전체 글 (116) 썸네일형 리스트형 [ Splunk Search : 사용 사례 ] 생성한 saved search 정보 검색하기 프로젝트 이후에 작성해야 하는 산출물 중에 "시나리오 정의서" 라는 것이 있다. 시나리오를 어떻게 작성했는지에 대해 기술하는 것인데 생성한 시나리오가 한 두 개도 아니고 UI에서 하나 하나 확인하면 화딱지 나니 검색식으로 리스트를 뽑은 후에 간단하게 복붙으로 해결하고 싶을 때 이 방법을 사용한다. 시나리오 정의서는 시나리오 번호 시나리오 제목 시나리오 상세 검색식 설정된 스케쥴 이렇게 다섯가지를 기본으로 작성한다. 사용한 쿼리 | rest /servicesNS/-/search/saved/searches splunk_server=local | rename eai:acl.* as *, action.summary_index.* as * | where app="search" | table title, descr.. [ Splunk Dashboard : 튜닝 ] 검색 결과 없을 때도 대시보드에 오류 안 생기게 하는 꿀 팁 고객사에 나가서 프로젝트를 하다보면 대시보드에 이렇게 한국어로는 '결과를 찾을 수 없습니다.' 영어로는 'No results found'라는 문구가 뜰 때가 있다. 검색 쿼리 조건으로 해당하는 이벤트가 생성되지 않아서 이런 결과가 나오는 것이다. 만약 이런 화면을 보고 싶지 않다면 이벤트가 검색되지 않아도 뭔가의 데이터가 생성되어서 화면으로 나타낼 수 있어야한다. 각 패널이 사용하는 시각화 툴 따라 방법이 좀 달라진다. 첫번째: single value를 사용할 때 일단 single value 시각화란 검색 결과가 수치로 나올 때 그 수치를 보여주는 용도로 사용한다. | appendpipe [ |stats count | where count=0 ] 가정한 문제가 발생했을 때 위와 같은 쿼리를 쿼리 맨 아랫.. [ Splunk Search : 사용 사례 ] splunk command로 가짜 데이터 생성하기 프로젝트를 하다보면 고객사의 상황에 따라 데이터가 많이 없는 경우 검색식이 맞게 작성되었는지 검증하기가 어려운 경우가 있다. 그런 경우 임시 데이터를 직접 splunk command만으로 만들 수가 있다. | makeresults count=30 | bin span=1d _time | streamstats count | eval _time = _time - (count*86400) | fields - count | eval a=round(random()/10000000), username="haley" | eval b=case(a>200,a-200, a>100, a-100, true(), a) | sort - b [ STEP 1 ] makeresults count = 30 다음과 같이 30개의 이벤트가 .. [ Splunk Project : 서버 구축 ] splunk에서 custom app 만들기 앱을 만드는 방법은 2가지가 있다. 1. GUI 환경에서 쉽게 관리 클릭 앱 만들기 클릭 작성 후 저장 2. CLI 환경에서 쉽게 /opt/splunk/bin/splunk create app -template [ barebones | sample_app ] [ Splunk Project : 서버 구축 ] 장비 재부팅 시 splunk 자동 시작 설정 splunk가 설치된 서버를 껐다 켜야하는 경우가 있다. 그러면 그 때마다 splunk를 수동으로 켜줘야 하는데 여간 귀찮은 일이 아니다. 그런 일을 방지하기 위해 우리가 스플렁크 설치 시 설정하는 것이 바로 스플렁크 자동 시작이다. STEP 1 ) CLI 환경에서 명령어를 갈겨준다. /opt/splunk/bin/splunk enable boot-start 이 명령은 root 계정에서 실행해야하고 스플렁크 실행 계정이 root가 아닐 때는 -user 옵션을 적어야 한다. sudo /opt/splunk/bin/splunk enable boot-start -user splunk /etc/init.d 에 splunk라는 실행파일이 생성됨! 성공!! ⭐️ 더 알아보기 ⭐️ 가끔 고객사 서버에서 splunk 계정.. [ Splunk Project : 서버 구축 ] 우분투 리눅스에서 디렉토리 사용자 변경 처음 리눅스 서버에 들어가면 다음과 같이 서버에 로그인 하라고 한다. 그 때 입력한 사용자 이름으로 리눅스 환경을 사용하게 된다. splunk로 로그인 이 상태에서 바로 splunk start 명령을 입력하면 SPLUNK 시작 명령 splunk@sh1:~$ /opt/splunk/bin/splunk start 위처럼 권한 에러가 발생한다 splunk라는 디렉토리가 10777이라는 그룹의 10777이라는 사용자가 생성한 것이라고 나와있음 10777은 splunk 프로그램 자체가 사용하는 사용자와 그룹 코드다. 우리가 문제 없이 스플렁크를 잘 돌리고 싶다면 splunk 디렉토리의 주요 사용자 그룹과 사용자를 변경해줘야함 SPLUNK 디렉토리 사용자그룹 사용자 변경 sudo chown -R splunk:splu.. [Splunk License] Splunk Developer License 받는 법 Splunk Developer 라이선스 개요 splunk enterprise를 설치하면 기본적으로 평가판 라이선스가 설치된다. 위의 평가판 라이선스는 splunk의 기본적인 기능을 사용하는데는 문제가 없지만 분산환경 구축이나 앱 개발을 원할 때는 한계가 있다. 따라서 그런 상황일 때 Splunk Developer 라이선스를 받아야 하는데 이게 고객사이거나 파트너사에 다니는 사원이어야 가능한 것으로 알고 있다 https://dev.splunk.com/enterprise/dev_license#Request-a-Developer-license https://dev.splunk.com/enterprise/dev_license#Request-a-Developer-license dev.splunk.com 개발자 라.. [Splunk License] Splunk Enterprise License Types Splunk Lisence 유형 Splunk SW 라이선스는 사용가능한 기능과 인덱싱할 수 있는 데이터양에 따라 다르게 구매하는 것을 권장한다. 1. Splunk Enterprise 라이선스 가장 일반적인 라이선스 일별 인덱싱 데이터 한도 또는 vCPU 카운트 내에서 여러 Splunk Enterprise 기능을 모두 이용할 수 있음 1) Splunk Enterprise 라이선스 Enterprise 라이선스를 통해 모든 Splunk Enterprise 기능에 액세스할 수 있음 Enterprise 라이선스는 Splunk Enterprise의 단일 인스턴스 및 분산 설치용(클러스터링 가능) 일일 인덱싱 볼륨으로 구매할 수 있음 인프라 기반 라이선스와 스택할 수 없다 라이선스를 스택하여 라이선스 풀에 배정할 수.. 이전 1 2 3 4 5 6 7 ··· 15 다음
