บทช่วยสอน Splunk สำหรับผู้เริ่มต้น: Splunk Tool คืออะไร วิธีใช้?

Splunk คืออะไร

Splunk Splunk คือแพลตฟอร์มซอฟต์แวร์ที่ใช้ในการตรวจสอบ ค้นหา วิเคราะห์ และแสดงภาพข้อมูลที่สร้างโดยเครื่องจักรแบบเรียลไทม์ โดยจะบันทึก จัดทำดัชนี และเชื่อมโยงข้อมูลแบบสตรีมมิ่งไว้ในที่เก็บข้อมูลที่ค้นหาได้ จากนั้นจึงสร้างกราฟ การแจ้งเตือน แดชบอร์ด และภาพแสดงผลต่างๆ เนื่องจากทำให้การเข้าถึงข้อมูลบันทึกและเหตุการณ์ต่างๆ ทั่วทั้งองค์กรเป็นเรื่องง่าย ทีมงานจึงพึ่งพา Splunk สำหรับการวินิจฉัยอย่างรวดเร็ว การตรวจสอบการดำเนินงานด้านไอที และแม้กระทั่งการจัดการข้อมูลและเหตุการณ์ด้านความปลอดภัย (SIEM)

ทำไมเราถึงต้องการ Splunk?

เครื่องมือตรวจสอบ Splunk มีประโยชน์มากมายสำหรับองค์กร ข้อดีหลักของการใช้ Splunk ได้แก่:

• นำเสนอ GUI ที่ได้รับการปรับปรุงให้ดียิ่งขึ้น พร้อมการแสดงผลแบบเรียลไทม์ผ่านแดชบอร์ดแบบโต้ตอบ
• ช่วยลดเวลาในการแก้ไขปัญหาและให้ผลลัพธ์ทันที
• เป็นเครื่องมือที่เหมาะสมอย่างยิ่งสำหรับการวิเคราะห์หาสาเหตุที่แท้จริงของปัญหา
• ช่วยให้คุณสร้างกราฟ การแจ้งเตือน และแดชบอร์ดจากข้อมูลของคุณได้
• ทำให้การค้นหาและตรวจสอบผลลัพธ์ที่ต้องการทำได้ง่ายขึ้น
• ช่วยให้คุณแก้ไขปัญหาความผิดพลาดต่างๆ เพื่อปรับปรุงประสิทธิภาพการทำงาน
• ตรวจสอบตัวชี้วัดทางธุรกิจเพื่อให้คุณสามารถตัดสินใจได้อย่างมีข้อมูลครบถ้วน
• ช่วยให้คุณสามารถรวมเข้าด้วยกันได้ ปัญญาประดิษฐ์ เข้าสู่กลยุทธ์ข้อมูลของคุณ
• รวบรวมข้อมูลเชิงลึกด้านการปฏิบัติงานที่เป็นประโยชน์จากข้อมูลเครื่องจักรของคุณ
• สรุปและรวบรวมข้อมูลสำคัญจากบันทึกต่างๆ
• รองรับข้อมูลเกือบทุกประเภท รวมถึงไฟล์ .csv, JSON และรูปแบบบันทึกข้อมูลทั่วไป (common log formats)
• มอบฟังก์ชันการค้นหา การวิเคราะห์ และการแสดงผลข้อมูลที่มีประสิทธิภาพสำหรับผู้ใช้ทุกประเภท
• สร้างแหล่งเก็บข้อมูลส่วนกลางสำหรับการค้นหาข้อมูล Splunk จากหลายแหล่งข้อมูล

คุณสมบัติของ Splunk

คุณสมบัติหลักของ Splunk ประกอบด้วยสิ่งต่อไปนี้:

• ช่วยเร่งกระบวนการพัฒนาและทดสอบ
• ช่วยให้คุณสร้างแอปพลิเคชันข้อมูลแบบเรียลไทม์ได้
• ช่วยให้คุณสร้างผลตอบแทนจากการลงทุนได้เร็วขึ้น
• รองรับการรวบรวมสถิติและการรายงานที่คล่องตัวด้วยสถาปัตยกรรมแบบเรียลไทม์
• นำเสนอการค้นหา การวิเคราะห์ และการแสดงผลข้อมูลเชิงภาพ ที่ช่วยเพิ่มศักยภาพให้แก่ผู้ใช้ทุกประเภท

