Splunk_NiteX 「ノンテクエンジニアでも、デキる！ログ解析」

Splunk_NiteX 「ノンテクエンジニアでも、デキる！ログ解析」

• 1.
  Splunk niteX @snicker_jp
• 2.
  • 自己紹介 • Splunkとは？ •Splunkとの出会い • 導入編 • 事例 • App お品書き
• 3.
  ・情報システム部門で働いています ・インストールマニアックス ☆インプット IT勉強会によく参加しています！ 見かけたら、声をかけてください ☆アウトプット 「元うなぎ屋」というブログをやっています 自己紹介 @snicker_jp blog
• 4.
  ・私が「実際に使ってみた！」という内容で 話します ・対象者： 私のような「情報システム部門」の人です ・ちなみに私は、コードを一切書けません！ おことわり
• 5.
  • ログの統合基盤 収集、インデックス、検索、レポート、アラートなどの機能を持って います • デスクトップ検索のサーバー版のようなもの 「検索窓」で、いろいろできる、SQLライクなコマンドや関数が使え る •性能監視にも使える Cacti,Nagiosほどではないが、グラフ化を確認することも可能 • ライセンス 機能制限のある「無償版」と有償の「エンタープライズ版」がある Splunkとは？
• 6.
  機能 無償版 有償版 1日に収集できる最大のロ グ容量 500MBライセンスに応じて 検索スケジュールの実行 X 〇 検索や閾値に基づくア ラート X 〇 分散検索、展開サーバ X 〇 アクセス制御と複数ユー ザアカウント X 〇 他のSplunkへのデータ転 送／受信 〇 〇 開発用API 〇 〇 容量制限回数 過去30日に2回まで （3回以上でロック） 過去30日に4回まで （5回以上でロック） ライセンス http://www.splunk.com/view/free-vs-enterprise/SP-CAAAE8W http://www.macnica.net/splunk/test_def.html/ http://splunk.intellilink.co.jp/product/details-3
• 7.
  • エンジニアサポートCROSS 2013(http://www.cross-party.com/) にて、ランチセッションスポンサーとして 講演されていたセッションに参加 • そこで、Splunkも持つポテンシャルを知る ε=(ﾉﾟДﾟ)ﾉ Splunkとの出会い • その場で、展示ブースの営業と会話 私：「LogStorage微妙なんですよね・・・」 営業：「LogStorageなんて相手じゃないですね～」 営業：「まずは無料から簡単にインストールできるので、使ってみてく ださい」 「すぐにきれいなダッシュボード出せますよ。（￣ー+￣）どや」 • そーは、言われてもやってみないとわからない！ ということで、やってみました。
• 8.
  て、事で やってみました！
• 9.
  その顛末をブログに！ • Splunk UniversalForwarder を使って外部サーバーからログを取得する このページだけで、6,000字超！ • Splunk のパスワードリセット方法 • Splunk の通信をSSL対応させてみた
• 10.
  要は、 初期導入でハマったんです・・・ • 初期はデフォルトで、SSL通信構成です！ でも、自分が入れた頃はSSL構成の日本語ドキュメント ない！＞＜ • 初期パスワードの後、入れたパスワード忘れた・・・ (´・ω・｀) •SSL構成のやり方教えてもらったよ！ 出来たよ！でも、社内LANだよ！ｗ 他にも・・・ ・スループット調整 ・sourcetype ・検索コマンド
• 11.
  と、まあこんな事 ありながら 出来ました～ ٩(๑❛ᴗ❛๑)۶
• 12.
  • 「Apps」を使って、構築 「Apps」はSplunkのコミュニティベー スで開発されている 「テンプレート」のようなもの ・データの取り込み対象 ・ソースタイプ ・グラフなどのレポート ・検索テンプレート などが、含まれます。 事例
• 13.
  Splunk Base 「Apps」 http://splunk-base.splunk.com/apps/
• 14.
  •Splunk for Squid •Splunkfor Postfix •*NIX •Google Maps •Search(既定) のURL共有 事例
• 15.
  Client 社内からインターネットへのProxy兆候監視 ☆Splunk for Squid DMZ internet ログ一括収集
• 16.
  ダッシュボード画面 ☆Splunk for Squid
• 17.
  Client 社内Mailサーバーの兆候監視 ・複数台構成の一部 ☆Splunk for Postfix internet ログ一括収集
• 18.
  ダッシュボード画面 ☆Splunk for Postfix ・比較的検索テンプレートが豊富 ・レポートもキレイ！
• 19.
  UNIX系のサーバー状況モニタ ☆ *NIX ・サーバー内で取得 ・一括取得も可能
• 20.
  画面例： ☆*NIX
• 21.
  例： ☆*NIX ・差分表示 ・変更履歴 取得が可能
• 22.
  画面例： 「* | geoipclientip」 MAXMINDのDBを利用 ☆Google Maps
• 23.
  標準App「検索」 ☆ Search 標準機能！
• 24.
  こんな事ありませんか！？ ・業務システム ・振込処理など金銭に係る処理 ・ネットワーク上は誰でもアクセス可能
• 25.
  例：監査対応の月次アクセス監視 金銭が関わるシステムなど こんなことありませんか！？ 報告書 提出 ログ 「grep」 鈴木さん！ いつものお願 いします♡ 出来ました～！ ^^; はい、は～い！ 事務職♡
• 26.
  ちょっと・・・すぐとは言え ・作業止められると、集中力切れるし (´・ω・｀) ・エンジニア休めないよ！(´・ω・｀) それに、 小細工したみたいな 疑いかけられたくないし
• 27.
  それなら、いいのあるわよ！ © 2011 MicrosoftCorporation All Rights Reserved. URL共有機能！☆
• 28.
  例：監査対応の月次アクセス監視 金銭が関わるシステムなど こうなりました！ 報告書 提出 鈴木さん、居ない！ でも、Splunkあるわ！ 画面から取得 事務職♡
• 29.
  ドヤっ！w
• 30.
  デモ
• 31.
  したかったんで すが・・・ 懇親会で！
• 32.
  要は、何を実現したかったか！ • 「一時切り分け」は誰でもできるように！ • それによって、人員が少なくてもデキる！ •工数が減って「ゴール」が一緒ならいいん じゃないか！
• 33.
  困りごと • まだ、 ケーススタディ(検索の保存)が たくさんは用意できてないです。 • まだまだ「検索」について、共有し たいです。 •導入については 「＃Splunk」で検索
• 34.
  Thank you！ ご清聴 ありがとうございました！