Table of Contents はじめに Splunk Enterprise がインデックス 処 理 できる 項 データの 取 り 込 みの 開 始 データの 場 所 :ローカルか またはリモートか? フォワーダーを 使 ったデータの 取 り 込 み App を 使 ったデータの 取 り 込 み

Transcription

1 Splunk Enterprise データの 取 り 込 み 作 成 :2014 年 午 後 4 時 11 分 Copyright (c) 2015 Splunk Inc. All Rights Reserved

2 Table of Contents はじめに Splunk Enterprise がインデックス 処 理 できる 項 データの 取 り 込 みの 開 始 データの 場 所 :ローカルか またはリモートか? フォワーダーを 使 ったデータの 取 り 込 み App を 使 ったデータの 取 り 込 み の 設 定 Splunk Enterprise によるデータの 取 り 扱 い (および 活 法 ) Splunk Enterprise へのデータの 取 り 込 み データの 追 加 法 は? データのアップロード データのモニター データ 転 送 [ソースタイプの 設 定 ] ページ データへの 適 切 なソースタイプの 割 り 当 て プレビューするデータの 準 備 イベント データのソースタイプの 表 と 設 定 イベント 処 理 の 変 更 データプレビューと 分 散 Splunk Enterprise 設 定 の 変 更 ファイルやディレクトリからデータを 収 集 ファイルとディレクトリのモニター Splunk Web の 使 CLI の 使 inputs.conf の 編 集 ワイルドカードを 使 った パスの 指 定 ホワイトリストまたはブラックリスト 固 有 の 到 着 データ Splunk Enterprise によるログファイルのローテーションの 取 り 扱 い ネットワーク イベントの 取 得 TCP および UDP ポートからのデータの 取 り 込 み Splunk Enterprise への SNMP イベントの 送 信 Windows データの 取 得 Windows データと Splunk Enterprise について Splunk Enterprise への Windows データの 取 り 込 み リモート Windows データのモニター 法 決 定 の 検 討 事 項 Active Directory のモニター Windows イベントログデータのモニター Windows のファイルシステム 変 更 のモニター WMI ベースのデータのモニター Windows レジストリデータのモニター Windows パフォーマンスのモニター Windows ホスト 情 報 のモニター Windows プリンタ 情 報 のモニター Windows ネットワーク 情 報 のモニター その 他 の 取 り 込 み 法 その 他 の 取 り 込 み 法 FIFO キューからのデータの 取 得 ファイルシステムへの 変 更 のモニター

3 スクリプト を 介 した API や 他 のリモートデータインターフェイ スからのデータの 取 得 crawl を 使 ったモニター 項 の 発 イベント 処 理 の 設 定 イベント 処 理 の 概 要 字 セットのエンコードの 設 定 イベント 改 の 設 定 イベントのタイムスタンプの 設 定 インデックス 作 成 フィールド 抽 出 の 設 定 データの 匿 名 化 タイムスタンプの 設 定 タイムスタンプ 割 り 当 ての 仕 組 み タイムスタンプ 認 識 の 設 定 複 数 のタイムスタンプを 持 つイベントのタイムスタンプ 割 り 当 て の 設 定 タイムスタンプのタイムゾーンの 指 定 インデックス 作 成 パフォーマンス 向 上 のためのタイムスタンプ 認 識 の 調 整 インデックス 作 成 フィールド 抽 出 の 設 定 インデックス 作 成 フィールドの 抽 出 について デフォルトフィールドについて (host source sourcetype など) デフォルトフィールドの 動 的 割 り 当 て インデックス 時 のカスタムフィールドの 作 成 ヘッダーのあるファイルからのデータの 抽 出 ホスト 値 の 設 定 ホストについて Splunk Enterprise サーバーのデフォルトホストの 設 定 ファイル/ディレクトリ のデフォルトホストの 設 定 イベントデータに 基 づくホスト 値 の 設 定 誤 って 割 り 当 てられたホスト 値 の 取 り 扱 い ソースタイプの 設 定 ソースタイプが 重 要 な 理 由 動 ソースタイプ 割 り 当 てに 優 先 する 設 定 ルールベースのソースタイプ 認 識 の 設 定 事 前 定 義 ソースタイプの 覧 イベント 単 位 でのソースタイプに 優 先 する 設 定 ソースタイプの 作 成 ソースタイプ 名 の 変 更 イベントのセグメント 分 割 の 管 理 セグメント 分 割 について イベントデータのセグメント 分 割 の 設 定 Splunk Web でのサーチ 時 セグメント 分 割 の 設 定 データ 取 り 込 みプロセスの 改 善 テスト インデックスを 使 って をテストする データ 損 失 を 防 するための persistent queue の 使 プロセスのトラブルシューティング レシピ フォワーダー ファイルとディレクトリ - ローカル

4 ファイルとディレクトリ - リモート Syslog - TCP/UDP Windows イベントログ - ローカル Windows イベントログ - リモート Windows レジストリ - ローカル Windows パフォーマンスモニタリング - ローカル Windows パフォーマンスモニタリング - リモート Windows Active Directory スクリプト

5 はじめに Splunk Enterprise がインデックス 処 理 できる 項 Splunk Enterprise を 使 するための 最 初 の 作 業 が データを 取 り 込 むことでSplunk Enterprise にデータを 取 り 込 むと 即 座 にインデックスが 作 成 され サーチが 可 能 になりまSplunk Enterprise はインデックス 作 成 機 能 により サーチ 可 能 なフィールドから 構 成 されるイベントにデータを 変 換 しまSplunk がデータのイン デックスを 作 成 する 前 / 後 にさまざまな 処 理 を えまただし 般 的 にはそのような 作 業 は 必 要 ありません 基 本 的 に Splunk Enterprise にデータを 指 すると その 後 データのサーチを 開 始 したり それを 使 ってグラ フ レポート アラート および 他 の 出 を 成 したりすることができま データの 種 類 任 意 のデータを 利 できま 特 に 各 種 IT ストリーミングデータ マシンデータ および 履 歴 データを 得 意 に していまWindows イベントログ Web サーバーログ ライブアプリケーションログ ネットワークフィー ド システム 測 定 基 準 変 更 のモニター メッセージキュー アーカイブファイル その 他 さまざまなデータを 利 できまどのようなデータでも 利 できま 嘘 ではありません Splunk Enterprise にデータのソースを 知 らせてください また ソースに 関 するいくつかの 情 報 も 指 定 しま そのソースが データ となりまSplunk Enterprise は 取 り 込 んだデータのインデックスを 作 成 し それ を 個 別 の 連 のイベントに 変 換 しまそれらのイベントは 即 座 に 表 サーチすることができま 望 み 通 りの 結 果 が 得 られなかった 場 合 は 的 の 結 果 が 得 られるまでインデックス 作 成 処 理 を 調 整 することができま データは Splunk Enterprise インデクサーと 同 じマシン 上 にあっても (ローカルデータ) 他 のマシン 上 にあっ ても (リモートデータ) 構 いません リモートデータは ネットワークフィードを 利 して またはデータのソー スとなるマシン 上 に Splunk Enterprise フォワーダーをインストールして 簡 単 に 取 得 することができま フォワーダーは 軽 量 版 の Splunk で 収 集 したデータをメインとなる Splunk Enterprise インスタンスに 転 送 し まこの Splunk Enterprise インスタンスは 開 け 取 ったデータのインデックス 作 成 やサーチを いまロー カルデータとリモートデータについては データの 場 所 を 参 照 してください 作 業 を 簡 単 に うために Splunk はさまざまな 無 料 の App やアドオン および Windows または Linux 固 有 の データ Cisco セキュリティデータ Blue Coat データなどに 対 応 する 事 前 設 定 されたデータ (データの 取 り 込 み 段 ) を 提 供 していまSplunk Apps からご 分 のニーズに 適 した App やアドオンをお 探 しください Splunk には Web サーバーログ J2EE ログ Windows パフォーマンス 測 定 基 準 など さまざまなデータソー ス のレシピが 意 されていまこれらのデータソースを 利 するには 後 述 するように Splunk Web の [データの 追 加 ] セクションを 使 しま 意 されているデータソースや App がニーズを 満 たしていない 場 合 は Splunk Enterprise の 汎 設 定 機 能 を 使 って 的 のデータソースを 指 定 しまこれらの 汎 データ ソースについては ここを 参 照 してください データ の 指 定 法 新 しい 種 類 のデータを Splunk Enterprise に 取 り 込 むには それに 対 応 する 設 定 を いまデータの 取 り 込 み を 指 定 するには さまざまな 法 がありま App:Splunk には 各 種 データソースを 取 り 込 むための 事 前 設 定 が われている さまざまな App やア ドオンが 意 されていまSplunk の App を 活 して データ 取 り 込 みの 設 定 の 間 を 省 きましょう 詳 細 は App の 使 を 参 照 してください Splunk Web: 部 分 のデータ は Splunk Web のデータ ページから 設 定 できまこの 法 で は GUI を 使 って 取 り 込 むデータを 設 定 できまSplunk ホームまたは [システム] メニューから [デー タの 追 加 ] ページにアクセスすることができま Splunk Web の 使 を 参 照 してください Splunk CLI:CLI (コマンドラインインターフェイス) を 使 って さまざまな 種 類 のデータ 取 り 込 みを 設 定 できま CLI の 使 を 参 照 してください inputs.conf 設 定 ファイル:Splunk Web または CLI を 使 ってデータの 取 り 込 みを 指 定 すると 設 定 内 容 は 設 定 ファイル inputs.conf に 保 存 されま 必 要 に 応 じてこのファイルを 直 接 編 集 することができま 度 なデータ 取 り 込 みを う 場 合 は このファイルを 編 集 しなければならないこともありま inputs.conf の 編 集 を 参 照 してください また フォワーダーを 使 って 他 のマシンのデータをインデクサーに 送 信 する 場 合 フォワーダーのインストール 時 にデータの 取 り 込 みを 指 定 することができま フォワーダーの 使 を 参 照 してください データ 取 り 込 みの 設 定 の 詳 細 は データ の 設 定 を 参 照 してください データソースの 種 類 前 述 のように Splunk は 特 定 のアプリケーションニーズに 固 有 のものを 含 めて あらゆる 種 類 のデータの 取 り 込 みを 設 定 するためのツールを 提 供 していまSplunk は 任 意 のデータ タイプを 設 定 するためのツールも 提 供 していま 般 的 に Splunk のデータ は 以 下 のように 分 類 できま ファイルとディレクトリ ネットワークイベント Windows ソース その 他 のソース ファイルとディレクトリ 多 くの 有 益 なデータが ファイルやディレクトリに 存 在 している 可 能 性 がありま 多 くの 場 合 Splunk 5

