Splunki õpetus algajatele: mis on Splunk Tool? Kuidas kasutada?

Autor: David Carter David Carter
Hours Ajakohastatud

⚡ Nutikas kokkuvõte

Splunk on andmeplatvorm, mis kogub, indekseerib ja korreleerib masinloodud andmeid reaalajas ning seejärel muudab need otsitavateks sündmusteks, armatuurlaudadeks, teadeteks ja visualiseeringuteks, mis toetavad jälgimist, tõrkeotsingut, turbeanalüüsi ja äriotsuseid kogu organisatsioonis.

  • 🔎 Põhieesmärk: Splunk jäädvustab, indekseerib ja korreleerib reaalajas masinaandmeid, et meeskonnad saaksid logisid otsida ja probleeme diagnoosida ühest kohast.
  • 🧩 Väljaanded: Suuremahuliste juurutuste jaoks vali Splunk Enterprise, hostitud teenuse jaoks Splunk Cloud või väikesemahulise logianalüüsi jaoks tasuta Splunk Light.
  • 🏗️ ArchiStruktuur: Mitmetasandilise torujuhtme moodustavad universaalsed edasisuunajad, rasked edasisuunajad, indekseerijad, otsingupead, juurutusserver ja litsentsihaldur.
  • ⚙️ Andmevoog: Forwarderid koguvad andmeid, indekseerija parsib ja salvestab sündmusi ning otsingupea käivitab analüüsimiseks SPL-päringuid.
  • 🔐 Tavakasutus: Splunki kasutatakse laialdaselt IT-jälgimiseks, algpõhjuste analüüsiks ning turvateabe ja sündmuste haldamiseks (SIEM).
  • ???? Praktiline ülevaade: Testige oma indekseid ja kinnitage sündmuste katkestusi ning ajatempleid, et otsingud püsiksid kiired ja täpsed.
  • 🇧🇷 Kompromissid: Splunk pakub võimsat otsingut ja aruandlust, kuid litsentsimine võib suurte andmemahtude korral kalliks minna, seega on alternatiivide hulka ELK ja Sumo Logic.
Loe rohkem

Splunki õpetus algajatele, mis hõlmab arhitektuuri, komponente ja Splunki toimimist

Mis on Splunk?

Purustatud on tarkvaraplatvorm, mida kasutatakse masinloodud andmete jälgimiseks, otsimiseks, analüüsimiseks ja visualiseerimiseks reaalajas. See jäädvustab, indekseerib ja korreleerib voogedastusandmeid otsitavas hoidlas ning seejärel loob graafikuid, teateid, juhtpaneele ja visualiseeringuid. Kuna see muudab logi- ja sündmusteandmetele kogu organisatsioonis hõlpsa juurdepääsu, loodavad meeskonnad Splunkile kiire diagnostika, IT-toimingute jälgimise ja isegi turvateabe ja sündmuste haldamise (SIEM) jaoks.

Miks me vajame Splunki?

Splunki jälgimistööriista armatuurlaud, mis näitab reaalajas nähtavust

Splunki jälgimistööriist pakub organisatsioonile palju eeliseid. Splunki kasutamise peamised eelised on:

  • Pakub täiustatud graafilist kasutajaliidest reaalajas nähtavusega interaktiivsete armatuurlaudade kaudu.
  • Vähendab tõrkeotsingu ja lahenduse aega, tagastades kohesed tulemused.
  • Toimib hästi sobiva tööriistana algpõhjuste analüüsiks.
  • Võimaldab teil oma andmete põhjal genereerida graafikuid, märguandeid ja armatuurlaudu.
  • Lihtsustab konkreetsete tulemuste otsimist ja uurimist.
  • Aitab tõrkeotsingut teha mis tahes tõrke korral, et parandada jõudlust.
  • Jälgib ärinäitajaid, et saaksite teha teadlikke otsuseid.
  • Võimaldab teil kaasata Tehisintellekt oma andmestrateegiasse.
  • Kogub teie masina andmetest kasulikku operatiivset teavet.
  • Võtab kokku ja kogub väärtuslikku teavet erinevatest logidest.
  • Aktsepteerib peaaegu kõiki andmetüüpe, sh .csv, JSON ja tavalisi logivorminguid.
  • Pakub võimsat otsingut, analüüsi ja visualiseerimist igat tüüpi kasutajatele.
  • Loob keskse hoidla Splunki andmete otsimiseks paljudest allikatest.

Splunki omadused

Splunki põhifunktsioonide hulka kuuluvad järgmised:

  • Kiirendab arendust ja testimist.
  • Võimaldab teil luua reaalajas andmerakendusi.
  • Aitab kiiremini investeeringutasuvust teenida.
  • Toetab reaalajas arhitektuuriga agiilset statistikat ja aruandlust.
  • Pakub otsingut, analüüsi ja visualiseerimist, mis toovad igat tüüpi kasutajaid kasuks.