ผลิตภัณฑ์สปลังค์

Splunk มีให้เลือกใช้งาน 3 รุ่น โดยแต่ละรุ่นออกแบบมาเพื่อการใช้งานที่แตกต่างกัน:

• Splunk องค์กร
• แสงสปลังค์
• Splunk เมฆ

Splunk องค์กร

Splunk Enterprise Edition เป็นซอฟต์แวร์ที่ใช้กันในธุรกิจไอทีขนาดใหญ่ ช่วยให้คุณรวบรวมและวิเคราะห์ข้อมูลจากแอปพลิเคชัน เว็บไซต์ เซิร์ฟเวอร์ และแหล่งข้อมูลอื่นๆ

Splunk เมฆ

Splunk Cloud เป็นแพลตฟอร์มแบบโฮสต์ที่ให้บริการฟีเจอร์ต่างๆ เช่นเดียวกับเวอร์ชัน Enterprise คุณสามารถขอรับได้โดยตรงจาก Splunk หรือผ่านทาง... แพลตฟอร์มคลาวด์ AWS.

แสงสปลังค์

Splunk Light เป็นเวอร์ชันฟรีที่ให้คุณค้นหา สร้างรายงาน และแก้ไขข้อมูลบันทึกของคุณ มีฟังก์ชันการทำงานที่จำกัดเมื่อเทียบกับเวอร์ชันอื่นๆ และเหมาะสำหรับการใช้งานขนาดเล็ก โดยสามารถจัดทำดัชนีข้อมูลได้สูงสุด 500 MB ต่อวัน

Splunk Archiเทคเจอร์

เมื่อคุณเข้าใจเกี่ยวกับเวอร์ชันต่างๆ แล้ว เรามาดูสถาปัตยกรรมของ Splunk และส่วนประกอบหลักๆ กัน:

ส่วนประกอบพื้นฐานของสถาปัตยกรรม Splunk มีดังต่อไปนี้:

ผู้ส่งต่อสากล (UF)

Universal Forwarder หรือ UF คือเอเจนต์ขนาดเล็กที่ส่งข้อมูลไปยัง Splunk forwarder ที่มีขนาดใหญ่กว่า คุณสามารถติดตั้งบนเครื่องไคลเอ็นต์หรือเซิร์ฟเวอร์แอปพลิเคชันได้ และหน้าที่เดียวของมันคือการส่งต่อข้อมูลบันทึก

ตัวกระจายโหลด (LB)

ตัวจัดการโหลด (Load Balancer) ที่ใช้คือตัวจัดการโหลดเริ่มต้นของ Splunk อย่างไรก็ตาม คุณสามารถใช้ตัวจัดการโหลดที่กำหนดเองได้เช่นกัน

รถขนส่งหนัก (HF)

Heavy Forwarder เป็นส่วนประกอบที่มีขนาดใหญ่กว่า ซึ่งช่วยให้คุณกรองข้อมูลก่อนที่จะส่งต่อไปยังส่วนอื่น ๆ เช่น การรวบรวมเฉพาะบันทึกข้อผิดพลาดเท่านั้น

ทำดัชนี

ตัวจัดทำดัชนีจะจัดเก็บและจัดทำดัชนีข้อมูลที่เข้ามา ซึ่งช่วยปรับปรุงประสิทธิภาพการค้นหาของ Splunk โดยค่าเริ่มต้น Splunk จะจัดทำดัชนีโดยอัตโนมัติโดยใช้ฟิลด์ต่างๆ เช่น โฮสต์ แหล่งที่มา และวันที่และเวลา

หัวค้นหา (SH)

ส่วนหัวการค้นหา (Search Head) ใช้สำหรับรวบรวมข้อมูลเชิงลึกและสร้างรายงาน โดยเป็นส่วนที่ผู้ใช้เขียนคำสั่ง SPL (Search Processing Language) เพื่อสำรวจข้อมูลที่ถูกจัดทำดัชนีไว้

เซิร์ฟเวอร์การปรับใช้ (DS)