6 多 くの 有 益 なデータが ファイルやディレクトリに 存 在 している 可 能 性 がありま 多 くの 場 合 Splunk Enterprise のファイル/ディレクトリのモニター ファイル/ディレクトリのモニター プロセッサを 使 って ファイルやディレクトリからのデー タを 取 得 することができま ファイルとディレクトリのモニターについては ファイルとディレクトリのデータの 取 得 を 参 照 してくださ い ネットワークイベント Splunk Enterprise は 任 意 のネットワークポートからのデータのインデックスを 作 成 することができまたと えば syslog-ng や 他 の TCP 経 由 でデータを 伝 送 するアプリケーションからの リモートデータのインデックスを 作 成 することができまUDP データのインデックスも 作 成 できますが 信 頼 性 の 観 点 から 可 能 な 場 合 は TCP を 使 することをお 勧 めしま SNMP イベント リモートデバイスが 成 したアラートを 受 信 してインデックスを 作 成 することもできま ネットワークポートからデータを 取 得 するには TCP および UDP ポートからのデータの 取 得 を 参 照 してく ださい SNMP データの 取 得 については Splunk への SNMP イベントの 送 信 を 参 照 してください Windows ソース Windows 版 の Splunk Enterprise には さまざまな Windows 固 有 の が 意 されていままた 以 下 のよ うな Windows 固 有 の タイプを 定 義 することもできま Windows イベントログデータ Windows レジストリデータ WMI データ Active Directory データ パフォーマンスモニターデータ 重 要 :Windows 版 以 外 の Splunk Enterprise インスタンス 上 で Windows データのインデックス 作 成 とサーチ を う 場 合 は まず Windows 版 のインスタンスを 使 ってデータを 収 集 する 必 要 がありま 詳 細 は リモート Windows データのモニター 法 決 定 の 検 討 事 項 を 参 照 してください Splunk Enterprise での Windows データの 使 法 の 詳 細 は Windows データと Splunk Enterprise につい て を 参 照 してください その 他 のソース Splunk Enterprise は 他 の 種 類 のデータソースもサポートしていま 例 : 先 れ 先 出 し (FIFO) キュー スクリプト API および 他 のリモートデータインターフェイスやメッセージキューからデータを 取 り 込 みま モジュール Splunk Enterprise フレームワークを 拡 張 する カスタム 機 能 を 定 義 しま 次 の 参 照 先 ここでは Splunk データの 指 定 時 に 検 討 する 必 要 がある 問 題 について 説 明 していきま データの 場 所 リモートデータとローカルデータの 較 およびそれが 影 響 する 事 項 について 説 明 して いま フォワーダーの 使 フォワーダーを 使 ったリモートデータ 収 集 の 簡 素 化 について 説 明 していま App の 使 Splunk App を 使 った Splunk Enterprise へのデータの 取 り 込 みについて 説 明 していま データの 取 り 込 み 法 データソースの 取 得 と 設 定 の 概 要 およびベストプラクティスについて 説 明 し ていま の 設 定 Splunk Enterprise でのデータ の 設 定 法 について 説 明 していま Windows データと Splunk Enterprise について Windows データを Splunk Enterprise に 取 り 込 む 法 の 概 要 を 説 明 していま Splunk Enterprise によるデータの 取 り 扱 い (および 活 法 ) Splunk Enterprise に 取 り 込 んだデー タがどのように 処 理 されるのか そしてデータを 活 するための Splunk の 設 定 について 説 明 していま データの 取 り 込 みの 開 始 Splunk Enterprise へのデータの 取 り 込 みを 開 始 するには [データの 追 加 ] ページで データの 取 り 込 みを 設 定 しま データの 追 加 法 は? を 参 照 してください または お 使 いの OS App (Splunk App for Windows Infrastructure や Splunk App for Unix and Linux) な どの App をダウンロードして 有 効 にすることもできま Splunk Enterprise をインストールして データの 取 り 込 みの 設 定 または App の 有 効 化 を ったら 指 定 され たデータの 保 管 と 処 理 が 即 座 に 開 始 されまその 後 サーチ App (Splunk Web の 開 始 ページである Splunk ホームからアクセス 可 能 ) またはメイン App ページに 移 動 して 収 集 したデータの 詳 細 な 調 査 を 開 始 することが できま 新 しいデータ 取 り 込 みの 追 加 6

7 ここでは 推 奨 する 順 について 説 明 していきま 1. 分 のニーズを 把 握 しまたとえば 以 下 のような 事 項 を 検 討 しま Splunk Enterprise でインデックスを 作 成 するデータは? Splunk がインデックス 処 理 できる 項 を 参 照 してください そのデータ の App があるか? App を 使 ったデータの 取 り 込 み を 参 照 してください データはどこに 存 在 しているか?ローカルか またはリモートか? データの 場 所 を 参 照 してください リモートデータへのアクセスにフォワーダーを 使 するか? フォワーダーを 使 ったデータの 取 り 込 み を 参 照 してください インデックス 作 成 したデータで 何 をするのか? ナレッジ 管 理 マニュアルの Splunk ナレッジとは? を 参 照 してください 2.テスト インデックスを 作 成 し いくつかのデータ 取 り 込 み ( ) を 追 加 しま テスト インデックスの 使 を 参 照 してください テスト データの 量 は 最 低 限 に 抑 えてください テスト インデックスに 追 加 された データは ライセンスの 次 インデックス 作 成 量 の 加 算 対 象 となりま 3.データをテスト インデックスに 送 る 前 にプレビューを い 必 要 に 応 じてデータのインデックス 作 成 法 を 修 正 してください Splunk Enterprise では モニターまたはアップロードにより ファイルから 取 り 込 んだデータ をプレビューすることができま 詳 細 は [ソースタイプの 設 定 ] ページ を 参 照 してください 4.テスト データに 対 して いくつかのサーチを 実 しま 意 図 通 りのデータが 表 されましたか? デフォルト 設 定 でイベントが 正 常 に 処 理 されましたか? データが つからなかったり おかしくなっていたりしませんか? 最 適 な 結 果 が 表 されましたか? 5. 必 要 に 応 じて 意 図 通 りのイベントが 収 集 表 されるように データの 取 り 込 みやイベント 処 理 の 設 定 を 調 整 しまイベント 処 理 の 設 定 法 については このマニュアルの Splunk Enterprise によるデータの 取 り 扱 い を 参 照 してください 6.テスト インデックスからデータを 削 除 して 必 要 に 応 じて 実 際 の 利 を 開 始 しま 法 については イン デックス データの 削 除 とやり 直 し を 参 照 してください 7. 実 際 の 利 準 備 が 完 了 したら デフォルトの main インデックスへのデータの 取 り 込 みを 設 定 します (ここを 参 照 ) 他 にも 追 加 する がある 場 合 は この 作 業 を 繰 り 返 しま 独 のデータを 取 り 込 みますか? Splunk Enterprise は 任 意 の 時 系 列 データのインデックスを 作 成 できるため 般 的 には 追 加 の 設 定 作 業 を う 必 要 はありません 独 のアプリケーションやデバイスからログを 取 得 する 場 合 まずデフォルトの 設 定 での 処 理 を お 試 しください 的 の 結 果 が 得 られない 場 合 は イベントのインデックスが 正 しく 作 成 されるように いくつか の 設 定 を 調 整 することができま 続 する 前 に イベント 処 理 の 概 要 および Splunk Enterprise によるデータのインデックス 作 成 の 仕 組 み を 参 照 し Splunk Enterprise に 正 しくデータの 処 理 を わせるための 知 識 を 確 認 してください いくつかの 検 討 し ておく 必 要 がある 問 題 を 以 下 に しま イベントは 複 数 イベントか? データに 特 殊 な 字 セットが 使 われているか? Splunk Enterprise がタイムスタンプを 正 しく 判 断 できない? データの 場 所 :ローカルか またはリモートか? Splunk Enterprise にデータを 初 めて 取 り 込 む 場 合 ローカル データと リモート データの 違 いは 何 なの か 多 少 混 乱 するかもしれません 新 しいデータ を 設 定 する 場 合 ローカルとリモートの 違 いが 重 要 になりま この 問 題 への 回 答 は 以 下 のようにさまざまな 基 準 に 応 じて 異 なります (ただし これに 限 定 されるものではあり ません) Splunk Enterprise インスタンスが 動 作 しているオペレーティングシステム Splunk Enterprise インスタンスに 直 接 接 続 されているデータストアの 種 類 インデックスを 作 成 するデータを 保 管 するデータストアにアクセスするために 認 証 や 他 の 中 間 ステップを 介 する 必 要 があるかどうか ローカル ローカルリソースは Splunk Enterprise サーバー ( 分 ) が 直 接 アクセスできる 固 定 リソースでまた それ に 保 管 されているデータの 種 類 に 関 わらず 取 り 付 け 接 続 または 他 の 中 間 操 作 ( 認 証 やネットワークドライブ へのマッピングなど) を うことなく システムからリソースを 参 照 利 することができまそのようなリ ソース 上 にデータが 存 在 している 場 合 それは ローカル データとみなされま ローカルデータの 例 を 以 下 に しま デスクトップやラップトップに 取 り 付 けられているハードディスクや SSD システム 起 動 時 にロードされる RAM ディスク リモート 7

8 リモートリソースは 前 述 の 定 義 に 該 当 しない 任 意 のリソースでWindows システムからマップされたネット ワークドライブ Active Directory スキーマ NFS または *nix システム 上 の 他 のネットワークベースのマウント などが これに 該 当 しまこのようなリソースから 収 集 されたデータも リモート とみなされま 例 外 般 的 にリモートとみなされるけれども 実 際 には 違 うリソースも 存 在 していま 以 下 にいくつかの 例 を しま USB や FireWire などの 帯 域 幅 物 理 接 続 経 由 で 常 時 マウントされているボリュームを 持 つマシン コン ピュータはブート 時 にリソースをマウントできるため 理 論 的 には 後 ほどリソースを 切 り 離 せる 場 合 でも このようなリソースはローカルリソースとして 取 り 扱 われま iscsi などの 帯 域 幅 ネットワーク 標 準 規 格 または SAN への 光 接 続 を 介 して 永 久 的 にマウントされるリ ソースを 持 つマシン ローカルのブロックデバイスと 同 程 度 のデータ 量 を 処 理 できる 標 準 規 格 であるため このようなリソースはローカルとみなされま フォワーダーを 使 ったデータの 取 り 込 み フォワーダーは 軽 量 版 の Splunk インスタンスで 収 集 したデータを 処 理 するために Splunk Enterprise インデ クサーに 転 送 することを 的 にしていま 最 低 限 のリソースしか 必 要 とせず パフォーマンス 上 の 影 響 も 少 な いため 般 的 にはデータ 成 元 のマシン 上 に 配 置 されま たとえば 集 中 的 にサーチを 実 したいデータを 成 している 複 数 台 の Apache サーバーがある 場 合 Splunk Enterprise インデクサーをインストールした 後 次 に 各 Apache マシンにフォワーダーを 設 定 することができま 各 フォワーダーは Apache データを 収 集 して それをインデクサーに 送 信 しまインデクサーは 受 け 取 っ たデータを 統 合 して 保 管 し サーチが 可 能 な 状 態 にしま 消 費 リソースが 少 ないため フォワーダーが Apache サーバーのパフォーマンスに 与 える 影 響 を 最 低 限 に 抑 えられま 同 様 に 従 業 員 の Windows デスクトップにフォワーダーをインストールすることもできまこれらのフォワー ダーはログや 他 のデータを 集 中 管 理 Splunk Enterprise インスタンスに 送 信 しまそのデータを 利 して マルウェアがないかどうか または 他 の 問 題 が 発 していないかどうかを 追 跡 することができま フォワーダーが う 作 業 フォワーダーを 使 って リモートマシンからデータを 取 得 することができまフォワーダーは 以 下 のような 機 能 により ネットワークから raw データを 供 給 するよりも 幅 に 堅 牢 なソリューションを 実 現 していま メタデータのタグ 設 定 (ソース ソースタイプ ホスト) 設 定 可 能 なバッファ データ 圧 縮 SSL セキュリティ 利 可 能 な 任 意 のネットワークポートの 使 ローカルにスクリプト の 実 フォワーダーは 他 の Splunk Enterprise インスタンスと 同 じ 法 でデータを 収 集 しまインデクサーと 完 全 に 同 じタイプのデータを 処 理 できま 違 いは 般 的 にフォワーダー 体 がインデックスを 作 成 することはないこ とで 単 純 にデータを 取 得 して それをインデクサーに 送 信 しまインデクサーがインデックスの 作 成 とサー チを 担 当 しま 単 のインデクサーで 複 数 のフォワーダーから 転 送 されるデータを 処 理 することができま フォワーダーの 詳 細 は データの 転 送 マニュアルを 参 照 してください 半 の Splunk Enterprise デプロイ 環 境 では フォワーダーは 主 なデータ 収 集 役 を 果 たしていまインデク サーは 単 マシンのデプロイ 環 境 でのみ 主 なデータ 収 集 役 にもなりま 規 模 な Splunk Enterprise デプロ イ 環 境 では 数 百 台 または 数 千 台 ものフォワーダーがデータを 収 集 して それを 連 のインデクサーグループに 転 送 することもありま フォワーダー の 設 定 法 Splunk Enterprise の 軽 量 版 インスタンスであるフォワーダーは 設 計 上 機 能 が 限 定 されていまたとえば 半 のフォワーダーには Splunk Web が 含 まれていません そのため 直 接 UI にアクセスしてフォワーダーの データ 取 り 込 みを 設 定 することはできません ここでは フォワーダーのデータ 取 り 込 みを 設 定 する 主 な 法 につ いて 説 明 していきま 初 期 デプロイ 時 にデータの 取 り 込 み ( ) を 指 定 する Windows フォワーダーの 場 合 インストール 時 に 般 的 なデータ 取 り 込 みを 指 定 することができま*nix フォワーダーの 場 合 インストール 後 にデータの 取 り 込 みを 指 定 できま CLI を 使 する inputs.conf を 編 集 する 的 のデータ 取 り 込 み 機 能 がある App をデプロイする テスト の 完 全 版 Splunk Enterprise インスタンスで Splunk Web を 使 ってデータの 取 り 込 みを 設 定 し その 結 果 成 された inputs.conf ファイルをフォワーダーに 配 布 する その 他 の 参 考 情 報 使 事 例 般 的 なトポロジー および 設 定 も 含 めたフォワーダーの 詳 細 は データの 転 送 マニュアルの 転 送 と 受 信 について を 参 照 してください デプロイサーバーを 使 った 設 定 ファイルや App の 複 数 フォワーダーへの 配 布 法 を 含 めた フォワーダーデプ ロイの 詳 細 は データの 転 送 マニュアルの ユニバーサルフォワーダーのデプロイの 概 要 を 参 照 してくださ い リモート Windows データをモニターするためのフォワーダーの 使 法 については リモート Windows デー タのモニター 法 を 決 定 するための 検 討 事 項 を 参 照 してください 8

