스플렁크 한국어 사용자 위키

• Splunk UI Django기반임.

• 인덱스 디렉터리 및 파일의 컬렉션 / 위치 : $SPLUNK_HOME/var/lib/splunk
• 원시 데이터 압축 형 원시 데이터원시 데이터
• 인덱스 파일 원시 데이터, 일부 메타데이터 파일을 가리키는 인덱스
• 버킷 인덱스 디렉터리, 에이지(age)를 기준으로 구성

Types (and flow) : hot → warm → cold → frozen → thawed

• Hot : most recent data, small tsidx files, auto splunk-optimize, searchable
• Warm : older than hot, searchable, bloom filter
• Cold : older than warm, searchable, bloom filter (or replicated data, not necessary searchable)
• Frozen : not searchable, deleted by default (can set “coldToFrozenScript” and/or “coldToFrozenDir” to archive the data)
• Thawed : from frozen (archived), searchable

• 원시데이터
• 필터링 되지 않은 데이터
• 필터링 된 데이터

• 원시 데이터 전송
• 필터링 되지 않은 데이터
• 필터링된데이터전송

(데이터 전달하는 데 필요한 구성 요소만 포함됨)

• CPU에 대한 부하가 적음
• 메모리를 사용이 적음
• 디스크 공간 사용이 작음
• 기본 데이터 전송률은 256Kbps
• 데이터필터링및수정불가
• Heavy Forwarder 같이 Python 번들 버전 없음
• Heavy Forwarder 인스턴스로 변환할 수 없음

• Indexer로 분산 저장 시 사용(필수는 아님)
• Indexer와 Forwarder의 수평확장을 용이하게 함
• 데이터의 분산배포는 Forwarder의 인터벌 타임의 조작을 통해 주기의 조절이 가능함

Splunk는 인덱싱 과정에서 각 이벤트에 대해 host, source 및 sourcetype을 포함한 기본 필드를 추출함

• 데이터가 인덱싱 된 인덱스(DB)의 이름이 표시된 필드
• 모든 이벤트는 기본적으로 main 인덱스(index=“main”)에서 인덱싱 됨
• 검색 예) “index=mosbootcamp*” (와일드카드를 사용 가능)

• 네트워크장치의호스트이름혹은IP주소가표시된필드
• 검색 예) “host=mos*” (와일드카드를 사용 가능)

• 이벤트가시작된파일,스트림또는기타입력의이름이표시된필드
• 데이터생성명령의결과를필터링하기위해사용하거나데이터처리명령의인수로사용가능 * 검색 예) “source=mossplunk*” (와일드카드를 사용 가능)

• 이벤트가 시작된 데이터 입력 형식이 지정된 필드
• 검색 예) “sourcetype=access*” (와일드카드를 사용 가능)

• Unix Time의 이벤트의 타임스탬프를 표시한 필드
• Splunk Web에 이벤트 시간 표시줄 생성

• 이벤트가인덱싱되기전에이벤트의라인의수가표시된필드
• 특정 수의 줄과 일치하는 이벤트를 검색하기 위해 사용하거나 데이터 처리 명령에서 인수로 사용

• admin -> 설치