Splunk tooted

Splunk on saadaval kolmes erinevas väljaandes, millest igaüks on suunatud erinevale kasutusulatusele:

  • Splunk Enterprise
  • Splunk Light
  • Räpane pilv

Splunk Enterprise

Splunk Enterprise'i versiooni kasutavad suured IT-ettevõtted. See aitab teil koguda ja analüüsida andmeid rakendustest, veebisaitidelt, serveritest ja muudest allikatest.

Räpane pilv

Splunk Cloud on hostitud platvorm, mis pakub samu funktsioone kui ettevõtte versioon. Selle saab otse Splunkist või läbi AWS pilveplatvorm.

Splunk Light

Splunk Light on tasuta versioon, mis võimaldab teil oma logiandmeid otsida, nende kohta aru anda ja neid muuta. Sellel on teiste versioonidega võrreldes piiratud funktsionaalsus ja see sobib kõige paremini väikesemahuliseks kasutamiseks, indekseerides kuni 500 MB andmeid päevas.

Purustatud Architektuur

Nüüd, kui olete väljaannetest aru saanud, vaatame Splunki arhitektuuri ja selle peamisi ehitusplokke:

Splunk arhitektuuri diagramm, mis näitab edasisaatjaid, indekseerijat ja otsingupead
Purustatud Architektuur

Splunki arhitektuuri põhikomponendid on järgmised:

Universaalne ekspediitor (UF)

Universaalne edastaja ehk UF on kerge agent, mis edastab andmeid võimsale Splunki edastajale. Selle saab installida kliendiarvutisse või rakendusserverisse ja selle ainus ülesanne on logiandmete edastamine.

Koormuse tasakaalustaja (LB)

Koormuse tasakaalustaja on Splunki vaikesätete järgi loodud tasakaalustaja. See võimaldab teil aga kasutada ka oma isikupärastatud koormuse tasakaalustajat.

Raske ekspediitor (HF)

Heavy Forwarder on raskem komponent, mis võimaldab teil andmeid enne edasiliikumist filtreerida – näiteks kogudes ainult vealogisid.

Indekseerija

Indekseerija salvestab ja indekseerib sissetulevaid andmeid, mis parandab Splunki otsingu jõudlust. Vaikimisi indekseerib Splunk automaatselt, kasutades selliseid välju nagu host, allikas ning kuupäev ja kellaaeg.

Otsingupea (SH)

Otsingupead kasutatakse teabe saamiseks ja aruannete loomiseks. See on koht, kus kasutajad kirjutavad SPL-päringuid (otsingu töötlemise keel), et uurida indekseeritud andmeid.

Juurutusserver (DS)

Juurutusserver aitab teil juurutada konfiguratsioone – näiteks värskendada Universal Forwarderi konfiguratsioonifaili – ja see saab jagada sätteid mitme Splunki komponendi vahel.

Litsentsihaldur (LM)

Litsentsihaldur tracks litsentsimine, mis põhineb mahul ja kasutusel (näiteks 50 GB päevas). Splunk kontrollib neid litsentsiandmeid regulaarselt.

Kuidas Splunk töötab?

Nüüd vaatame, kuidas Splunki tööpõhimõte seisneb, jälgides andmeid kogumisest kuni analüüsini:

Kuidas Splunk töötab: edasisuunaja indekseerijale otsib peaandmete voogu
Kuidas Splunk töötab

Ekspediitor

Forwarder kogub andmeid kaugarvutitest ja edastab need indekseerijale peaaegu reaalajas.

Indekseerija

Indekseerija töötleb sissetulevaid andmeid reaalajas. Samuti salvestab ja indekseerib see andmeid kettale.

Otsi pea

Lõppkasutajad suhtlevad Splunkiga otsingupea kaudu, mis võimaldab neil indekseeritud andmeid otsida, analüüsida ja visualiseerida.

Splunki rakendused

Splunki tegevuse nägemiseks vaatleme reaalset näidet. Probleemi püstitus: McDonald'sil puudus selge ülevaade sellest, millised sooduspakkumised toimisid kõige paremini. Asjaomased tegurid olid järgmised:

  • Pakkumise tüüp (näiteks 20% allahindlust)
  • Kultuurilised erinevused piirkondlikul tasandil
  • Ostuaeg
  • Kliendi kasutatav seade
  • Revtellimuse kohta genereeritud enue

Ettevõte vajas ülevaadet tarbijakäitumisest ja klientide reaktsioonidest.