9 App を 使 ったデータの 取 り 込 み Splunk には Splunk Enterprise の 機 能 を 拡 張 強 化 するためのさまざまな App やアドオンが 提 供 されていま App により Splunk Enterprise へのデータの 取 り 込 みプロセスが 簡 単 になりま 特 定 の 環 境 やアプリ ケーション 向 けのデータ 取 り 込 みを 分 で 設 定 する 代 わりに データの 取 り 込 みがすでに 設 定 されている App を 探 して 使 することもできまSplunk Apps からApp をダウンロードしま 般 的 に App は 特 定 のデータタイプを 対 象 にしており デート 取 り 込 みの 設 定 から 有 益 なデータビューの 成 ま でさまざまな 機 能 が 意 されていまたとえば Splunk App for Windows Infrastructure は Windows サー バーおよびデスクトップの 管 理 に データの 取 り 込 み サーチ レポート アラート およびダッシュボード 機 能 を 提 供 していまSplunk App for Unix and Linux は UNIX/Linux 環 境 向 けに 同 様 の 機 能 を 提 供 していま 特 定 のタイプのアプリケーション データを 処 理 する 幅 広 い App が 存 在 していま 以 下 に 例 を しま Splunk App for Blue Coat ProxySG Splunk App for F5 Splunk App for Cisco Security Splunk App for Websphere Application Server Splunk Apps に 直 接 移 動 して 各 種 App をダウンロードすることもできまSplunk Apps には 頻 繁 に 新 しい App が 追 加 されるため 定 期 的 に 確 認 してください 重 要 :Splunk Web がプロキシサーバーの 背 後 にある 場 合 は Splunk Enterprise 内 からの Splunk Apps へのア クセス 時 に 問 題 が 発 する 可 能 性 がありまこの 問 題 を 解 決 するには 管 理 マニュアル の プロキシ サー バーの 指 定 を 参 照 してください 般 的 な App についての 情 報 は 管 理 マニュアル の App とアドオンとは を 参 照 してください 特 に そ の 他 の App やアドオンの 場 所 には App のダウンロードとインストール 法 が 記 載 されていま 独 の App の 作 成 法 については Developing Views and Apps for Splunk Web マニュアルを 参 照 してく ださい の 設 定 Splunk Enterprise に 新 しいタイプのデータを 追 加 するには データに 関 するいくつかの 事 項 を 設 定 しまその ためには データ ( 取 り 込 み 法 ) を 設 定 しまデータ を 設 定 するために さまざまな 法 が 意 され ていま App:Splunk には 各 種 データを 取 り 込 むために が 事 前 設 定 されているさまざまな App が 意 さ れていまSplunk の App を 活 して データ 取 り 込 みの 設 定 の 間 を 省 きましょう 詳 細 は App を 使 ったデータの 取 り 込 み を 参 照 してください Splunk Web: 部 分 のデータ は Splunk Web のデータ ページから 設 定 できまこの 法 で は GUI を 使 って 取 り 込 むデータを 設 定 できまSplunk ホームから [データの 追 加 ] ページにアクセス することができままた [システム] を 使 って 新 たな を 追 加 したり 既 存 の を 管 理 したりするこ ともできままた ファイルをアップロードまたはモニターする 場 合 データをインデックスに 書 き 込 む 前 に ファイルをプレビューしてインデックスの 作 成 法 を 調 整 することができま Splunk コマンド ライン インターフェイス (CLI) の 使 :CLI を 使 って 部 分 のデータ 取 り 込 み を 設 定 できま inputs.conf 設 定 ファイル:Splunk Web または CLI を 使 ってデータの 取 り 込 みを 指 定 すると 設 定 内 容 は 設 定 ファイル inputs.conf に 保 存 されま 必 要 に 応 じてこのファイルを 直 接 編 集 することができま 度 なデータ 取 り 込 みを う 場 合 は このファイルを 編 集 しなければならないこともありま また フォワーダー フォワーダーを 使 って 他 のマシンのデータをインデクサー インデクサーに 送 信 するように 設 定 する 場 合 フォワーダー のインストール 時 にデータの 取 り 込 みを 指 定 することができま フォワーダーを 使 ったデータの 取 り 込 み を 参 照 してください このトピックでは Splunk Web CLI または inputs.conf を 使 って 分 でデータ を 設 定 する 法 について 説 明 していきま Splunk Web の 使 データ は Splunk ホーム または [システム] から 追 加 することができま Splunk ホームから [データの 追 加 ] を 選 択 しま[データの 追 加 ] ページが 表 されまこのページ には さまざまな タイプ 向 けのリンクが 記 載 されていまこれを 使 ってデータ を 追 加 するのが もっとも 簡 単 な 法 で データの 追 加 法 は? を 参 照 してください Splunk Web の 任 意 の 場 所 から [システム] を 選 択 しま 次 に [システム] ポップアップの [データ] か ら [データ ] を 選 択 しまこの 操 作 で 表 されるページから 既 存 のデータ の 表 管 理 およ び 新 しいデータ の 追 加 を えま [データの 追 加 ] ページには データを 取 り 込 むための 3 種 類 のオプション [アップロード] [モニター] および [ 転 送 ] がありまそれぞれのアイコンをクリックすると アップロード モニター または 転 送 するデータを 定 義 することができま Splunk Web を 使 ったデータ の 詳 細 は このマニュアルの 後 半 にある 特 定 の に 関 する 説 明 を 参 照 して ください たとえば Splunk Web を 使 ったネットワーク の 設 定 法 を 学 習 するには TCP/UDP ポート からのデータの 取 り 込 み を 参 照 してください 半 の は Splunk Web を 使 って 設 定 できま タイプが 少 ない 場 合 は inputs.conf を 直 接 編 集 する 必 要 9

10 がありままた 他 の タイプに 対 して 度 な 設 定 を う 場 合 も inputs.conf を 編 集 する 必 要 がありま Splunk Web を 使 って を 追 加 した 場 合 その は 現 在 使 している App に 所 属 する inputs.conf のコピー に 追 加 されまこの 点 についても 考 慮 が 必 要 でたとえば [サーチ] ページから [システム] に 直 接 移 動 して を 追 加 した 場 合 その は $SPLUNK_HOME/etc/apps/search/local/inputs.conf に 追 加 されまデータ を 追 加 する 際 には 分 が 的 の App 内 にいることを 確 認 してください 設 定 ファイルの 仕 組 みの 詳 細 につい ては 設 定 ファイルについて を 参 照 してください CLI の 使 Splunk CLI を 使 って 部 分 の を 設 定 することができまUNIX/Windows コマンドプロンプトから $SPLUNK_HOME/bin/ ディレクトリに 移 動 して./splunk コマンドを 使 しまたとえば 以 下 のコマンドを 実 す ると データ として /var/log/ が 追 加 されま./splunk add monitor /var/log/ 何 か 分 からないことがある 場 合 Splunk CLI にはヘルプが 意 されていまCLI コマンドの 覧 を 表 するに は 以 下 のコマンドを しま./splunk help commands 各 コマンドには それぞれ 独 のヘルプページが 意 されていま 参 照 するには 次 のように します:./splunk help <command> CLI を 使 った 特 定 の の 設 定 については このマニュアルの 適 切 な に 関 する 説 明 を 参 照 してください たと えば CLI を 使 ったネットワーク の 設 定 法 を 学 習 するには CLI を 使 ったネットワーク の 追 加 を 参 照 してください CLI に 関 する 全 般 的 な 情 報 については 管 理 マニュアル の CLI について および 他 の 関 連 するトピックを 参 照 してください inputs.conf の 編 集 inputs.conf を 編 集 して 直 接 を 追 加 するには その のスタンザを 設 定 しまスタンザ は $SPLUNK_HOME/etc/system/local/ 内 または ($SPLUNK_HOME/etc/apps/<app name>/local 内 の) 独 のカスタム App ディレクトリ 内 の inputs.conf ファイルに 追 加 しまSplunk の 設 定 ファイルで 初 めて 作 業 を う 場 合 は 事 前 に 設 定 ファイルについて を 参 照 してください データ を 設 定 するには スタンザに 属 性 / 値 のペアを 追 加 しま スタンザには 複 数 の 属 性 を 設 定 できま 属 性 の 値 を 指 定 しない 場 合 は $SPLUNK_HOME/etc/system/default/inputs.conf に 定 義 されているデフォルト 値 が 使 されま ネットワーク を 追 加 する 簡 単 な 例 を 以 下 に しまこの 設 定 は 任 意 のリモートサーバーからの raw デー タを TCP ポート 9995 で 待 ち 受 けるように Splunk Enterprise に 指 していまSplunk Enterprise は リ モート サーバーの DNS 名 を 使 ってデータのホストを 設 定 しまソースタイプ log4j およびソース tcp:9995 をデータに 割 り 当 てま [tcp://:9995] connection_host = dns sourcetype = log4j source = tcp:9995 特 定 の の 設 定 法 については このマニュアルのその に 関 する 説 明 を 参 照 してください たとえば ファ イル の 設 定 法 については ここを 参 照 してください 各 データ のトピックには その で 利 できる 主 な 属 性 が 説 明 されていま 利 可 能 な 属 性 の 完 全 な 覧 については inputs.conf spec ファイルを 参 照 する 必 要 がありまspec ファイルには 属 性 の 詳 細 な 説 明 が 記 載 されていま 複 数 の 例 を 含 むファイルも 存 在 していま ソース タイプについて データ 取 り 込 み 処 理 の 環 として Splunk Enterprise はデータにソースタイプを 割 り 当 てまソースタイプ はデータのフォーマットを していまインデックス 作 成 時 に Splunk Enterprise はソースタイプを 使 し て イベントを 正 しくフォーマットしま 通 常 Splunk は どのソースタイプを 割 り 当 てるのかを 理 解 していま たとえば syslog データにはソースタイプ syslog が 割 り 当 てられま 特 定 の に Splunk Enterprise が 割 り 当 てるソースタイプに 不 満 がある 場 合 は 別 のソースタイプを 指 定 することができます ( 事 前 定 義 されているソースタイプまたは 分 で 作 成 したソースタイプ) ソースタイプは の 設 定 時 に 設 定 しま 設 定 法 は このトピックで 説 明 していま ソースタイプの 詳 細 は ソースタイプが 重 要 な 理 由 を 参 照 してください 動 ソースタイプ 割 り 当 てに 優 先 する 設 定 には ソースタイプ 割 り 当 てオプションが 詳 細 に 説 明 されていま イベント 単 位 でのソースタイプの 設 定 法 については 度 なソースタイプの 上 書 き を 参 照 してください Splunk Enterprise によるデータの 取 り 扱 い (および 活 法 ) 10