เซิร์ฟเวอร์การปรับใช้ช่วยให้คุณปรับใช้การกำหนดค่าต่างๆ ได้ เช่น การอัปเดตไฟล์การกำหนดค่า Universal Forwarder และยังสามารถแชร์การตั้งค่าต่างๆ ระหว่างส่วนประกอบ Splunk หลายตัวได้อีกด้วย

ตัวจัดการใบอนุญาต (LM)

ผู้จัดการใบอนุญาต tracการออกใบอนุญาตแบบ ks นั้นขึ้นอยู่กับปริมาณและการใช้งาน (ตัวอย่างเช่น 50 GB ต่อวัน) Splunk จะตรวจสอบรายละเอียดใบอนุญาตเหล่านี้เป็นประจำ

Splunk ทำงานอย่างไร?

ต่อไปนี้เราจะมาดูวิธีการทำงานของ Splunk โดยติดตามข้อมูลตั้งแต่การรวบรวมไปจนถึงการวิเคราะห์:

ผู้ส่งของ

ตัวส่งต่อข้อมูล (Forwarder) รวบรวมข้อมูลจากเครื่องระยะไกลและส่งต่อไปยังตัวจัดทำดัชนี (Indexer) ในเวลาเกือบเรียลไทม์

ทำดัชนี

ตัวจัดทำดัชนีจะประมวลผลข้อมูลที่เข้ามาแบบเรียลไทม์ และยังจัดเก็บและจัดทำดัชนีข้อมูลลงในดิสก์ด้วย

ค้นหาหัว

ผู้ใช้งานปลายทางโต้ตอบกับ Splunk ผ่านทาง Search Head ซึ่งช่วยให้พวกเขาสามารถค้นหา วิเคราะห์ และแสดงภาพข้อมูลที่จัดทำดัชนีไว้ได้

การประยุกต์ใช้งานของ Splunk

เพื่อให้เห็นภาพการทำงานของ Splunk ได้ชัดเจนยิ่งขึ้น ลองพิจารณาตัวอย่างในโลกแห่งความเป็นจริง ปัญหาคือ: แมคโดนัลด์ไม่มีข้อมูลที่ชัดเจนว่าโปรโมชั่นใดได้ผลดีที่สุด ปัจจัยที่เกี่ยวข้องได้แก่:

• ประเภทของข้อเสนอ (ตัวอย่างเช่น ส่วนลด 20%)
• ความแตกต่างทางวัฒนธรรมในระดับภูมิภาค
• เวลาที่ซื้อ
• อุปกรณ์ที่ลูกค้าใช้
• Revenue สร้างขึ้นตามคำสั่งซื้อ

บริษัทต้องการข้อมูลเชิงลึกเกี่ยวกับพฤติกรรมผู้บริโภคและการตอบสนองของลูกค้า

กระบวนการทั้งหมดนี้ใช้แหล่งข้อมูลสามประเภท:

1. คำสั่งซื้อที่สั่งที่ร้านแมคโดนัลด์
2. คำสั่งซื้อที่ดำเนินการผ่านแอปพลิเคชันมือถือ
3. คำสั่งซื้อที่ดำเนินการผ่านแอปพลิเคชันบนเว็บ

จากนั้นข้อมูลจะไหลจากขั้นตอนหนึ่งไปยังอีกขั้นตอนหนึ่ง ดังแสดงในแผนภาพด้านล่าง

อินพุต

ข้อมูลที่ป้อนเข้ามาจะถูกส่งไปยังขั้นตอนการวิเคราะห์

วจีวิภาค

ในขั้นตอนการแยกวิเคราะห์ ข้อมูลที่เกี่ยวข้องจะถูกแปลงเป็นเหตุการณ์:

• ภูมิภาคของลูกค้า
• Revจัดส่งตามคำสั่งซื้อ
• เวลาที่สั่งซื้อ (เช้า บ่าย เย็น กลางคืน)
• อุปกรณ์ที่ลูกค้าใช้ (มือถือ, คอมพิวเตอร์, แท็บเล็ต)
• ใช้คูปองส่วนลดแล้ว

ขั้นตอนการจัดทำดัชนี

ในขั้นตอนนี้ กิจกรรมจะถูกจัดเรียงและจัดทำดัชนีสำหรับพื้นที่จัดเก็บตาม:

• ยอดขายตามพื้นที่ทางภูมิศาสตร์
• รายได้จากการสั่งซื้อ
• เวลาที่สั่งซื้อ (เช้า บ่าย เย็น กลางคืน)
• อุปกรณ์ที่ลูกค้าใช้
• ใช้คูปองแล้ว

ค้นหาหัว

ส่วนหัวการค้นหา (Search Head) ใช้สำหรับรวบรวมข้อมูลและสร้างรายงาน

แมคโดนัลด์ใช้ข้อมูลนี้เพื่อตอบคำถามต่อไปนี้:

• ข้อเสนอการขายใดทำงานได้ดีที่สุดในที่ตั้งทางภูมิศาสตร์ใด
• พฤติกรรมของลูกค้าส่งผลต่อรายได้จากการสั่งซื้ออย่างไร?
• เวลาไหนดีที่สุดที่จะใช้ข้อเสนอเบอร์เกอร์หรือคอมโบ?

Splunk ช่วยได้อย่างไร?

• แสดงคำสั่งซื้อทั้งหมดที่มาจากภูมิภาคที่กำหนดแบบเรียลไทม์
• วิเคราะห์ประสิทธิภาพของโปรโมชั่นต่างๆ แบบเรียลไทม์
• ตรวจสอบประสิทธิภาพของระบบขายหน้าร้านภายในของแมคโดนัลด์
• ให้พนักงานติดตามความคิดเห็นของลูกค้าและทำความเข้าใจความคาดหวังของลูกค้า
• วิเคราะห์ความเร็วของวิธีการชำระเงินแบบต่างๆ
• ระบุวิธีการชำระเงินที่ปราศจากข้อผิดพลาด

แนวทางปฏิบัติที่ดีที่สุดในการใช้ Splunk

• ทดสอบดัชนีของคุณก่อน เพื่อให้คุณสามารถทำการทดสอบได้อย่างรวดเร็ว
• กำหนดฟิลด์สำคัญให้ถูกต้องตั้งแต่ขั้นตอนการสร้างดัชนี ส่วนฟิลด์อื่นๆ สามารถสร้างหรือแก้ไขได้หลังจากสร้างดัชนีเสร็จแล้วเท่านั้น
• ใน Splunk การแบ่งเหตุการณ์จะเกิดขึ้นโดยอัตโนมัติ ดังนั้นโปรดตรวจสอบให้แน่ใจว่าระบบตรวจจับจุดเริ่มต้นและจุดสิ้นสุดของแต่ละเหตุการณ์ได้อย่างถูกต้อง
• Splunk สามารถตรวจจับการประทับเวลาได้โดยอัตโนมัติ แต่หากรูปแบบบันทึกของคุณใช้การประทับเวลาที่แตกต่างกัน คุณต้องกำหนดค่าด้วยตนเอง

บริษัทชื่อดังที่ใช้ Splunk

บริษัทที่มีชื่อเสียงหลายแห่งที่ใช้ Splunk ได้แก่:

• Cisco
• บ๊อช
• IBM
• โมโตโรล่า
• PepsiCo
• อะโดบี
• วีซ่า
• Adidas
• Facebook
• Salesforce
• Walmart

ทางเลือกอื่นนอกเหนือจาก Splunk

1) Site24x7การจัดการบันทึกของ

Site24x7 นำเสนอเครื่องมือจัดการบันทึกข้อมูลแบบรวมศูนย์บนระบบคลาวด์สำหรับโครงสร้างพื้นฐานทั้งหมดของคุณ โดยจะจดจำบันทึกข้อมูลของแอปพลิเคชันโดยอัตโนมัติ และรองรับแอปพลิเคชันมากกว่า 100 รายการได้ทันที

คุณสมบัติที่สำคัญของ Site24x7เครื่องมือการจัดการบันทึกของ:

• รองรับประเภทบันทึกข้อมูลมากกว่า 100 ประเภท รวมถึงบันทึกข้อมูลจากแพลตฟอร์มคลาวด์
• ช่วยให้จัดการไฟล์บันทึกข้อมูลต่างๆ ได้อย่างง่ายดาย พร้อมการปรับแต่งที่ไม่ซับซ้อน
• นำเสนอระบบค้นหาที่ใช้งานง่าย โดยใช้ภาษาในการค้นหาเป็นหลัก
• รองรับรูปแบบบันทึกข้อมูลที่หลากหลาย (JSON, หลายบรรทัด, คีย์-ค่า, XML และอื่นๆ)
• Clusterส่งข้อความโดยอิงจากความคล้ายคลึงของรูปแบบ
• นำเสนอระบบอัตโนมัติทางด้านไอทีสำหรับการแก้ไขปัญหาเหตุการณ์ต่างๆ โดยอัตโนมัติ
• ส่งการแจ้งเตือนจากบุคคลที่สามผ่านเครื่องมือต่างๆ เช่น Microsoft Teams, ServiceNow, PagerDuty, Opsgenie, จิรา, Webhooks, Zendeskและ Zoho Cliq

เยี่ยมชมร้านค้า Site24x7 >>

---

2) Sumo Logic

Sumo Logic ช่วยให้คุณดูแลรักษาโครงสร้างพื้นฐานของแอปพลิเคชันได้ง่าย และการค้นหาและวิเคราะห์ข้อมูลบันทึกแบบเรียลไทม์ก็ทำได้ง่าย เครื่องมือนี้ช่วยให้คุณตรวจสอบและแสดงภาพเหตุการณ์ทั้งในอดีตและปัจจุบันได้

ดาวน์โหลดลิงค์: https://www.sumologic.com/

---

3) Fluentd

Fluentd เป็นโปรแกรมเก็บรวบรวมข้อมูลแบบโอเพนซอร์สและใช้งานได้ฟรี มันจะบันทึกข้อมูลบันทึกของคุณลงในบัฟเฟอร์ของระบบไฟล์ เพื่อให้คุณสามารถเรียกใช้ได้ทุกเมื่อที่ต้องการ และยังมีคุณสมบัติเพิ่มเติม เช่น การกระจายโหลดและการลองใหม่ เพื่อเพิ่มความเสถียรและความน่าเชื่อถือ

ดาวน์โหลดลิงค์: https://www.fluentd.org/

---

4) ELK Stack

การขอ ELK สแต็ค ช่วยให้ผู้ใช้ดึงข้อมูลจากแหล่งใดก็ได้ ในรูปแบบใดก็ได้ และค้นหา วิเคราะห์ และแสดงผลข้อมูลเหล่านั้นได้ นอกจากนี้ยังมีระบบบันทึกข้อมูลแบบรวมศูนย์ ซึ่งมีประโยชน์ในการระบุปัญหาของเซิร์ฟเวอร์หรือแอปพลิเคชัน

ดาวน์โหลดลิงค์: https://www.elastic.co/elk-stack

---

5) LogFace

LogFaces เป็นอีกทางเลือกหนึ่งของ Splunk ที่ช่วยให้คุณส่งคำถามไปยังอีเมลและเก็บข้อมูลบันทึกไว้ในระบบของคุณเอง โดยมาในรูปแบบแอปพลิเคชันบนเดสก์ท็อปที่ใช้งานง่าย

ดาวน์โหลดลิงค์: http://www.moonlit-software.com/

ข้อเสียของการใช้ Splunk

แม้ว่า Splunk จะมีจุดแข็งหลายประการ แต่ก็มีข้อเสียอยู่บ้างที่ควรทราบ:

• Splunk อาจมีค่าใช้จ่ายสูงหากมีปริมาณข้อมูลจำนวนมาก
• แผงควบคุมของมันใช้งานได้ แต่ไม่ได้มีประสิทธิภาพเท่ากับแผงควบคุมเฉพาะทางบางประเภทเสมอไป เครื่องมือตรวจสอบ.
• การเรียนรู้ค่อนข้างยาก เนื่องจากใช้สถาปัตยกรรมแบบหลายระดับ คุณจึงต้องได้รับการฝึกฝนและใช้เวลาในการเรียนรู้จนเชี่ยวชาญ
• การค้นหาอาจเข้าใจยาก โดยเฉพาะอย่างยิ่งนิพยามปกติและไวยากรณ์การค้นหา

คำถามที่พบบ่อย