Расширение функциональных возможностей Splunk – это просто

[vdmitriyev]

Спасибо за статью. То есть получается что Splunk передает данные Python-о в виде стандартных потоков данных (stdin, stdout) по типу Hadoop Streaming или как?

[Tkachev_KV]

Splunk может передавать в Python свои данные (события) в виде списка словарей Python. Для этого я использую функцию getOrganizedResults пакета splunk.Intersplunk.
Полученные результаты (results) я могу обрабатывать в Python.

В дальнейшем, с помощью функции outputResults, можно вывести результаты обработки (трансформаций) обратно в Splunk.
Я использовал для вывода в Splunk просто print. Этого было достаточно для демонстрации.

[Tkachev_KV]

Splunk может передавать в Python свои данные (события) в виде списка словарей Python. Для этого я использую функцию getOrganizedResults пакета splunk.Intersplunk.
Полученные результаты (results) я могу обрабатывать в Python.

В дальнейшем, с помощью функции outputResults, можно вывести результаты обработки (трансформаций) обратно в Splunk.
Я использовал для вывода в Splunk просто print. Этого было достаточно для демонстрации.

[outcoldman]

Splunk engineer here.

Для написания custom search commands можно использовать python sdk, см http://dev.splunk.com/view/python-sdk/SP-CAAAEU2

> запускает соответствующий «скрипт-обертку» (dtree.py), который, в свою очередь, вызывает скрипт с реализацией алгоритма классификации (dtree_lib.py)

Почему так сложно? Почему сразу нельзя вызывать dtree_lib?

[Tkachev_KV]

Можно и так. "В дальнейшем, возможно, я подключу необходимые внешние библиотеки в интерпретатор Python, используемый Splunk’ом.".
Дело в том, что просто подключить в Splunk'овский Python библиотекуscikit-learn у меня не получилось.
Я отдельно указал «плюсы» и «минусы» такой реализации (с двумя модулями) в разделе «Описание подхода».

Кроме того, специалисты Splunk рекомендуют «отделять» реализацию в отдельном модуле (см. https://answers.splunk.com/answers/8/can-i-add-python-modules-to-the-splunk-environment.html).

[outcoldman]

В ответе именно приводится «their system Python», в вашем случае вы используете Splunk Python.

В любом случае, спасибо за статью. Это просто note для улучшения.

[Tkachev_KV]

Не совсем так, а точнее наоборот. Немного более полно процитирую фразу "...Some of our users setup whichever script they've configured in Splunk as a pass-through to a script that runs using their system Python".
Далее идет пошаговое пояснение.