11 Splunk Enterprise は 任 意 の 種 類 のデータを 取 り 込 んで それのインデックスを 作 成 し イベントに 変 換 しま イベントは 有 益 でサーチ 可 能 な 情 報 で 以 下 のデータパイプラインは インデックス 作 成 時 のデータ 処 理 の 主 な 流 れを 表 していまこれらのプロセスが イベント 処 理 を 構 成 していまデータが 処 理 されてイベン トに 変 換 されたら イベントをナレッジオブジェクトと 関 連 付 けて 有 性 をさらに 向 上 することができま データパイプライン Splunk Enterprise に 取 り 込 まれた 連 のデータは それをサーチ 可 能 なイベントに 変 換 する データパイプライ ンを 通 過 しまデータパイプラインの 主 要 なステップを 以 下 の 図 に しま データパイプラインの 概 要 については 分 散 デプロイ マニュアルの Splunk Enterprise 内 でのデータの 移 動 を 参 照 してください Splunk Enterprise はイベント 処 理 時 に ほぼすべてのタイプのデータを 適 切 に 認 識 し 有 益 でサーチ 可 能 なイベ ントに 変 換 するための 処 理 を いまただし データの 種 類 やデータから 抽 出 したい 情 報 によっては イベント 処 理 の 部 のステップを 調 整 しなければならないこともありま イベント 処 理 イベント 処 理 は パーシングとインデックス 作 成 の 2 つのステージに 分 かれて われまSplunk Enterprise に 取 り 込 まれるデータはすべて きなデータの 塊 (チャンク) としてパーシングパイプラインを 通 過 しま パーシング 中 に これらのチャンクはイベントに 分 割 されま 分 割 されたイベントは インデックス インデックス 作 成 パイ プラインに 渡 されて 最 終 処 理 が われま パーシングおよびインデックス 作 成 の 両 の 段 階 で Splunk Enterprise はデータを 処 理 し さまざまな 法 で 変 換 を いまこれらのプロセスの 半 は 設 定 を 変 更 することができ ニーズに 合 わせて 処 理 を 調 整 することがで きま 以 降 の 説 明 でリンクをクリックすると これらのいずれかのプロセスの 説 明 と 設 定 法 に 関 する 情 報 を 記 載 したトピックに 移 動 しま パーシング 中 Splunk Enterprise はさまざまなアクションを 実 しま 以 下 に 例 を しま 各 イベントに 対 して host source および sourcetype などの 連 のデフォルトフィールドを 抽 出 する 11

12 字 セットのエンコードを 設 定 する 分 割 ルールを 使 って の 終 端 を 識 別 する 半 のイベントは 短 く 1 2 程 度 ですが 中 には いイベン トも 存 在 していまSplunk Web の [ソースタイプの 設 定 ] ページを 使 って 対 話 的 に の 終 端 設 定 を 変 更 することもできま タイムスタンプを 識 別 する また 存 在 しない 場 合 は 作 成 する タイムスタンプ 処 理 と 同 時 に イベント 境 界 の 識 別 が われまタイムスタンプの 設 定 は [ソースタイプの 設 定 ] ページを 使 って 対 話 形 式 で うこ ともできま このステージで 重 要 なイベントデータ (クレジットカード 情 報 や 社 会 保 障 番 号 など) をマスクするように Splunk Enterprise を 設 定 することができままた 受 信 したイベントにカスタムメタデータを 適 する ように 設 定 することもできま インデックス 作 成 パイプラインでは 以 下 のような 追 加 処 理 が われま すべてのイベントを サーチ 可 能 なセグメントに 分 割 する セグメント 分 割 のレベルを 指 定 することができ まセグメント 分 割 レベルは インデックス 作 成 およびサーチ 速 度 サーチ 能 およびディスクの 圧 縮 効 率 に 影 響 しま インデックスデータ 構 造 を 作 成 する raw データとインデックスファイルをディスクに 書 き 込 む ディスクでは インデックス 作 成 後 の 圧 縮 処 理 が われま パーシングおよびインデックス 作 成 パイプラインの 違 いは 主 にフォワーダーに 影 響 してきまヘビーフォワー ダーは ローカルにデータの 完 全 パーシングを い パーシングされたデータをインデクサーに 転 送 できまイ ンデクサーは 最 終 的 なインデックス 作 成 作 業 を いま ユニバーサルフォワーダーでは 最 低 限 のパーシン グ 処 理 を った 後 にデータを 転 送 しま 部 分 のパーシング 処 理 は 受 信 側 のインデクサーで われま イベントおよび 処 理 の 詳 細 は このマニュアルの イベント 処 理 の 概 要 を 参 照 してください インデックス 作 成 パイプラインの 詳 細 を 表 した 図 とインデックス 作 成 の 仕 組 みについては Community Wiki の How Indexing Works を 参 照 してください イベントの 強 化 と 調 整 データがイベントに 変 換 されたら それをイベントタイプ フィールド 抽 出 および 保 存 済 みサーチなどのナレッ ジオブジェクトに 関 連 付 けて 有 性 を 強 化 することができまSplunk ナレッジの 管 理 の 詳 細 は ナレッジ 管 理 マニュアルの Splunk のナレッジとは? を 参 照 してください Splunk Enterprise へのデータの 取 り 込 み データの 追 加 法 は? 最 新 版 の Splunk Enterprise では データをとても 簡 単 に 追 加 できるようになりました 適 切 な 権 限 を 持 つユー ザーとしてログインしたら 新 しい 順 に 1 クリックでアクセスできまこのトピックは 更 新 された 順 と 前 の 順 からの 変 更 について 説 明 していま データを Splunk に 取 り 込 むためのチュートリアルについては サーチ チュートリアル を 参 照 してくださ い 新 しい [データの 追 加 ] ページ Splunk Enterprise にログインすると 更 新 されたホーム ページが 表 されま データを 追 加 するには ページの 中 央 左 (App リストの 右 ) にある 緑 の [データの 追 加 ] ボタンをクリックしま [データの 追 加 ] ページが 表 されま システム バーの [ 設 定 ] メニューをクリックして [データの 追 加 ] ページを 表 することもできまメニュー が 表 された 時 [データの 追 加 ] ボタンは 左 側 にありま 12

13 このページには Splunk Enterprise インスタンスにデータを 取 り 込 むための 3 つのオプション [アップロー ド] [モニター] [モニター] および [ 転 送 ] が 表 されま アップロード [アップロード] オプションでは インデックスを 作 成 するために Splunk Enterprise にファイルまたはファイル のアーカイブをアップロードすることができま[アップロード] ボタンをクリックすると アップロード プロ セスを 開 始 するページが 表 されま データのアップロード を 参 照 してください モニター [モニター] オプションでは 1 つまたは 複 数 のファイル ディレクトリ ネットワーク ストリーム スクリプ ト イベント ログ (Windows システムのみ) または Splunk Enterprise インスタンスがアクセスできる 他 のタ イプのマシン データをモニターすることができま[モニター] ボタンをクリックすると モニター プロセス を 開 始 するページが 表 されま データのモニター を 参 照 してください 転 送 [ 転 送 ] オプションでは フォワーダー フォワーダーからこの Splunk Enterprise インスタンスにデータを 取 り 込 むことができ ま[ 転 送 ] ボタンをクリックすると フォワーダーからのデータ 収 集 プロセスを 開 始 するページが 表 されま データの 転 送 を 参 照 してください 重 要 :このオプションを 使 する 前 に 追 加 の 設 定 を う 必 要 がありまこれは 単 インスタンス 環 境 での み 使 してください データのインデックスを 作 成 する 複 数 の Splunk Enterprise インスタンスがある 場 合 は データの 転 送 マニュアルの データの 転 送 と 受 信 について を 参 照 してください データのアップロード このトピックは [データの 追 加 ] ページで [アップロード] ボタンを 選 択 した 場 合 に 表 されるページについて 説 明 していま [アップロード] ページ [アップロード] ページには 以 下 の 項 が 表 されま このページでは 以 下 のいずれかの 法 を 使 って データを Splunk Enterprise にアップロードできま 13

14 または Splunk Enterprise にインデックスを 作 成 させるファイルをデスクトップからドラッグして このページの [ここにデータ ファイルをドラッグ アンド ドロップしてください] 領 域 にドロップしま 画 左 上 の [ファイルの 選 択 ] ボタンをクリックして ダイアログ ボックスを 表 し インデックスを 作 成 するファイルを 選 択 しま ファイルがロードされ ファイルのタイプに 応 じて 処 理 が われまロードが 完 了 したら 右 上 の [ 次 へ] ボタ ンをクリックして 次 のステップ [データの 追 加 ] に 進 みま データのモニター このトピックは [データの 追 加 ] ページで [モニター] ボタンを 選 択 した 場 合 に 表 されるページについて 説 明 し ていま [モニター] ページ [モニター] ページには 以 下 の 項 が 表 されま このページでは Splunk Enterprise にモニターさせるデータのタイプを 選 択 できまデフォルトの が 最 初 に 表 されまデフォルトの の 下 には 転 送 されている が 表 されまその 下 には インスタンスに インストールされているモジュール が 表 されま データをモニターするには 以 下 の 順 に 従 ってください 1. 画 の 左 側 でソースを 1 回 クリックして 選 択 しま 選 択 したソースに 応 じて 残 りのページにはそれに 合 わせた 内 容 や 項 が 表 されまたとえば [ファイ ルとディレクトリ] を 選 択 した 場 合 ページにはファイル/ディレクトリ 名 を するためのフィールド お よびファイル/ディレクトリのモニター 法 を 指 定 する 項 などが 表 されま 注 意 :Splunk Enterprise には モニターできるソースのみが 表 されま 詳 細 は データ ソースの 覧 を 参 照 してください モニターする 的 のデータ ソースが 表 されない 場 合 は 以 下 のような 理 由 が 考 えら れま 部 のデータ ソースは 特 定 のオペレーティング システムでのみ 利 できまたとえば Windows データ ソースを *nix 上 で 動 作 している Splunk Enterprise インスタンスで 利 することはできません ( 逆 も 同 様 ) Splunk Enterprise にログインしているユーザーが データの 追 加 またはそのデータ ソースを 参 照 する 権 限 を 持 っていない 可 能 性 がありま 2. 画 に 表 される 指 に 従 って モニターするソース オブジェクトの 選 択 を 完 了 しま 3. 右 上 の [ 次 へ] ボタンをクリックして 次 のステップ [データの 追 加 ] に 進 みま データ 転 送 このトピックは [データの 追 加 ] ページで [ 転 送 ] ボタンを 選 択 した 場 合 に 表 される [フォワーダーの 選 択 ] ペー ジについて 説 明 していま 重 要 :インデクサーおよびデプロイ サーバーとして 動 作 している 単 の Splunk Enterprise インスタンスがあ る 場 合 にのみ このページを 使 してください インデックスの 作 成 を 担 当 する 複 数 のサーバーがある 場 合 は Splunk Enterprise インスタンスの 更 新 マニュアルの デプロイ サーバーとフォワーダー 管 理 について を 参 照 してください [フォワーダーの 選 択 ] ページ [ 転 送 ] ページには 以 下 の 項 が 表 されま 14

15 このページでは データを 受 信 するためにサーバー クラスを 定 義 して それらのクラスにフォワーダーを 追 加 しま このページには すでにデータの 転 送 を 設 定 し このインスタンスのデプロイ クライアントとして 動 作 するよう に 設 定 されたフォワーダーのみが 表 されまフォワーダーの 設 定 が われていない 場 合 は 設 定 するように 要 求 するメッセージが 表 されま リストにフォワーダーが 表 されるようにするには 以 下 の 作 業 が 必 要 で フォワーダーをデプロイ クライアントとして 設 定 する 必 要 がありまこうすると デプロイ サー バーがフォワーダーの 設 定 を 管 理 できるようになりま 詳 細 は Splunk Enterprise インスタンスの 更 新 マニュアルの デプロイ クライアントの 設 定 を 参 照 してください フォワーダーは デプロイ サーバーと 正 常 に 接 続 できる 必 要 がありま リストにフォワーダーが 表 されたら データを 追 加 するためにそれの 設 定 を いま 1.[サーバー クラスの 選 択 ] で 表 されているいずれかのオプションを 選 択 しま [ 新 規 ]:サーバー クラスを] 定 義 していない 何 らかの 理 由 で 新 しいサーバー クラスを 作 成 したい また は 既 存 のサーバー クラスが として 設 定 するフォワーダーのグループに 適 していない 場 合 [ 既 存 ]:] 既 存 のサーバー クラスを 使 する 場 合 2.[ [ 利 可 能 ホスト] パネルで このインスタンスにデータを 受 信 させるフォワーダーを 選 択 しまフォワー ダーが [ 利 可 能 ホスト] パネルから [ 選 択 済 みホスト] パネルに 移 動 しま[すべて 追 加 ] リンクをクリックし て すべてのホストを 追 加 することができままた [すべて 削 除 ] リンクで すべてのホストを 削 除 すること もできま 重 要 :サーバー クラスに 追 加 するホストは 特 定 のプラットフォームのホストでなければなりません たとえ ば Windows ホストと *nix ホストを 同 じサーバー クラスに 追 加 することはできません 3a.[サーバー クラスの 選 択 ] で [ 新 規 ] を 選 択 した 場 合 意 のサーバー クラス 名 を しま 3b.[ [ 既 存 ] を 選 択 した 場 合 ドロップダウン リストからサーバー クラスを 選 択 しま 4. 右 上 の [ 次 へ] ボタンをクリックして 次 のステップ [データの 追 加 ] に 進 みま [ソースの 選 択 ] ページに 選 択 したフォワーダーに 対 して 有 効 なソースタイプが 表 されま 5.フォワーダーがこのインスタンスにデータを 送 信 する データ ソースを 選 択 しま データのモニター を 参 照 してください 6. 緑 の [ 次 へ] ボタンをクリックして 次 のステップ [データの 追 加 ] に 進 みま [ソースタイプの 設 定 ] ページ [ソースタイプの 設 定 ] ページでは データのインデックスがどのように 作 成 されるのかをプレビューして イベ ントの 処 理 を 改 善 することができまこのページを 使 って データのインデックスが 意 図 通 りに 作 成 されるこ とを 確 認 することができま データのインデックスをどのように 作 成 するのかを 簡 単 に 調 整 することができま 対 話 形 式 でインデックス 作 成 プロセスを 調 整 改 善 することができまそのため 後 ほど 実 際 にインデックス 作 成 を った 時 には 的 通 りの 形 式 でイベント データのインデックスが 作 成 されま 15