Kogu protsess kasutas kolme tüüpi andmeallikaid:

  1. McDonald'si müügikohas esitatud tellimused
  2. Mobiilirakenduse kaudu esitatud tellimused
  3. Veebirakenduse kaudu esitatud tellimused

Seejärel liikusid andmed ühest etapist teise, nagu on näidatud alloleval diagrammil.

Diagramm sellest, kuidas Splunk töötleb McDonald'si tellimuste andmeid eri allikatest

Sisend

Sisendandmed liiguvad parsimisfaasi.

Parsimine

Parsimisfaasis teisendatakse asjakohased andmed sündmusteks:

  • Kliendi piirkond
  • Revenue tellimuse kohta
  • Tellimuse aeg (hommikul, pärastlõunal, õhtul, öösel)
  • Klientide poolt kasutatav seade (mobiiltelefon, arvuti, tahvelarvuti)
  • Sooduskupongid rakendatud

Indekseerimise etapp

Selles etapis sorteeritakse ja indekseeritakse sündmused salvestamiseks järgmistel alustel:

  • Müük geograafilise asukoha järgi
  • Tellimuse tulu
  • Tellimuse aeg (hommikul, pärastlõunal, õhtul, öösel)
  • Kliendi kasutatav seade
  • Kupong rakendatud

Otsi pea

Otsingupead kasutatakse luureandmete saamiseks ja aruannete koostamiseks.

McDonald's kasutas seda järgmistele küsimustele vastamiseks:

  • Milline müügipakkumine töötab millises geograafilises asukohas kõige paremini?
  • Kuidas klientide käitumine muudab tellimuste tulu?
  • Mis on parim aeg burgeri- või kombineeritud pakkumiste tegemiseks?

Kuidas Splunk aitas?

  • Näitas kõiki konkreetsest piirkonnast pärit tellimusi reaalajas.
  • Määrati kindlaks, kuidas erinevad sooduspakkumised reaalajas toimisid.
  • Jälgis McDonald'si ettevõttesiseste müügikohasüsteemide toimivust.
  • Laske töötajatel jälgida klientide tagasisidet ja mõista ootusi.
  • Analüüsisin erinevate makseviiside kiirust.
  • Tuvastatud veavabad makseviisid.

SEOTUD ARTIKLID

Splunki kasutamise parimad tavad

  • Testi esmalt oma indeksit, et saaksid teste kiiresti käivitada.
  • Hankige võtmeväljad indekseerimise ajal õigesti; kõike muud saab luua või muuta alles pärast indekseerimist.
  • Sündmuste katkestamine toimub Splunkis automaatselt, seega veenduge, et see tuvastab iga sündmuse alguse ja lõpu õigesti.
  • Splunk suudab ajatempli automaatselt tuvastada, aga kui teie logivorming kasutab teistsugust ajatemplit, konfigureerige see käsitsi.

Splunki kasutavad kuulsad ettevõtted

Mõned tuntud ettevõtted, mis Splunki kasutavad, on järgmised:

  • Cisco
  • Bosch
  • IBM
  • Motorola
  • PepsiCo
  • Adobe
  • viisa
  • Adidas
  • Facebook
  • Sales Force
  • Walmart

Splunki alternatiivid

1) Site24x7Logide haldamine

Site24x7 pakub tsentraliseeritud pilvepõhist logide haldamise tööriista kogu teie infrastruktuuri jaoks. See tuvastab automaatselt rakenduste logid ja pakub valmis tuge enam kui 100 rakendusele.

Site24x7 logi haldamine

Põhijooned Site24x7logihaldustööriist:

  • Toetab üle 100 logitüübi, sealhulgas pilveplatvormi logisid.
  • Võimaldab logide hõlpsat haldamist lihtsa kohandamise abil.
  • Pakub kasutajasõbralikku, päringukeeltel põhinevat otsingut.
  • Toetab laia valikut logivorminguid (JSON, mitmerealine, võtme-väärtusega, XML ja palju muud).
  • Clustersõnumid mustri sarnasuse põhjal.
  • Pakub IT-automaatikat automaatselt paranevate intsidentide jaoks.
  • Saadab kolmandate osapoolte hoiatusi selliste tööriistade kaudu nagu Microsoft Teams, ServiceNow, PagerDuty, Opsgenie, Jira, Webhooks, Zendeskja Zoho Cliq.

visiit Site24x7 >>

2) Sumo Logic

Sumo Logic aitab teil hallata oma rakenduste infrastruktuuri ning logide otsimine ja analüüsimine reaalajas on lihtne. Tööriist võimaldab teil jälgida ja visualiseerida nii ajaloolisi kui ka reaalajas sündmusi.

