初心者向け Splunk チュートリアル: Splunk ツールとは何ですか? 使い方？
デビッドカーター
⚡ スマートサマリー
Splunkは、機械生成データをリアルタイムで収集、インデックス化、相関付けし、検索可能なイベント、ダッシュボード、アラート、視覚化に変換するデータプラットフォームです。これにより、組織全体における監視、トラブルシューティング、セキュリティ分析、およびビジネス上の意思決定を支援します。
Splunkとは何ですか？
Splunk Splunkは、機械生成データをリアルタイムで監視、検索、分析、視覚化するために使用されるソフトウェアプラットフォームです。検索可能なリポジトリ内でストリーミングデータをキャプチャ、インデックス化、相関付けし、グラフ、アラート、ダッシュボード、視覚化を生成します。組織全体でログデータやイベントデータに簡単にアクセスできるため、チームは迅速な診断、IT運用監視、さらにはセキュリティ情報イベント管理（SIEM）にもSplunkを活用しています。
Splunkが必要な理由とは？
Splunk監視ツールは、組織に多くのメリットをもたらします。Splunkを使用する主な利点は以下のとおりです。
- インタラクティブなダッシュボードを通じてリアルタイムの可視性を提供する、強化されたGUIを提供します。
- 即座に結果を返すことで、トラブルシューティングと解決にかかる時間を短縮します。
- 根本原因分析に適したツールとして機能します。
- データからグラフ、アラート、ダッシュボードを生成できます。
- 特定の結果を簡単に検索・調査できます。
- あらゆる障害状況のトラブルシューティングを支援し、パフォーマンスの向上に役立ちます。
- ビジネス指標を監視することで、情報に基づいた意思決定を可能にします。
- 組み込むことができます Artificial Intelligence データ戦略に組み込んでください。
- 機械データから有用な運用情報を収集します。
- さまざまなログから貴重な情報を要約して収集します。
- .csv、JSON、一般的なログ形式など、ほぼすべてのデータ形式に対応しています。
- あらゆるタイプのユーザー向けに、強力な検索、分析、および視覚化機能を提供します。
- 複数のソースからSplunkデータを検索するための中央リポジトリを作成します。
Splunkの特徴
Splunkの主な機能は以下のとおりです。
- 開発とテストを加速します。
- リアルタイムデータアプリケーションを構築できます。
- 投資対効果（ROI）をより迅速に生み出すのに役立ちます。
- リアルタイムアーキテクチャによる、アジャイルな統計およびレポート作成をサポートします。
- あらゆるタイプのユーザーに力を与える検索、分析、視覚化機能を提供します。
スプランク製品
Splunkには3つの異なるエディションがあり、それぞれ異なる利用規模を想定しています。
- Splunk エンタープライズ
- スプランクライト
- Splunk クラウド
Splunk エンタープライズ
Splunk Enterprise版は、大手IT企業で広く利用されています。アプリケーション、ウェブサイト、サーバー、その他のソースからデータを収集・分析するのに役立ちます。
Splunk クラウド
Splunk Cloud は、Enterprise バージョンと同じ機能を提供するホスト型プラットフォームです。Splunk から直接、または次の方法で入手できます。 AWSクラウドプラットフォーム.
スプランクライト
Splunk Lightは、ログデータの検索、レポート作成、および変更が可能な無料版です。他のエディションに比べて機能は制限されており、1日あたり最大500MBのデータインデックス作成といった小規模な利用に最適です。
Splunk Archi構造
エディションについて理解できたところで、Splunkのアーキテクチャとその主要な構成要素を見ていきましょう。
Splunkアーキテクチャの基本構成要素は以下のとおりです。
ユニバーサルフォワーダー（UF）
ユニバーサルフォワーダー（UF）は、軽量なエージェントで、データをSplunkフォワーダーに転送します。クライアントマシンまたはアプリケーションサーバーにインストールでき、ログデータを転送することだけがその役割です。
ロードバランサー（LB）
ロードバランサーはSplunkのデフォルトのロードバランサーですが、独自のカスタムロードバランサーを使用することも可能です。
ヘビーフォワーダー（HF）
ヘビーフォワーダーは、データが次の処理に進む前にフィルタリングできる、より負荷の高いコンポーネントです。たとえば、エラーログのみを収集することができます。
インデクサ
インデクサーは受信データを保存およびインデックス化することで、Splunkの検索パフォーマンスを向上させます。デフォルトでは、Splunkはホスト、ソース、日付と時刻などのフィールドを使用して自動的にインデックスを作成します。
検索ヘッド（SH）
検索ヘッドは、情報収集やレポート作成に使用されます。ユーザーはここでSPL（検索処理言語）クエリを記述し、インデックス化されたデータを探索します。
デプロイメントサーバー（DS）
デプロイメントサーバーは、Universal Forwarderの設定ファイルを更新するなど、設定のデプロイを支援し、複数のSplunkコンポーネント間で設定を共有できます。
ライセンスマネージャー（LM）
ライセンスマネージャー tracksライセンスは、データ量と使用量に基づいて課金されます（例：1日あたり50GB）。Splunkはこれらのライセンスの詳細を定期的に確認します。
Splunk はどのように機能するのでしょうか?
それでは、Splunkの仕組みを、データの収集から分析までの流れに沿って見ていきましょう。
フォワーダー
フォワーダーは、リモートマシンからデータを収集し、ほぼリアルタイムでインデクサーに転送します。
インデクサ
インデクサは、受信したデータをリアルタイムで処理します。また、データをディスクに保存し、インデックスを作成します。
サーチヘッド
エンドユーザーは、検索ヘッドを介してSplunkとやり取りし、インデックス化されたデータの検索、分析、視覚化を行うことができます。
Splunk のアプリケーション
Splunkの実際の動作を確認するために、実例を考えてみましょう。問題点：マクドナルドは、どのプロモーションが最も効果的かを明確に把握できていませんでした。関連する要因は以下のとおりです。
- オファーの種類（例：20%オフ）
- 地域レベルでの文化的な違い
- 購入時期
- お客様が使用する端末
- Rev注文ごとに生成される金額
同社は消費者の行動と顧客の反応に関する洞察を必要としていた。
このプロセス全体では、3種類のデータソースが使用されました。
- マクドナルドの店舗で注文した
- モバイルアプリを通じて注文した商品
- ウェブアプリケーションを通じて行われた注文
データは、下の図に示すように、ある段階から次の段階へと流れていった。
入力
入力データは解析段階へと進む。
解析
解析段階では、関連データがイベントに変換されます。
- 顧客地域
- Rev注文ごとに必要
- 注文時間（午前、午後、夕方、夜）
- 顧客が使用するデバイス（携帯電話、PC、タブレット）
- 割引クーポン適用済み
インデックス作成段階
この段階では、イベントは以下に基づいて並べ替えられ、インデックスが付けられて保存されます。
- 地域別の売上
- 注文収益
- 注文時間（午前、午後、夕方、夜）
- お客様が使用する端末
- クーポン適用済み
サーチヘッド
検索ヘッドは、情報収集やレポート作成に使用されます。
マクドナルドはこれを用いて以下の質問に答えた。
- どの販売オファーがどの地理的場所で最も効果的ですか?
- 顧客行動は注文収益にどのような影響を与えるのか？
- ハンバーガーやコンボのオファーを適用するのに最適な時期はいつですか?
Splunk はどのように役に立ったのでしょうか?
- 特定の地域からのすべての注文をリアルタイムで表示しました。
- さまざまなプロモーションキャンペーンがリアルタイムでどのような成果を上げたかを分析した。
- マクドナルドの社内POSシステムのパフォーマンスを監視した。
- 従業員に顧客からのフィードバックを監視させ、顧客の期待を理解させましょう。
- 様々な決済方法の速度を分析した。
- エラーのない支払い方法を特定しました。
Splunk 使用のベスト プラクティス
- 迅速にテストを実行できるように、まずインデックスをテストしてください。
- インデックス作成時にキーフィールドを正しく設定してください。それ以外の項目は、インデックス作成後にのみ作成または変更できます。
- Splunkではイベントの区切りが自動的に行われるため、各イベントの開始と終了が正しく検出されていることを確認してください。
- Splunkはタイムスタンプを自動的に検出できますが、ログフォーマットが異なるタイムスタンプを使用している場合は、手動で設定してください。
Splunkを使用している有名企業
Splunkを使用している有名な企業には、以下のような企業があります。
- Cisco
- ボッシュ
- IBM
- モトローラ
- ペプシコ
- Adobe
- ビザ
- Adidas
- Salesforce
- Walmart
Splunkの代替案
1) Site24x7のログ管理
Site24x7 インフラストラクチャ全体を対象とした、クラウドベースの集中型ログ管理ツールを提供します。アプリケーションログを自動的に認識し、100種類以上のアプリケーションをすぐに利用できる形でサポートします。
の主な機能 Site24x7のログ管理ツール:
- クラウドプラットフォームのログを含む、100種類以上のログタイプをサポートしています。
- 簡単なカスタマイズで、あらゆるログを容易に管理できます。
- ユーザーフレンドリーな、クエリ言語ベースの検索機能を提供します。
- 幅広いログ形式（JSON、複数行、キーバリュー、XMLなど）に対応しています。
- Clusterパターン類似性に基づいてメッセージを送信します。
- インシデントの自動修復のためのIT自動化機能を提供します。
- 次のようなツールを介してサードパーティアラートを送信します。 Microsoft Teams、ServiceNow、PagerDuty、Opsgenie、Jira、Webhooks、 Zendesk、Zoho Cliq などです。
2) Sumo Logic
Sumo Logic アプリケーションインフラストラクチャの維持管理を支援し、ログデータのリアルタイム検索と分析を容易にします。このツールを使用すると、過去のイベントとリアルタイムのイベントの両方を監視および視覚化できます。
リンクをダウンロード： https://www.sumologic.com/
3) Fluentd
Fluentd は、無料のオープンソースデータ収集ツールです。ログをファイルシステムバッファに保存するため、いつでも取得できます。また、負荷分散や再試行などの機能も備えており、システムの堅牢性を高めています。
リンクをダウンロード： https://www.fluentd.org/
4) ELKスタック
その ELKスタック あらゆるソースからあらゆる形式のデータを取り込み、検索、分析、視覚化することを可能にします。また、サーバーやアプリケーションの問題を特定する際に役立つ、集中ログ機能も備えています。
リンクをダウンロード： https://www.elastic.co/elk-stack
5) ログフェイス
LogFacesは、Splunkの代替となるもう一つのソリューションで、クエリをメールで送信したり、ログデータを社内ネットワークに保存したりできます。使いやすいデスクトップアプリケーションとして提供されています。
リンクをダウンロード： http://www.moonlit-software.com/
Splunk を使用するデメリット
Splunkには多くの長所がある一方で、いくつか注目すべき欠点もある。
- Splunkはデータ量が多い場合、高額になる可能性がある。
- そのダッシュボードは機能的ではあるが、専用のダッシュボードほど効果的とは限らない。 監視ツール.
- 習得には時間がかかります。多層アーキテクチャを採用しているため、習得するにはトレーニングと時間が必要です。
- 検索、特に正規表現や検索構文は理解しにくい場合がある。
