Kā likt Agent analizēt lielus failus pa daļām?
Sašauriniet materiālus pēc struktūras, atslēgvārdiem un diapazona, saglabājot izsekojamus pierādījumus.
Vispirms iegūstiet struktūru, nevis pilnu tekstu
Lielus failus ne vienmēr var pilnībā atdot vienā reizē; lasīšanas rīki sniegs faila informāciju vai norādes par diapazonu. Vispirms izprotiet direktoriju, nodaļas, laika diapazonus vai atslēgvārdu izvietojumu, tad apstrādājiet pa daļām, atkārtoti neievadot sarunā visu saturu.
Uzdevuma aprakstā norādiet, ko meklējat, piemēram, kļūdas konkrētā laika posmā, nevis neskaidri rakstiet «analizē visus žurnālus».
Kā saglabāt saskaņotību pēc sadalīšanas
Katrai daļai izmantojiet vienādu rezultātu struktūru un saglabājiet avota atrašanās vietas, beigās apkopojot un salīdzinot saistības.
Piemēram, analizējot vairāku dienu žurnālus, vispirms nosakiet anomāliju laika posmu un tad pārbaudiet saistītos notikumus pirms un pēc tā. Katru lasīšanas tvēruma paplašināšanu pamatojiet un beigās norādiet faktiski aptvertos datumus; tas samazina nesaistītu saturu un nepieļauj visaptverošus secinājumus no daļējiem paraugiem.
- Pārbaudiet faila izmēru, formātu un saistītās sadaļas.
- Izvēlieties lasīšanas diapazonu atbilstoši jautājumam.
- Katram konstatējumam pierakstiet attiecīgo rindu, laiku vai rindkopu.
- Kopsavilkumā nošķiriet aptvertās un nepārbaudītās daļas.
Neuzskatiet daļēju lasīšanu par pilnīgu pārbaudi
Ja izlasītajos fragmentos problēmas nav atrastas, tas nozīmē tikai to, ka tās nav atrastas šajā diapazonā; tas nepierāda, ka viss fails ir bez problēmām. Garu komandu izvades vispirms var saglabāt un pēc tam izvilkt kopsavilkumus; sarežģītiem formātiem vispirms pārbaudiet, vai teksta izguve ir pilnīga. Galīgajā rezultātā norādiet pārbaudes tvērumu, lai nepilnīgie secinājumi vēlāk netiktu izmantoti nepareizi.