Ce este un Indexer?

Indexer-ul este responsabil pentru stocarea, procesarea și gestionarea datelor în Splunk. Acesta transformă logurile brute în evenimente căutabile utilizând tehnici de indexare.

Responsabilitățile principale ale unui Indexer:

• Primește loguri brute de la Forwarders.
• Indexează datele și le stochează într-un format optimizat.
• Răspunde la cererile de căutare ale Search Heads.
• Gestionează mai multe indexi (ex: index=security, index=app_logs).

Cum funcționează Indexarea în Splunk

1. Splunk primește date brute din diferite surse (ex: servere, firewall-uri, aplicații).
2. Indexer-ul analizează datele și le transformă în evenimente, extrăgând timestamp-uri, hostname-uri și alte câmpuri relevante.
3. Datele sunt comprimate și stocate într-un format optimizat pentru căutare eficientă.
4. Utilizatorii pot rula interogări pentru a recupera datele indexate instantaneu.

• Exemplu: Dacă logurile unui firewall ajung în Splunk, Indexer-ul va:
  • Extrage: timestamp, IP sursă, IP destinație și acțiunea efectuată.
  • Stoca: aceste informații într-un format structurat.
  • Face căutabil: folosind interogări SPL, precum:
    • index=firewall action=blocked | stats count by source_ip