説明/参照: https://answers.splunk.com/answers/3687/host-stanza-in-props-conf-not-being-honored-for-udp-
514-データソース.html

説明
https://docs.splunk.com/Documentation/Splunk/8.2.1/Updating/Filterclients

ディレクトリモニター入力を使用する場合、props.conf ファイルを使用して特定のソースタイプを選択的にオーバーライドできます。Splunk のドキュメント1 によると、「入力とソースに基づいてデータのソースタイプを指定できます。入力のソースタイプを指定します。/var/log/ などの特定の入力からのデータにソースタイプを割り当てることができます。Splunk Cloud Platform を使用する場合は、Splunk Web を使用してソースタイプを定義します。Splunk Enterprise を使用する場合は、Splunk Web で、または inputs.conf 設定ファイルを編集してソースタイプを定義します。」ただし、この方法は粒度が粗く、入力からのすべてのデータに同じソースタイプが割り当てられます。イベントごとにソースタイプをオーバーライドするには、props.conf ファイルと transforms.conf ファイル2 を使用する必要があります。props.conf ファイルには、イベントのセグメント化、フィールドの抽出、ソースタイプの割り当てなど、Splunk プラットフォームが受信データを処理する方法を決定する設定が含まれています2。transforms.conf ファイルには、インデックス作成時または検索時にイベントデータを変更またはフィルタリングするための設定が含まれています2。これらのファイルを使用して、イベントデータ内の特定のパターンに一致するルールを作成し、それに応じて異なるソースタイプを割り当てることができます2。例えば、最初の行に「error」という単語が含まれるイベントにapache_errorというソースタイプを割り当てるルールを作成できます2。

https://docs.splunk.com/Documentation/Splunk/8.0.4/Data/ホワイトリストまたはブラックリスト固有の受信データ
設定スタンザで許可リストと拒否リストの両方を定義する必要はありません。これらの設定は独立しています。両方のフィルターを定義し、ファイルが両方のフィルターに一致した場合、ブラックリストフィルターがホワイトリストフィルターを上書きするため、Splunk Enterpriseはそのファイルをインデックス化しません。出典：https://docs.splunk.com/Documentation/Splunk
/8.1.0/Data/ホワイトリストまたはブラックリスト固有の受信データ