Download link: https://www.sumologic.com/

3) Fluentd

Fluentd on tasuta avatud lähtekoodiga andmekoguja. See salvestab teie logid FS-puhvrisse, et saaksite neid igal ajal juurde pääseda, ning pakub funktsioone, nagu koormuse tasakaalustamine ja uuesti proovimine, et suurendada töökindlust.

Download link: https://www.fluentd.org/

4) ELK virn

. ELK virn võimaldab kasutajatel võtta andmeid mis tahes allikast ja mis tahes vormingus ning neid otsida, analüüsida ja visualiseerida. See pakub tsentraliseeritud logimist, mis on abiks serverite või rakenduste probleemide tuvastamisel.

Download link: https://www.elastic.co/elk-stack

5) LogFaces

LogFaces on veel üks Splunki alternatiiv, mis võimaldab teil oma päringuid e-postiga saata ja logiandmeid teie ruumides hoida. See on hõlpsasti kasutatav töölauarakendus.

Download link: http://www.moonlit-software.com/

Splunki kasutamise puudused

Vaatamata oma tugevustele on Splunkil mõned puudused, mida tasub märkida:

  • Suurte andmemahtude puhul võib splunk kalliks minna.
  • Selle armatuurlauad on funktsionaalsed, kuid mitte alati nii tõhusad kui mõned spetsiaalsed seirevahendid.
  • Õppimiskõver on järsk; kuna see kasutab mitmetasandilist arhitektuuri, vajate selle omandamiseks koolitust ja aega.
  • Otsinguid võib olla raske mõista, eriti regulaaravaldisi ja otsingusüntaksit.

KKK

SPL ehk otsingu töötlemise keel on Splunki sisseehitatud päringukeel. See ühendab otsingutermineid, käske, funktsioone ja klausleid indekseeritud sündmuste filtreerimiseks, teisendamiseks ja nende kohta aruandluse esitamiseks. SPL-i õppimine on oluline, sest see on viis, kuidas kasutajad otsingupeas olevatest andmetest teadmisi ammutavad.

Splunk pakub tasuta versiooni Splunk Light koos tasuta litsentsiga, mis indekseerib kuni 500 MB andmeid päevas ja ei aegu kunagi. Tasuliste Splunk Enterprise'i ja Splunk Cloudi pakettide hind sõltub peamiselt päevasest andmemahust või töökoormusest.

Splunk on andmeanalüüsi platvorm, kuid koos ettevõtte turberakendusega töötab see ka täieliku SIEM-süsteemina. See kogub ja korreleerib turvalogisid, tuvastab ohte, annab hoiatusi ja toetab uurimisi, mistõttu paljud turvaoperatsioonide keskused sellele tuginevad.

Splunk on kommertslik, kõikehõlmav platvorm viimistletud funktsioonide ja toega, samas kui ELK virn on avatud lähtekoodiga ja väga kohandatav. Splunk kasutab päringute jaoks SPL-i; ELK kasutab päringute DSL-i. Splunki on kiirem juurutada, kuid ELK on mastaabis sageli odavam.

Splunki õppimiskõver on mõõdukas. Selle installimine ja põhiotsingute käivitamine on lihtne, kuid SPL-i, regulaaravaldiste ja mitmetasandilise arhitektuuri valdamine nõuab harjutamist. Algajad saavad enne tootmiskeskkondadesse üleminekut alustada tasuta versiooni ja näidisandmetega.

Splunk pakub rollipõhiseid sertifikaate, sealhulgas Core Certified User, Core Certified Power User, Certified Admin ja edasijõudnutele mõeldud sertifikaate. tracks arhitektidele, arendajatele ja ettevõtte turvalisuse spetsialistidele. Need volitused kinnitavad teie võimet otsida, luua juhtpaneele ja hallata Splunki juurutusi ning on väärtuslikud karjääri kasvuks.

Splunk sisaldab masinõppe ja tehisintellekti funktsioone, mis tuvastavad anomaaliaid, prognoosivad trende ja grupeerivad sarnaseid sündmusi automaatselt. Tehisintellekti assistendid saavad tõlkida ka lihtsad inglise keele küsimused kõnekeelde ja kokku võtta mürarikkaid logisid.ping Analüütikud leiavad algpõhjused kiiremini üles, kuigi insener peaks tulemusi alati kontrollima.

Jah. ChatGPT oskab kirjelduse põhjal selgitada Splunki kontseptsioone ja koostada SPL-päringute mustandeid, samal ajal kui GitHubi koopia soovitab redaktoris olevaid konfiguratsioonifaile ja skripte. Testige alati loodud SPL-i ja sätteid, sest tehisintellekt võib viidata aegunud käskudele või vaikesätetele.

Võta see postitus kokku järgmiselt: