Splunk Tutorial för nybörjare: Vad är Splunk Tool? Hur man använder?
David Carter
⚡ Smart sammanfattning
Splunk är en dataplattform som samlar in, indexerar och korrelerar maskingenererad data i realtid, och sedan omvandlar den till sökbara händelser, dashboards, varningar och visualiseringar som stöder övervakning, felsökning, säkerhetsanalys och affärsbeslutsfattande i en hel organisation.
Vad är Splunk?
Splunk är en mjukvaruplattform som används för att övervaka, söka, analysera och visualisera maskingenererad data i realtid. Den samlar in, indexerar och korrelerar strömmande data i ett sökbart arkiv och producerar sedan grafer, varningar, dashboards och visualiseringar. Eftersom det gör logg- och händelsedata lättillgängliga i hela organisationen förlitar sig team på Splunk för snabb diagnostik, övervakning av IT-drift och till och med säkerhetsinformation och händelsehantering (SIEM).
Varför behöver vi Splunk?
Splunks övervakningsverktyg erbjuder många fördelar för en organisation. De främsta fördelarna med att använda Splunk är:
- Levererar ett förbättrat GUI med realtidsinsyn genom interaktiva dashboards.
- Minskar felsöknings- och lösningstiden genom att ge omedelbara resultat.
- Fungerar som ett väl lämpat verktyg för rotorsaksanalys.
- Låter dig generera grafer, varningar och dashboards från dina data.
- Gör det enkelt att söka och undersöka specifika resultat.
- Hjälper dig att felsöka eventuella fel för att förbättra prestandan.
- Övervakar affärsstatistik så att du kan fatta välgrundade beslut.
- Låter dig införliva Artificiell intelligens in i din datastrategi.
- Samlar in användbar operativ information från dina maskindata.
- Sammanfattar och samlar in värdefull information från olika loggar.
- Accepterar nästan alla datatyper, inklusive .csv, JSON och vanliga loggformat.
- Erbjuder kraftfull sökning, analys och visualisering för användare av alla typer.
- Skapar ett centralt arkiv för att söka i Splunk-data från många källor.
Funktioner hos Splunk
De viktigaste funktionerna i Splunk inkluderar följande:
- Accelererar utveckling och testning.
- Låter dig bygga applikationer för realtidsdata.
- Hjälper dig att generera ROI snabbare.
- Stöder agil statistik och rapportering med en realtidsarkitektur.
- Erbjuder sökning, analys och visualisering som ger användare av alla typer möjlighet.
Splunk produkter
Splunk finns i tre olika utgåvor, var och en avsedd för olika användningsnivåer:
- Splunk Enterprise
- Splunk Light
- Splunk Cloud
Splunk Enterprise
Splunk Enterprise-utgåvan används av stora IT-företag. Den hjälper dig att samla in och analysera data från applikationer, webbplatser, servrar och andra källor.
Splunk Cloud
Splunk Cloud är en hostad plattform som erbjuder samma funktioner som Enterprise-versionen. Du kan hämta den direkt från Splunk eller via AWS molnplattform.
Splunk Light
Splunk Light är en gratisversion som låter dig söka, rapportera och ändra dina loggdata. Den har begränsad funktionalitet jämfört med de andra utgåvorna och är bäst för småskalig användning, med indexering av upp till 500 MB data per dag.
Splunk Architecture
Nu när du förstår utgåvorna, låt oss titta på Splunk-arkitekturen och dess huvudsakliga byggstenar:
Följande är de grundläggande komponenterna i Splunk-arkitekturen:
Universalskotare (UF)
Universal Forwarder, eller UF, är en lättviktig agent som skickar data till den tunga Splunk-forwardern. Du kan installera den på en klientdator eller en applikationsserver, och dess enda uppgift är att vidarebefordra loggdata.
Lastbalanserare (LB)
Lastbalanseraren är Splunks standardbalanserare. Den låter dig dock också använda din egen personliga lastbalanserare istället.
Tung skotare (HF)
Den tunga vidarebefordraren är en tyngre komponent som låter dig filtrera data innan den går vidare – till exempel samlar du bara in felloggar.
Indexer
Indexeraren lagrar och indexerar inkommande data, vilket förbättrar Splunks sökprestanda. Som standard indexerar Splunk automatiskt med hjälp av fält som värd, källa samt datum och tid.
Sökhuvud (SH)
Sökhuvudet används för att få information och köra rapporter. Det är här användare skriver SPL-frågor (Search Processing Language) för att utforska den indexerade datan.
Distributionsserver (DS)
Distributionsservern hjälper dig att distribuera konfigurationer – till exempel att uppdatera en Universal Forwarder-konfigurationsfil – och den kan dela inställningar mellan flera Splunk-komponenter.
Licensansvarig (LM)
Licenshanteraren tracks-licensering, som baseras på volym och användning (till exempel 50 GB per dag). Splunk kontrollerar regelbundet dessa licensuppgifter.
Hur fungerar Splunk?
Nu ska vi gå igenom hur Splunk fungerar och följa data från insamling hela vägen till analys:
Speditör
Vidarebefordraren samlar in data från fjärrmaskiner och vidarebefordrar den till indexeraren i nästan realtid.
Indexer
Indexeraren bearbetar inkommande data i realtid. Den lagrar och indexerar även data på disk.
Sökhuvud
Slutanvändare interagerar med Splunk via sökfältet, vilket låter dem söka, analysera och visualisera indexerad data.
Tillämpningar av Splunk
För att se Splunk i praktiken, ta ett exempel från verkligheten. Problemformulering: McDonald's hade ingen tydlig insikt i vilka kampanjerbjudanden som fungerade bäst. Faktorerna som var inblandade inkluderade:
- Erbjudandetyp (till exempel 20 % rabatt)
- Kulturella skillnader på regional nivå
- Inköpstidpunkt
- Enhet som används av kunden
- Revenue genererad per beställning
Företaget behövde insikt i konsumentbeteende och kundrespons.
Hela processen använde tre typer av datakällor:
- Beställningar gjorda på en McDonald's-restaurang
- Beställningar gjorda via mobilapplikationen
- Beställningar gjorda via webbapplikationen
Informationen flödade sedan från ett steg till nästa, som visas i diagrammet nedan.
Ingång
Indata går vidare till parsningsstadiet.
parsing
I parsningsfasen omvandlas relevant data till händelser:
- Kundregion
- Revenue per beställning
- Beställningstid (morgon, eftermiddag, kväll, natt)
- Enhet som används av kunder (mobil, PC, surfplatta)
- Rabattkuponger tillämpade
Indexeringsstadiet
I detta skede sorteras och indexeras händelser för lagring baserat på:
- Försäljning per geografisk plats
- Orderintäkter
- Beställningstid (morgon, eftermiddag, kväll, natt)
- Enhet som används av kunden
- Kupongen tillämpas
Sökhuvud
Sökhuvudet används för att samla in information och köra rapporter.
McDonald's använde den för att besvara följande frågor:
- Vilket säljerbjudande fungerar bäst på vilken geografisk plats?
- Hur förändrar kundbeteendet orderintäkterna?
- Vilken är den bästa tiden att tillämpa hamburgare eller komboerbjudanden?
Hur hjälpte Splunk?
- Visade alla beställningar som kommer från en specifik region i realtid.
- Fastställde hur olika kampanjerbjudanden presterade i realtid.
- Övervakade prestandan hos McDonald's interna kassasystem.
- Låt anställda övervaka kundfeedback och förstå förväntningarna.
- Analyserade hastigheten på olika betalningsmetoder.
- Identifierade felfria betalningsmetoder.
Bästa metoder för att använda Splunk
- Testa ditt index först så att du kan köra tester snabbt.
- Få nyckelfälten rätt vid indexeringstillfället; allt annat kan skapas eller ändras först efter indexering.
- Händelsebrytning sker automatiskt i Splunk, så kontrollera att den korrekt identifierar början och slutet av varje händelse.
- Splunk kan identifiera tidsstämpeln automatiskt, men om ditt loggformat använder en annan tidsstämpel, konfigurera den manuellt.
Kända företag som använder Splunk
Några välkända företag som använder Splunk inkluderar:
- Cisco
- Bosch
- IBM
- Motorola
- PepsiCo
- Adobe
- Visa
- Adidas
- Salesforce
- Walmart
Alternativ till Splunk
1) Site24x7s Logghantering
Site24x7 tillhandahåller ett centraliserat, molnbaserat logghanteringsverktyg för hela din infrastruktur. Det känner automatiskt igen applikationsloggar och levererar färdigt stöd för över 100 applikationer.
Viktiga funktioner i Site24x7s logghanteringsverktyg:
- Stöder över 100 loggtyper, inklusive molnplattformsloggar.
- Möjliggör enkel hantering av alla loggar med enkel anpassning.
- Erbjuder en användarvänlig sökning baserad på frågespråk.
- Stöder ett brett utbud av loggformat (JSON, multiline, key-value, XML med mera).
- Clusters meddelanden baserade på mönsterlikhet.
- Erbjuder IT-automation för automatisk läkning av incidenter.
- Skickar tredjepartsaviseringar via verktyg som Microsoft Teams, ServiceNow, PagerDuty, Opsgenie, Jira, Webhooks, Zendeskoch Zoho Cliq.
2) Sumo Logic
Sumo Logic hjälper dig att underhålla din applikationsinfrastruktur, och det är enkelt att söka och analysera loggdata i realtid. Verktyget låter dig övervaka och visualisera både historiska och realtidshändelser.
Ladda länk: https://www.sumologic.com/
3) Fluentd
Fluentd är en gratis datainsamlare med öppen källkod. Den sparar dina loggar i en FS-buffert så att du kan hämta dem när du vill, och den erbjuder funktioner som lastbalansering och återförsök för ökad robusthet.
Ladda länk: https://www.fluentd.org/
4) ELK-stack
Ocuco-landskapet ELK Stack låter användare hämta data från valfri källa, i valfritt format, och söka, analysera och visualisera den. Den erbjuder centraliserad loggning, vilket är användbart vid identifiering av problem med servrar eller applikationer.
Ladda länk: https://www.elastic.co/elk-stack
5) LogFaces
LogFaces är ett annat Splunk-alternativ som låter dig skicka dina frågor via e-post och lagra loggdata lokalt. Det levereras som en lättanvänd skrivbordsapplikation.
Ladda länk: http://www.moonlit-software.com/
Nackdelar med att använda Splunk
Trots sina styrkor har Splunk några nackdelar värda att notera:
- Splunk kan bli dyrt för stora datamängder.
- Dess instrumentpaneler är funktionella men inte alltid lika effektiva som vissa dedikerade övervakningsverktyg.
- Inlärningskurvan är brant; eftersom den använder en arkitektur i flera nivåer behöver du utbildning och tid för att bemästra den.
- Sökningar kan vara svåra att förstå, särskilt reguljära uttryck och söksyntax.