16 [ソースタイプの 設 定 ] ページは ローカル インスタンスの 単 のファイルをアップロード/モニターする 場 合 に のみ 表 されまデータを 転 送 するインスタンスに 対 しては 表 されません ネットワーク やディレクトリ にも 対 応 していません ただし 正 しくプランニングを えば それらの タイプに 対 してもこのページを 利 できま 詳 細 は データの 準 備 を 参 照 してください このページの 表 時 には 指 定 したデータに 基 づいてソースタイプが 選 択 されま 推 奨 するソースタイプをその まま 使 することも それを 変 更 することも 可 能 で [ソースタイプの 設 定 ] ページの 例 を 以 下 に しま 推 奨 するソースタイプの 表 変 更 ファイル 内 のデータを Splunk Enterprise がどのようにイベントとして 分 割 する 予 定 なのかを 確 認 することがで きまこのインデックス 作 成 がご 分 のニーズを 満 たしていない 場 合 は 別 のソースタイプを 選 択 した り [ソースタイプ: 新 しいソースタイプ] ボタンをクリックして 新 しいソースタイプを 作 成 したりすることが できま イベント データのソースタイプの 表 と 設 定 を 参 照 してください イベント サマリーの 表 ページの 右 側 にある [イベント サマリーの 表 ] リンクをクリックして Splunk Enterprise が 収 集 したデー タ サンプル 内 のイベントのサマリーを 参 照 することができまこのサマリーには 以 下 の 情 報 が 表 されま Splunk Enterprise が 収 集 したサンプル データのサイズ (バイト) サンプル 内 に 存 在 しているイベント 数 時 間 の 経 過 に 伴 うイベント 分 布 を 表 すグラフ Splunk Enterprise は ファイル 内 の 付 スタンプを 使 っ て このグラフの 表 法 を 決 定 しま サンプル 内 の 各 イベントの 数 の 内 訳 タイムスタンプとイベント 分 割 の 調 整 Splunk Enterprise によるタイムスタンプ 抽 出 とイベントの 分 割 法 を 調 整 することができま 満 のいく 結 果 が 得 られたら 変 更 内 容 を 新 しいソースタイプとして 保 存 しま 次 に それを 実 際 のデータに 適 してくださ い 詳 細 は データへの 適 切 なソースタイプの 割 り 当 て を 参 照 してください 区 切 り 設 定 16

17 カンマ 区 切 り 値 (CSV) タブ 区 切 り 値 (TSV) またはその 他 の 類 似 のファイルなどの 構 造 化 データ ファイルを 選 択 した 場 合 [ 区 切 り 設 定 ] バーが 表 されまこのウィンドウでは これらの 構 造 化 データ ファイルのパー シング 法 に 関 する 設 定 を 調 整 することができま 以 下 の 項 を 調 整 できま フィールド 区 切 り 字 - Splunk Enterprise がデータをフィールドに 分 割 するために 利 する 字 引 字 - 何 かが 引 されている 場 合 に Splunk Enterprise がそれを 判 断 するために 利 する 字 ファイルの 不 要 ヘッダー - 構 造 化 データ ファイル 内 の 不 要 な を 無 視 するように 指 する 正 規 表 現 式 フィールド 名 - Splunk Enterprise によるフィールド 名 の 決 定 法 動 番 号 カスタム または 正 規 表 現 を 利 できま データへの 適 切 なソースタイプの 割 り 当 て ここでは [ソースタイプの 設 定 ] ページを 使 った インデックスを 作 成 するデータへの 適 切 なソースタイプの 相 関 法 について 説 明 していま [ソースタイプの 設 定 ] ページの 的 は 取 り 込 んだデータへの 正 しいソースタイプの 適 をお 伝 いすることに ありまソースタイプは Splunk Enterprise が 取 り 込 んだすべてのデータに 割 り 当 てるデフォルトフィール ドの 1 つでソースタイプは インデックス 作 成 時 のデータのフォーマット 法 を 決 定 しまデータに 正 し いソースタイプを 割 り 当 てることで インデックスが 作 成 されたデータ (イベントデータ) には 適 切 なタイムス タンプの 設 定 とイベント 分 割 が われ 期 待 通 りのデータが 作 成 されま Splunk Enterprise には 多 数 の 事 前 定 義 されたソースタイプが 意 されていまたいていの 場 合 は データの 取 り 込 み 時 にデータに 正 しいソースタイプが 動 的 に 割 り 当 てられ 適 切 にデータが 処 理 されま 特 殊 なデータ の 場 合 データに 対 して 別 の 事 前 定 義 ソースタイプを 動 で 選 択 しなければならないこともありままた 独 のイベント 処 理 を 設 定 した 新 たなソースタイプを 作 成 しなければならないこともありま [ソースタイプの 設 定 ] ページは データに 事 前 定 義 されているソースタイプを 適 した 結 果 を 表 していまこれ を 参 考 に データに 適 切 なソースタイプを 割 り 当 てられままた ソースタイプの 設 定 を 対 話 形 式 で 変 更 して 的 の 結 果 が 得 られるまで 設 定 を 調 整 することもできま 作 業 が 完 了 したら 変 更 内 容 を 新 たなソースタイプと して 保 存 することができま [ソースタイプの 設 定 ] ページでは 以 下 の 作 業 を えま Splunk Enterprise が 動 的 に 適 するデフォルトのイベント 処 理 を 使 って データがどのようになるのか を データを 変 更 することなく 確 認 する 別 のソースタイプを 適 して さらに 良 好 な 結 果 が 得 られるかどうかを 確 認 する タイムスタンプ 成 またはイベント 分 割 の 設 定 を 変 更 して インデックスデータの 品 質 を 向 上 し 変 更 内 容 を 新 しいソースタイプとして 保 存 する 新 たなソースタイプを 最 初 から 作 成 する このページは 新 しいソースタイプを props.conf ファイルに 保 存 しま 後 ほどこのファイルをデプロイ 環 境 内 の 各 インデクサーに 配 布 することで 全 体 的 にそのソースタイプを 利 することができま 詳 細 は データプレ ビューと 分 散 Splunk Enterprise を 参 照 してください ソースタイプの 詳 細 は このマニュアルの ソースタイプが 重 要 な 理 由 を 参 照 してください また イベント 処 理 の 設 定 タイムスタンプの 設 定 および ソースタイプの 設 定 内 の 各 トピックにも ソースタイプの 処 理 に 関 する 詳 細 な 情 報 が 記 述 されていま プレビューするデータの 準 備 このトピックでは [ソースタイプの 設 定 ] ページで 表 するデータの 準 備 法 を 説 明 しま [ソースタイプの 設 定 ] ページでは 1 つのファイルに 対 してのみ 作 業 を えままた Splunk Enterprise イン スタンス 上 にあるファイル またはそこにアップロードされたファイルのみを 利 できま 直 接 ネットワーク データやディレクトリを 処 理 することはできませんが この 問 題 には 簡 単 に 対 処 することができま ネットワークデータのプレビュー サンプル ネットワーク データをファイルに 書 き 込 んで そのファイルをアップロードする またはファイルの モニター として 追 加 することができまこの 的 で 利 できるさまざまな 外 部 ツールがありまたとえ 17

18 ば *nix 系 では netcat を 利 することができまたとえば ポート 514 で UDP データを 待 機 している 場 合 netcat を 使 ってネットワークデータの 部 をファイルに 書 き 込 むことができま nc -lu 514 > sample_network_data ベスト プラクティスは ファイル サイズが 2MB に 達 したら netcat を kill するシェル スクリプト 内 で こ のコマンドを 実 することでデフォルトで データプレビュー 機 能 は ファイル 内 の 最 初 の 2MB のデータの みを 読 み 込 みま sample_network_data ファイルを 作 成 したら それを 標 準 の と 同 様 に 追 加 することができます (アップ ロードする またはファイル として 追 加 する) 定 義 プロセスの 環 として [ソースタイプの 設 定 ] ペー ジが 表 されまファイル 内 のデータのプレビューを って 必 要 な 変 更 をイベント 処 理 に 反 映 させたら その ソースタイプを 直 接 ファイルに 適 することができま ディレクトリ 内 の 複 数 ファイルのプレビュー ディレクトリ 内 のすべてのファイルが 同 じような 内 容 のデータを 保 有 している 場 合 どれか 1 つのファイルで データのプレビューを えば そのディレクトリ 内 のすべてのファイルに 対 してほぼ 満 がいく 結 果 を 得 ることが できまただし ディレクトリにさまざまな 形 式 や 環 境 のデータファイルが 混 在 している 場 合 は データが 異 な る 連 のファイルを 個 別 にプレビューする 必 要 がありまこの 場 合 各 タイプのファイルを 個 別 にプレビューす る 必 要 があります (ワイルドカードを 指 定 すると [ソースタイプの 設 定 ] ページが 無 効 になるため) ファイルサイズの 制 限 Splunk Enterprise は [ソースタイプの 設 定 ] ページのファイルから 最 初 の 2MB のデータを 読 み 込 んで 表 し またいていの 場 合 は これで 分 なデータ 標 本 を 得 ることができま 量 のデータで 試 したい 場 合 は limits.conf で max_preview_bytes 属 性 を 変 更 しま 代 わりにファイルのデータ 量 を 削 減 し 2MB のデータがオリ ジナルのファイルの 各 種 データタイプを 反 映 するように 編 集 することもできま イベント データのソースタイプの 表 と 設 定 このトピックは 受 信 データのプレビュー 法 およびそのデータのソースタイプの 設 定 / 作 成 法 について 説 明 していま Splunk Web でファイル を 作 成 する 場 合 この 機 能 が 動 的 に 利 されまSplunk Web の [ファイルと ディレクトリ] ページで 単 ファイルを 新 しい として 追 加 またはアップロードを 開 始 すると (ここを 参 照 ) [ソースタイプの 設 定 ] ページが 表 されま この 時 点 で データのインデックスがどのように 作 成 されるのかを 確 認 することができま 次 に 変 更 または 新 しいソースタイプの 作 成 既 存 のソースタイプの 選 択 または 推 奨 されているソースタイプをそのまま 使 して 直 接 [ の 設 定 ] ページに 進 むことができま ソースタイプの 確 認 と 設 定 [データの 追 加 ] パネルの [ファイルとディレクトリ] でモニターするファイルを 選 択 または [アップロード] ページからファイルをアップロードすると [ソースタイプの 設 定 ] ページが 表 されま このページには 3 つのセクションがありま 上 部 のセクションには ページの 使 法 が 表 されま 下 部 左 側 のセクションには イベント 分 割 タイムスタンプの 設 定 などの 新 しいソースタイプを 選 択 定 義 するため のオプションや その 他 のオプションが 記 載 されていま 下 部 右 側 の [データのプレビュー] パネルには Splunk Enterprise が 現 在 データをどのように 認 識 しているのかが 表 されま 下 部 左 側 のセクションで 操 作 を うと それが 即 座 に 下 部 右 側 のセクションに 反 映 されま 任 意 の 時 点 で 上 部 の い [<] ボタンをクリックすることで 前 のページに 戻 ってプレビューする 新 しいファイルを 選 択 することができま 1a.まず Splunk Enterprise がデータをどのように 表 しているのかを 参 照 しまここに 表 されている 内 容 で データのインデックスが 作 成 されまイベントの 分 割 やタイムスタンプを 確 認 してください 1b.[イベント サマリー] ダイアログを 使 って ファイルのパーシング 時 に Splunk Enterprise がカウントした 数 を 参 照 することができまファイル 内 のカウントされた 数 が 少 ない 場 合 イベントの 分 割 を 調 整 しなければ ならない 可 能 性 がありま 2a. 的 通 りにデータが 表 されている 場 合 は ステップ 3a に 進 みま 2b.データが 的 通 りに 表 されていない 場 合 このトピックの 既 存 のソースタイプの 選 択 に 進 んで 的 通 りにデータが 表 されるまでソースタイプ パラメータの 変 更 を いま 3a.Splunk Enterprise が 選 択 した 既 存 のソースタイプをそのまま 使 する 場 合 は 上 部 にある 緑 の [ 次 へ] ボタ ンをクリックして [ 設 定 ] ページに 進 みまこれでデータのプレビュー プロセスは 完 了 で 3b.Splunk Enterprise が 選 択 した 既 存 のソースタイプを 使 しない Splunk Enterprise がソースタイプを 選 択 しない または 新 しいソースタイプを 定 義 したい 場 合 は 以 下 のいずれかの 作 業 を えま 既 存 のソースタイプを 選 択 する:データは このソースタイプでインデックスが 作 成 されま 警 告 : 別 のソースタイプを 選 択 すると 表 されるデータおよびデータのインデックス 作 成 法 が 変 化 する 可 能 性 が ありま 新 しいソースタイプを 保 存 する: 希 にデータは 正 しくパーシングされたけれども 使 する 既 存 のソース タイプが 選 択 されないことがありまこのような 場 合 ソースタイプを 保 存 して それを 以 降 の 類 似 の ファイルに 適 することができま 18

