல்லது பிரித்தெடுத்தலால் தவறவிடப்பட்டது. அந்த ஒரு வாக்கியம் அடுத்த பொறியாளருக்கு முதலில் எங்கே பார்க்க வேண்டும் என்பதைச் சொல்கிறது, மேலும் டாஷ்போர்டு புகார் அமைதியாக முடக்கப்பட்ட தனியுரிமை அம்சமாக மாறுவதைத் தடுக்கிறது.

தொடர்புடைய கட்டுரைகள்