Splunk自動ルックアップの設定

常にルックアップを実行したい場合に毎回コマンドを打つのは手間だと思います。
そのために用意されているのが自動ルックアップ(Autolookup)機能です。
今回は覚えにくいHTPPの応答コードを自動ルックアップし、どのような結果だったのか見やすくしたいと思います。
これはSplunkの公式CSV lookup exampleに記載があります。
csvファイル名は「http_status.csv」、lookup table名は「http_status」でそれぞれ作成します。
作成方法が不明であれば以前の記事を参考にしてみてください。

status_code,status_description,status_type
100,Continue,Informational
101,Switching Protocols,Informational
200,OK,Successful
201,Created,Successful
202,Accepted,Successful
203,Non-Authoritative Information,Successful
204,No Content,Successful
205,Reset Content,Successful
206,Partial Content,Successful
300,Multiple Choices,Redirection
301,Moved Permanently,Redirection
302,Found,Redirection
303,See Other,Redirection
304,Not Modified,Redirection
305,Use Proxy,Redirection
307,Temporary Redirect,Redirection
400,Bad Request,Client Error
401,Unauthorized,Client Error
402,Payment Required,Client Error
403,Forbidden,Client Error
404,Not Found,Client Error
405,Method Not Allowed,Client Error
406,Not Acceptable,Client Error
407,Proxy Authentication Required,Client Error
408,Request Timeout,Client Error
409,Conflict,Client Error
410,Gone,Client Error
411,Length Required,Client Error
412,Precondition Failed,Client Error
413,Request Entity Too Large,Client Error
414,Request-URI Too Long,Client Error
415,Unsupported Media Type,Client Error
416,Requested Range Not Satisfiable,Client Error
417,Expectation Failed,Client Error
500,Internal Server Error,Server Error
501,Not Implemented,Server Error
502,Bad Gateway,Server Error
503,Service Unavailable,Server Error
504,Gateway Timeout,Server Error
505,HTTP Version Not Supported,Server Error

ルックアップテーブルファイル

ルックアップ定義

ルックアップテーブルファイルとルックアップ定義が終わったら、
自動ルックアップの新規作成をクリックします。

今回はリネームが必要ないようにcsvのヘッダ名はイベントフィールドと揃えたので
設定はこんな感じになります。ルックアップコマンドと書き方は大体一緒です。
適用先というのはこの設定（自動ルックアップ）を実施する条件です。
ソースタイプに設定すればソースタイプが設定した値のときのみ自動ルックアップが実行されます。
必要に応じて変更してください。

設定後、サーチを実行すれば自動的に裏でルックアップコマンドが実行されます。
結果として「status_description,status_type」フィールドが追加されました。
これでHTTP応答コードを覚える必要がないのでログが見やすくなると思います。
※ルックアップのデータに「0と207」のstatus_codeがなかったので空欄になっています。