19 4.ソースタイプを 選 択 または 保 存 したら 上 部 にある 緑 の [ 次 へ] ボタンをクリックして [ 設 定 ] ページに 進 みまこれでデータのプレビュー プロセスは 完 了 で 既 存 のソースタイプの 選 択 データが 意 図 通 りに 表 されない 場 合 まず 既 存 の 他 のソースタイプを 利 できるかどうかを 確 認 してください 既 存 のソースタイプを 選 択 しても 的 の 結 果 が 得 られない 場 合 は このトピックの 後 半 の 新 しいソースタイプの 定 義 を 参 考 に 的 通 りの 結 果 が 得 られるように 調 整 してください 1.[ソースタイプ:システムのデフォルト] ボタンをクリックしま ソースタイプのカテゴリ 覧 が 表 されま 各 カテゴリ 下 には その ゴリ 内 のソースタイプのリストが 表 さ れま 2.データに 最 適 なカテゴリ 上 にマウス カーソルを 移 動 しまそのカテゴリ 下 のソースタイプが ポップアッ プ メニューに 表 されま 3.データに 適 したソースタイプを 選 択 しま 新 しいソースタイプでデータがどのようになるかを すために データのプレビュー パネルが 更 新 されま 注 意 :スクロールしないとカテゴリ 内 のすべてのソースタイプを 参 照 できないこともありま 4. 前 述 の ソースタイプの 確 認 と 設 定 に 従 って データを 再 確 認 しま 新 しいソースタイプの 定 義 既 存 のソースタイプを 選 択 しても データが 正 しく 認 識 されない 場 合 は 新 しいソースタイプを 定 義 して イベン ト 分 割 タイムスタンプ 認 識 およびその 他 のパラメータを 設 定 して Splunk Enterprise が 正 しくデータを 認 識 できるまで 調 整 を いま これらのパラメータの 変 更 およびソースタイプの 定 義 については このマニュアルの イベント 処 理 の 変 更 を 参 照 してください イベント 処 理 の 変 更 Splunk Enterprise によるデータの 処 理 結 果 ( イベント データのソースタイプの 表 と 設 定 を 参 照 ) に 満 できない 場 合 は データ プレビュー 機 能 を 使 ってイベント 処 理 設 定 を 変 更 し その 設 定 を 新 しいソースタイプと して 保 存 することができま 主 な 順 を 以 下 に しま 1.イベント データを 表 しま 詳 細 は ソースタイプのイベント データの 表 と 設 定 を 参 照 してくださ い 19

20 2.イベント 処 理 設 定 を 変 更 しま 3. 変 更 による 影 響 を 確 認 し 満 のいく 結 果 が 得 られるまで 調 整 を 繰 り 返 しま 4. 設 定 を 新 しいソースタイプとして 保 存 しま 新 しいソースタイプは 任 意 の に 適 することができま イベント 処 理 設 定 の 変 更 Splunk Enterprise ではデフォルトで 新 しいソースタイプを 定 義 することができまそのためには [ソース タイプの 設 定 ] ページの [ソースタイプ:システムのデフォルト] ドロップダウンを 利 しま 新 しいソースタイ プを 作 成 するには 後 述 の 説 明 に 従 ってイベント 分 割 およびタイムスタンプ パラメータを 設 定 し それを 保 存 し ま [ソースタイプの 設 定 ] ページの 左 側 には 3 種 類 の 調 整 作 業 を うためのタブとリンクがありま イベント 改 :Splunk Enterprise がデータをイベントに 分 割 する 法 を 調 整 しま タイムスタンプ:Splunk Enterprise がイベントのタイムスタンプを 決 定 する 法 を 調 整 しま 詳 細 : props.conf を 直 接 編 集 しま イベント 改 イベント 分 割 パラメータを 変 更 するには [イベント 改 ] バーをクリックして 展 開 しまバーに 以 下 のボタン が 表 されま 動 - データ 内 で つかったタイムスタンプに 基 づいてイベント 分 割 を いま 各 - 各 が 単 のイベントとみなされま 正 規 表 現...- データのイベントへの 分 割 に 使 する 正 規 表 現 を 指 定 する 場 合 は このボタンをクリックしま イベント 分 割 ( 改 ) の 詳 細 は イベントの 分 割 の 設 定 を 参 照 してください 正 規 表 現 の 構 と 使 法 の 概 要 については Regular-Expressions.info を 参 照 してください 正 規 表 現 をテス トするには rex サーチ コマンドを 使 しま 正 規 表 現 式 を 作 成 テストするために 役 つサードパーティ 製 ツールのリストも 意 されていま タイムスタンプ 20

21 タイムスタンプ 認 識 パラメータを 変 更 するには [タイムスタンプ] をクリックして それを 展 開 しまバーに 以 下 のオプションが 表 されま [ 抽 出 ] では 以 下 のいずれかのオプションを 選 択 することができま 動 - Splunk Enterprise がタイムスタンプを 動 検 出 しま 現 在 の 時 刻 - ローカル インスタンス 上 の 現 在 の 時 刻 が 使 されま 詳 細 - 調 整 するための 度 なパラメータが 表 されま [ 詳 細 ] パラメータを 以 下 に しま タイムゾーン - イベントに 使 するタイムゾーンを 選 択 しま タイムスタンプ 形 式 - データ 内 のタイムスタンプの 検 索 時 に 使 する タイムスタンプ 形 式 を 表 す 字 列 を しま タイムスタンプ プリフィックス - タイムスタンプの 前 に 登 場 する 字 を 表 す 正 規 表 現 を しま 先 読 み - タイムスタンプのためにイベント (または [タイムスタンプ プリフィックス] に 指 定 した 正 規 表 現 ) を 調 査 する 字 数 を しま 重 要 :[タイムスタンプ 形 式 ] フィールドにタイムスタンプのフォーマットを 指 定 し タイムスタンプが 各 イベン トの 開 始 点 付 近 に 存 在 していない 場 合 は [タイムスタンプ プリフィックス] フィールドにプリフィックスを 指 定 する 必 要 がありまそうしないと フォーマット 処 理 を えず 各 イベントには strptime を 使 できない 旨 の 警 告 が 含 まれま(それでも Splunk が 問 題 にどのように 対 処 するのかによっては 有 効 なタイムスタンプが 得 られる 可 能 性 がありま) タイムスタンプ 設 定 の 詳 細 は タイムスタンプの 設 定 を 参 照 してください 詳 細 詳 細 パラメータを 変 更 するには [ [ 詳 細 ] バーをクリックして それを 展 開 しまバーに props.conf ファイルを 直 接 編 集 してソースタイプのプロパティを 指 定 できるオプションが 表 されま ここでは 属 性 と 値 のペアを 指 定 することで ソースタイプのプロパティを 追 加 または 変 更 することができま これらのプロパティの 設 定 法 の 詳 細 は props.conf を 参 照 してください このボックスは 編 集 しているソースタイプの 現 在 の 完 全 なプロパティセットが 表 されていまこれには 以 下 の 情 報 が 含 まれていま [イベント 改 ] または [タイムスタンプ] タブで われた 変 更 により 成 された 設 定 ([[ 適 ] ボタンをク リックした 後 ) 最 初 にデータプレビュー 機 能 にファイルを 取 り 込 んだ 時 に 動 検 出 された または 動 で 選 択 したソースタ イプの 既 存 の 設 定 [その 他 の 設 定 ] テキストボックスから 適 した 任 意 の 設 定 ([[ 設 定 の 適 ] ボタンをクリックした 後 ) 21

22 ソースタイプのプロパティの 設 定 法 の 詳 細 は Configuration file reference の props.conf に 関 するトピッ クを 参 照 してください また タイムスタンプ 設 定 およびイベントの 分 割 に 関 するトピックも 参 照 してくださ い Splunk Enterprise が 複 数 の 設 定 を 組 み 合 わせる 法 [ 詳 細 ] で った 設 定 が 常 に 優 先 されまたとえば [タイムスタンプ] タブでタイムスタンプ 設 定 を 変 更 し ま た [ 詳 細 ] でも 競 合 するタイムスタンプの 変 更 を った 場 合 どちらの 変 更 を 先 に った 場 合 でも [ [ 詳 細 ] での 変 更 が 優 先 されま この 最 優 先 度 の 設 定 から 始 まって 残 りの 設 定 が 順 番 に 組 み 合 わせられま [ 詳 細 ] モードでの 変 更 [イベント 改 ]/[タイムスタンプ] の 変 更 基 盤 となるソースタイプの 設 定 すべてのソースタイプのデフォルトのシステム 設 定 また [ [ 詳 細 ] で 変 更 を った 後 に [イベント 改 ] タブまたは [タイムスタンプ] タブに 戻 った 場 合 それらのタ ブでその 変 更 は 表 されません 変 更 内 容 の 確 認 変 更 の 効 果 を 確 認 する 準 備 ができたら [ [ 設 定 の 適 ] を 選 択 しま 画 が 更 新 され 変 更 した 設 定 がデータに 与 える 影 響 を 確 認 することができま さらに 変 更 を いたい 場 合 は これまでに 説 明 した 3 種 類 の 調 整 法 を 使 って さらに 調 整 を 繰 り 返 しまそ の 後 もう 度 [ 変 更 の 適 ] を 選 択 して 変 更 がデータに 与 える 影 響 を 確 認 しま 変 更 内 容 を 新 しいソースタイプとして 保 存 変 更 内 容 を 新 たなソースタイプとして 保 存 するには [ソースタイプ] ボタンの 隣 りにある 緑 の [ 名 前 を 付 けて 保 存 ] ボタンをクリックしまダイアログ ボックスが 表 されまここでは ソースタイプ 名 の 指 定 [ソース タイプ] ボタンを 押 した 時 に 表 される 所 属 先 カテゴリの 選 択 および 使 するアプリケーション コンテキスト の 指 定 を えま 1. 新 しいソースタイプの [ 名 前 ] を しま 2.ソースタイプの [ 説 明 ] を しま 3.[ソースタイプ] ボタンの 選 択 時 に ソースタイプを 表 させる [カテゴリ] を 選 択 しま 4. 新 しいソースタイプを 使 する [App] を 選 択 しま 5. 緑 の [ 保 存 ] ボタンをクリックしてソースタイプを 保 存 し [ソースタイプの 設 定 ] ページに 戻 りま この 時 点 で 以 下 の 作 業 を えま 緑 の [ 次 へ] ボタンをクリックしてデータにソースタイプを 適 し [ 設 定 ] ページに 進 みま い [<] ボタンをクリックすると 元 のページに 戻 って アップロード/モニターする 新 しいファイルを 選 択 す ることができま [データの 追 加 ] をクリックすると [データの 追 加 ] ウィザードの 先 頭 に 戻 りま データプレビューと 分 散 Splunk Enterprise データプレビュー 機 能 を 使 って 新 しいソースタイプを 作 成 し それを 特 定 のファイル/ディレクトリまたは TCP/UDP からの に 割 り 当 てることができまデータプレビュー 機 能 は 新 しいソースタイプを 実 してい る Splunk Enterprise インスタンスの props.conf 設 定 ファイルに 保 存 しま 他 の Splunk Enterprise インスタ ンス 上 でこのソースタイプを 使 したい 場 合 は 必 要 に 応 じてこのファイルを 配 布 することができま フォワーダーがデータを 収 集 して それをインデクサーに 転 送 する 分 散 環 境 で 新 しいソースタイプを 使 する には 2 つのステップに 分 けて 作 業 を いま 1.ソースタイプ 定 義 を 含 む props.conf ファイルを そのソースタイプを 使 ってデータのインデックスを 作 成 する 任 22

23 ソースタイプ 定 義 を 含 む props.conf ファイルを そのソースタイプを 使 ってデータのインデックスを 作 成 する 任 意 のインデクサーに 配 布 しま 2. 次 に それらのインデクサーにデータを 転 送 するフォワーダー 上 で を 定 義 する 際 に その 新 しいソースタイ プを 使 しま フォワーダーがインデクサーに 新 しいソースタイプのタグが 付 いたデータを 送 信 すると インデクサーはそれを 正 しく 処 理 してイベントを 作 成 することができま ここでは まずデータプレビュー 機 能 が 作 成 する 設 定 ファイルについて 説 明 しま 次 に デプロイ 環 境 内 のイン デクサーにファイルを 配 布 する 法 を 説 明 していきま 最 後 に フォワーダー 上 で を 定 義 する 際 の 新 しい ソースタイプの 指 定 法 について 説 明 しま 分 散 Splunk Enterprise の 詳 細 は 分 散 デプロイ マニュアルを 参 照 してください props.conf ファイル [ソースタイプの 設 定 ] ページで 新 しいソースタイプを 作 成 すると ソースタイプの 保 存 時 に 選 択 した App 内 の props.confファイルに ソースタイプ 定 義 がスタンザとして 保 管 されます:たとえば [サーチとレポート] App を 選 択 すると ファイルは $SPLUNK_HOME/etc/apps/search/local/props.conf に 保 管 されま 唯 の 例 外 は [システ ム] App でソースタイプの 保 存 時 にこの App を 選 択 すると ファイルは $SPLUNK_HOME/etc/system/local. に 保 管 されま 初 めてデータ プレビューを 使 ってソースタイプを 作 成 する 場 合 ソースタイプの 保 存 時 に 選 択 した App の ディレクトリ 内 に 新 たな props.conf ファイルが 成 されま 後 ほど 他 のソースタイプを 作 成 した 場 合 そのソー スタイプも 同 じ props.conf に 保 管 されま 注 意 :Splunk Enterprise インスタンスに 同 じ 設 定 ファイルの 異 なるバージョンが それぞれ 違 うディレクトリ に 保 管 されている 場 合 もありまSplunk Enterprise は 実 時 に 定 の 規 則 に 基 づいて これらの 設 定 ファイル の 内 容 を 組 み 合 わせま 設 定 ファイルの 仕 組 みの 詳 細 については 設 定 ファイルについて および 設 定 ファ イルの 優 先 度 を 参 照 してください 他 のインデクサーへの props.conf の 配 布 新 しいソースタイプを 作 成 したら データプレビューの props.conf ファイルを 他 の Splunk Enterprise インスタ ンスに 配 布 することができまファイルが 配 布 されたインスタンスは その 新 しいソースタイプのタグが 設 定 さ れている 任 意 の 受 信 データのインデックスを 作 成 することができま 般 的 には ターゲット Splunk Enterprise インスタンス 上 の 独 の App ディレクトリ ( 例 :$SPLUNK_HOME/etc/apps/splunk_datapreview/local/) に 設 定 ファイルを 保 管 しま 他 の Splunk インスタンスに 設 定 ファイルを 配 布 するために Splunk のデプロイサーバー デプロイサーバーや 他 の 配 布 ツールを 使 することができまデプロイサーバーの 使 法 については Splunk インスタンスの 更 新 マニュアル を 参 照 してください 注 意 :Splunk Enterprise は props.conf 内 のソースタイプ 定 義 を 使 して 受 信 データをイベントにパーシング しまそのため パーシングを 実 する Splunk Enterprise インスタンス つまりインデクサーまたはヘビー フォワーダーにのみファイルを 配 布 することができま フォワーダーの への 新 しいソースタイプの 指 定 フォワーダー (ヘビーフォワーダーを 除 く) には Splunk Web が 含 まれていないため 般 的 に の 設 定 には inputs.conf 設 定 ファイルを 使 しまこのファイルに を 指 定 する 場 合 のソースタイプも 指 定 するこ とができまinputs.conf の 詳 細 は 設 定 ファイルリファレンス の inputs.conf に 関 するセクションを 参 照 し てください フォワーダーの に 新 しいソースタイプのタグを 設 定 するには inputs.conf 内 の スタンザにソースタイプ を 追 加 しま 例 : [tcp://:9995] sourcetype = new_network_type フォワーダーからデータを 受 信 するすべてのインデクサーに 新 しいソースタイプ 定 義 ( 例 :new_network_type) が 含 まれている props.conf ファイルのコピーがあることを 確 認 する 必 要 がありまフォワーダーがインデクサー にデータを 送 信 すると インデクサーは 新 たなソースタイプを 識 別 し 正 しくデータをフォーマットすることがで きまprops.conf の 配 布 順 については 他 のインデクサーへの props.conf の 配 布 を 参 照 してください データプレビューとサーチヘッドプーリング 分 散 サーチ 環 境 でサーチヘッドプーリング 機 能 を 使 っている 場 合 Splunk Web にデータのプレビューが 適 切 に 表 されるように いくつかのガイドラインに 従 う 必 要 がありまこれは データプレビュー 機 能 が 内 蔵 の App として 実 装 されているためで 詳 細 は 分 散 サーチ マニュアルの アップグレード 後 に Splunk Web に 不 然 または 不 正 確 な 項 が 表 される を 参 照 してください 設 定 の 変 更 ここでは [ソースタイプの 設 定 ] ページでデータ ソースを 設 定 した 後 に 表 される [ の 設 定 ] ページについ て 説 明 していきま 23

24 ソースの 選 択 (または 単 ファイルのアップロード/モニター 時 のソースタイプの 設 定 ) 後 には 以 下 のページが 表 されま このページでは ソースタイプ アプリケーション コンテキスト ホスト 値 からのデータを 保 管 するイン デックスなどの データ に 対 する 追 加 のパラメータを 設 定 できま 利 できる 設 定 を 以 下 に しま ソースタイプ [ソースタイプ] では データに 適 するソースタイプを 指 定 できまこれは 以 下 のようなソースを 選 択 した 場 合 に 表 されま 単 のファイルではない または アップロードしたファイルではない データ ソースがどちらの 基 準 も 満 たさない 場 合 [ソースタイプ] 設 定 は 表 されません ソースタイプを 指 定 するには 3 種 類 のいずれかのボタンを 選 択 しま 動 :データにデフォルトのソースタイプを 適 しま 選 択 :データに 指 定 したソースタイプを 適 しま[ 選 択 ] をクリックすると ドロップダウンにそのマシ ンで 利 できるすべてのソースタイプが カテゴリ 別 に 表 されままず 的 のソースタイプに 合 ったカ テゴリを 選 択 し 次 にリストからソースタイプを 選 択 してください マニュアル: 以 下 のフィールドに したソースタイプを 使 しま App コンテキスト [App コンテキスト] 設 定 には がデータを 収 集 するコンテキストを 指 定 しまApp コンテキストによ り およびソースタイプ 定 義 の 管 理 性 が 向 上 しますべての App コンテキストは 優 先 順 位 に 基 づいて 読 み 込 まれま 管 理 マニュアル の 設 定 ファイルの 優 先 度 を 参 照 してください ドロップダウンをクリックして この に 対 する 的 のアプリケーション コンテキストを 選 択 しま ホスト 値 Splunk Enterprise は インデックスを 作 成 した 各 イベントにホスト 値 でタグを 設 定 しまイベントへのタグの 設 定 法 を 指 定 することができま 定 数 値 :[ホスト フィールドの 値 ] フィールドに 指 定 した 値 を 使 しまhost フィールドのこの 値 で 各 イベントにタグが 設 定 されま 後 ほど 同 じ 値 を 持 つこの host フィールドをサーチすることができま パスの 正 規 表 現 :データを 含 むファイルのパスから ホスト 値 を 抽 出 する 場 合 に 使 しま 下 の [ 正 規 表 現 ] フィールドに 有 効 な 正 規 表 現 を しまこの 正 規 表 現 を 使 って パスからホスト 名 が 抽 出 されま ホストについて を 参 照 してください パスのセグメント:ソース パス 名 内 のセグメントを 使 ってホスト 値 を 決 定 する 場 合 に この 設 定 を 使 しま 下 の [セグメント 番 号 ] フィールドには セグメント 番 号 を しま たとえば ソース のパス 名 が /var/server/<hostname> で hostname に 基 づいてホスト フィールドを 設 定 したい 場 合 は [パスのセグメント] を 選 択 してセグメント 番 号 として 3 を します (<hostname> はパス /var/log/hostname 内 の 3 番 のセグメントであるため) インデックス [インデックス] には この のイベントを 保 管 するインデックスを 指 定 しまデフォルトのインデックスを 使 するには [デフォルト] を 設 定 しま 他 のインデックスを 選 択 する 場 合 は ドロップダウン ボタンをクリッ クしてデータを 保 管 するインデックスを 選 択 しまデータを 保 管 するインデックスがリストに 記 載 されていない 場 合 適 切 な 権 限 があれば [ [ 新 しいインデックスの 作 成 ] ボタンをクリックして 新 しいインデックスを 作 成 す ることができま 選 択 が 完 了 したら 緑 の [ 次 へ] ボタンをクリックして 最 終 ステップの [データの 追 加 ] に 進 むことができま 24

25 ファイルやディレクトリからデータを 収 集 ファイルとディレクトリのモニター Splunk Enterprise には monitor MonitorNoHandle および upload の 3 つのファイル プロセッサが ありま monitor を 使 ってファイルやディレクトリからの ほぼすべてのデータ ソースを 追 加 することができまた だし 履 歴 データのアーカイブなど 1 回 限 り 取 り 込 むようなデータには upload を 使 することもできま Windows システムでは MonitorNoHandle を 使 って システムがローテーションを 動 的 に うファイルを モニターすることができまMonitorNoHandle は Windows システム 上 でのみ 機 能 しま モニターまたはアップロードする を 以 下 の 任 意 の 法 を 使 って 追 加 することができま Splunk Web CLI inputs.conf CLI または inputs.conf を 使 って MonitorNoHandle に を 追 加 することができま [ソースタイプの 設 定 ] ページを 使 って Splunk Enterprise がファイルのデータに 対 してどのようなインデックス を 作 成 するかを 確 認 することができま 詳 細 は [ソースタイプの 設 定 ] ページ を 参 照 してください Splunk Enterprise のモニターの 仕 組 み ファイルやディレクトリへのパスを 指 定 すると Splunk Enterprise のモニター monitor プロセッサはその ファイルまたはディレクトリに 書 き 込 まれる 新 しいデータを 取 り 込 みまこれによって J2EE または.NET ア プリケーションなどからのライブアプリケーションログや Web アクセスログなどのログ 情 報 をモニターすること ができまSplunk Enterprise は 継 続 的 にファイルやディレクトリをモニターし 新 たなデータが 到 着 するとイ ンデックスを 作 成 しまSplunk Enterprise がディレクトリからデータを 読 み 込 めるならば NFS を 含 めたマ ウントされたディレクトリや 共 有 ディレクトリを 指 定 することもできま 指 定 されたディレクトリ 内 にサブディ レクトリがある 場 合 Splunk Enterprise はそれらのディレクトリも 再 帰 的 に 調 査 して 新 たなファイルのデータを 取 り 込 みま モニター 設 定 に 指 定 されたファイルまたはディレクトリは Splunk Enterprise の 起 動 および 再 起 動 時 にチェック されま 起 動 時 にファイルやディレクトリが 存 在 していなかった 場 合 Splunk Enterprise は 最 後 の 再 起 動 時 刻 から 24 時 間 ごとに 再 チェックを いままた Splunk Enterprise は モニター 対 象 ディレクトリのサブディ レクトリも 継 続 的 にスキャンしまSplunk Enterprise を 再 起 動 せずに 新 しい を 追 加 したい 場 合 は Splunk Web または CLI を 使 しまSplunk Enterprise に 動 的 に 新 たな 候 補 を 探 させる 場 合 は CLI コマンドの crawl を 使 しま モニターを 使 する 場 合 以 下 の 事 項 に 注 意 してください 半 のファイルシステムでは 書 き 込 み 中 でもファイルを 読 み 取 ることができまただし Windows ファイルシステムには 書 き 込 み 中 のファイルの 読 み 取 りを 防 する 機 能 があり 部 の Windows プログ ラムはこの 機 能 を 使 していま 書 き 込 み 中 のファイルを 読 み 取 りたい 場 合 は MonitorNoHandle を 使 することができま 対 象 とする または 除 外 するファイルやディレクトリを ホワイトリストとブラックリストを 使 って 指 定 することができま 再 起 動 すると Splunk Enterprise は 処 理 を 中 断 した 時 点 からファイルの 処 理 を 再 開 しま アーカイブファイルは そのインデックスを 作 成 する 前 に 解 凍 されま 次 のような 般 的 なアーカイブ ファイルタイプを 処 理 することができます:tar, gz, bz2, tar.gz, tgz, tbz, tbz2, zip および z 既 存 のアーカイブファイルに 新 しくデータを 追 加 した 場 合 その 新 たなデータだけではなく ファイル 内 の すべてのデータのインデックスが 再 作 成 されまそのため イベントの 重 複 が 発 する 可 能 性 がありま Splunk Enterprise はログファイルのローテーションを 検 出 して すでにインデックスを 作 成 している 名 前 が 変 更 されたファイルの 処 理 は いません (tar と.gz は 例 外 です 詳 細 は このマニュアルの ログファ イルのローテーション を 参 照 してください) dir/filename パスの 全 は 1024 字 以 下 でなければなりません コマンドラインまたは [システム] を 使 ってファイルベースの を 無 効 化 または 削 除 しても その で 処 理 中 のファイルのインデックス 作 成 は 中 断 されません ファイルの 再 チェックは 中 されますが 中 時 点 でのすべてのデータのインデックスが 作 成 されますべてのデータ 処 理 を 中 するには Splunk Enterprise サーバーを 再 起 動 する 必 要 がありま Splunk Enterprise は ファイル 拡 張.splunk を 持 つファイルのインデックスを 作 成 しません これは Splunk Enterprise がこの 拡 張 を 持 つファイルを メタデータ 情 報 を 持 つファイルと 想 定 しているためで.splunk 拡 張 を 持 つファイルのインデックス 作 成 が 必 要 な 場 合 は add oneshot CLI コマンドを 使 し てください モニター がオーバーラップしている 場 合 もありまスタンザ 名 が 異 なっている 限 り Splunk Enterprise は それらを 別 個 のスタンザとして 取 り 扱 い スタンザにもっとも 致 するファイルが そのスタンザの 設 定 に 従 って 処 理 されま アップロードまたはバッチを 使 する 理 由 静 的 ファイルのインデックスを 1 回 作 成 するには Splunk 上 で [アップロード] を 選 択 しまSplunk Enterprise はファイルを 1 回 のみモニターしま 同 じ 的 で CLI コマンドの add oneshot または spool を 使 することもできま 詳 細 は CLI の 使 を 参 照 してください 25

26 ファイルを 1 回 のみ 読 み 込 んで その 後 破 棄 するには inputs.conf の batch タイプを 使 しまデフォル トで Splunk の batch プロセッサは $SPLUNK_HOME/var/spool/splunk にありまこのディレクトリにファイルを 移 動 すると それのインデックスが 作 成 され その 後 ファイルが 削 除 されま 注 意 :ファイルアーカイブの 読 み 込 みのベストプラクティスについては コミュニティ Wiki の How to index different sized archives を 参 照 してください MonitorNoHandle の 使 理 由 この Windows 専 を 利 すれば Windows システム 上 の 書 き 込 み 中 のファイルを 読 み 取 ることができま そのために カーネルモードのフィルタドライバを 使 って ファイルに 書 き 込 み 中 の raw データを 捕 捉 して いま 書 き 込 みのためにロック 付 きで 開 かれているファイルを 読 み 込 む 場 合 に この スタンザを 使 しま Windows DNS サーバーのログファイルなど システムが 書 き 込 み にロック 付 きで 開 いているファイルに 対 して この スタンザを 使 できま 注 意 : MonitorNoHandle では 単 のファイルのみをモニターできまディレクトリをモニターすることはできま せん モニター 対 象 として 選 択 したファイルがすでに 存 在 している 場 合 Splunk は 現 在 の 内 容 のインデックスは 作 成 せずに 新 たにファイルに 書 き 込 まれるデータのみインデックスを 作 成 しま Splunk Web の 使 Splunk Web を 使 って ファイルやディレクトリからの または Splunk Enterprise インスタンスがモニ ターできる 他 の を 追 加 することができま A. [ 新 規 追 加 ] ページに 移 動 (データの 取 り 込 み) は Splunk Web の [ 新 規 追 加 ] ページから 追 加 しま データの 追 加 法 は? を 参 照 してください 2 種 類 の 法 でこのページを 表 できま Splunk ホーム Splunk 設 定 Splunk 設 定 を 使 する 場 合 : 1.Splunk Web の 右 上 にある [ 設 定 ] をクリックしま 2.[ 設 定 ] ポップアップの [データ] セクションで [データ ] をクリックしま 3.[ファイルとディレクトリ] をクリックしま 4.[ [ 新 規 ] ボタンをクリックして を 追 加 しま Splunk ホームを 使 する 場 合 : 1.Splunk ホームの [データの 追 加 ] リンクをクリックしま 2. ファイルをアップロードするには [アップロード] を ファイルをモニターするには [モニター] を ファイル を 転 送 するには [ 転 送 ] をクリックしま 注 意 :ファイルの 転 送 には 追 加 設 定 が 必 要 で データの 転 送 マニュアルの 転 送 と 受 信 の 設 定 を 参 照 してください B. ソースの 選 択 1.ファイルまたはディレクトリ を 追 加 するには [ファイルとディレクトリ] をクリックしま 2.[ファイルまたはディレクトリ] フィールドで ファイルまたはディレクトリへのフルパスを 指 定 しま 共 有 ネットワークドライブをモニターするには 次 のように します:<myhost>/<mypath>(Windows の 場 合 は \\<myhost>\<mypath>) Splunk Enterprise に マウントされたドライブ およびモニター 対 象 ファイルに 対 する 読 み 取 り 権 限 があることを 確 認 してください 3.Splunk Enterprise によるファイルのモニター 法 を 選 択 しま 継 続 モニター: 継 続 的 なデータ 取 り 込 み ( ) を 設 定 しまSplunk Enterprise はファイルの 新 しい データを 継 続 的 にモニターしまこのオプションの 詳 細 設 定 については 次 のセクションを 参 照 してくだ さい 1 回 インデックスを 作 成 :サーバーから Splunk Enterprise に ファイルをコピーしま 4. 緑 の [ 次 へ] ボタンをクリックしま [ファイルまたはディレクトリ] フィールドでディレクトリを 指 定 した 場 合 画 が 更 新 され [ホワイトリス ト] および [ブラックリスト] フィールドが 表 されまこれらのフィールドには Splunk Enterprise が 含 める (ホワイトリスト) または 除 外 する (ブラックリスト) ファイルを 照 合 するために 使 する 正 規 表 現 を 指 定 できま ホワイトリストまたはブラックリスト 固 有 の 到 着 データ を 参 照 してください それ 以 外 の 場 合 は データのプレビューを えま C. データのプレビューとそのソースタイプの 設 定 26

27 新 しいファイル を 追 加 する 場 合 データのソースタイプを 設 定 して それがインデックス 作 成 後 にどのよう に 表 されるかを 設 定 しまそうすることにより データが 適 切 にフォーマットされ 必 要 な 調 整 が われるこ とが 保 証 されま 詳 細 は [ソースタイプの 設 定 ] ページ を 参 照 してください ページの 使 法 については イベント データのソースタイプの 表 と 設 定 を 参 照 してください データ プレビューをスキップすることを 選 択 すると [ 設 定 ] ページが 表 されま 注 意 :Splunk Enterprise では ディレクトリやアーカイブされたファイルのプレビューを 表 できません D. 設 定 の 指 定 [ 設 定 ] ページでは アプリケーション コンテキスト デフォルトのホスト 値 およびインデックスを 指 定 できまこれらのパラメータは 省 略 することができま 1.この の 適 切 なアプリケーション コンテキストを 選 択 しま 2.ホスト 名 の 値 を 設 定 しまさまざまな 選 択 肢 がありまホスト 値 の 設 定 の 詳 細 は ホストについて を 参 照 してください 注 意 :[ホスト] は イベントの host フィールドの 設 定 のみを いまSplunk Enterprise にネットワー ク 上 の 特 定 のホストを 探 すように 指 するものではありません 3.この のデータを 保 管 するインデックスを 設 定 しま 複 数 のインデックスを 定 義 しており それらの 中 の 1 つを 使 する 場 合 を 除 き この 値 は default のままにしてください ユーザーデータ のインデックスに 加 えて Splunk Enterprise にはさまざまなユーティリティインデックスが 存 在 していまこれらのインデックス も このドロップダウンボックスに 表 されま 4. 緑 の [ 確 認 ] ボタンをクリックしま E. 選 択 項 の 確 認 設 定 をすべて 指 定 したら 選 択 内 容 をレビューすることができまSplunk Enterprise には モニターのタ イプ ソース ソースタイプ アプリケーション コンテキスト インデックスなど (これ 以 外 が 表 されること もあります) の 選 択 したオプションが 表 されま 設 定 を 確 認 しま 意 図 通 りの 内 容 でない 場 合 は 灰 の [<] ボタンをクリックして ウィザードの 前 のステップ に 戻 りまそうでない 場 合 は 緑 の [ 送 信 ] ボタンをクリックしま [ 成 功 ] ページが 表 され 指 定 されたファイルまたはディレクトリのインデックス 作 成 が 開 始 されま CLI の 使 ファイルやディレクトリを Splunk Enterprise のコマンドラインインターフェイス (CLI) を 使 ってモニターしま CLI を 使 するには コマンドプロンプトまたはシェルから $SPLUNK_HOME/bin/ ディレクトリに 移 動 して そ こで splunk コマンドを 使 しま 何 か 分 からないことがある 場 合 CLI にはヘルプが 意 されていまCLI メインヘルプにアクセスするに は splunk help と しま 各 コマンドには それぞれ 独 のヘルプページが 意 されていまsplunk help <command> と してください 設 定 の CLI コマンド CLI を 使 った 設 定 には 以 下 のコマンドを 利 できま コマン ド add monitor edit monitor remove monitor list monitor add oneshot コマンドの 構 add monitor <source> [- parameter value]... edit monitor <source> [- parameter value]... remove monitor <source> list monitor add oneshot <source> [- parameter value]... <source> からの をモニターしま 対 処 前 に 追 加 した <source> の を 編 集 しま 前 に 追 加 した <source> の を 削 除 しま 現 在 設 定 しているモニター を 覧 表 しま <source> ディレクトリを Splunk に 直 接 コピーしまこれによりファイルが 1 回 アップロードされますが 継 続 的 なモニターは われません 重 要 : 重 要 : oneshot コマンドでは 再 帰 的 フォルダやワイルドカードをソースとして 使 することはできません このコマンドを 使 する 場 合 は 対 象 ファイルの 正 確 な 27