Table of Contents 소개 데이터모델및피벗튜토리얼에오신것을환영합니다 Splunk Enterprise 개요 파트 1: Splunk Ent erprise 다운로드및설치전제조건 Splunk 다운로드위치및버전 Linux, Windows 또는 Mac OS

Transcription

1 Splunk Enterprise 6.0 데이터모델및피벗튜토리얼 생성일 : 2013 년 10 월 15 일오후 3 시 32 분 Copyright (c) 2014 Splunk Inc. All Rights Reserved

2 Table of Contents 소개 데이터모델및피벗튜토리얼에오신것을환영합니다 Splunk Enterprise 개요 파트 1: Splunk Ent erprise 다운로드및설치전제조건 Splunk 다운로드위치및버전 Linux, Windows 또는 Mac OS X 에서 Splunk 설치 Splunk 시작및 Splunk Web 실행 파트 2: Splunk Ent erprise 시작하기 Splunk 홈에대하여 Splunk Web 탐색 파트 3: Splunk Ent erprise 로데이터가져오기 Splunk 로데이터가져오기에대하여 Splunk 로튜토리얼데이터가져오기 Splunk 에룩업파일추가 파트 4: 데이터모델작성데이터모델및데이터모델개체에대하여새데이터모델작성데이터모델에대한루트개체정의속성리스트편집하위개체정의 파트 5: 피벗보고서설계피벗에대하여피벗작성및저장피벗테이블작성피벗차트작성 파트 6: 대시보드작성대시보드에대하여대시보드에피벗추가 Splunk 를더많이사용해보세요

3 소개 데이터모델및피벗튜토리얼에오신것을환영합니다 피벗은비기술사용자와기술사용자모두검색언어를사용하지않고복잡한보고서를작성할수있는드래그앤드롭인터페이스입니다. 피벗을사용하면사용하기쉬운인터페이스를통해신속하게쿼리를작성하고결과를표시할수있습니다. 이튜토리얼에는어떤내용이있습니까? 이매뉴얼에서는데이터를추가하고간단한데이터모델을구축하며새피벗을작성하는방법에대해설명합니다. 데이터모델과피벗을처음사용하는경우이튜토리얼로시작해보십시오. PDF 만들기 이매뉴얼의 PDF 버전을원하는경우이페이지왼쪽의목차아래빨간색피벗튜토리얼을 PDF 로다운로드링크를클릭하십시오. 해당매뉴얼의 PDF 버전이즉시생성되며나중에읽어보기위해저장하거나인쇄할수있습니다. Splunk Enterprise 개요 Splunk Enterprise 의강력하고유용한검색및분석엔진을사용하면전체 IT 인프라에서발생하는모든내용의조사, 문제해결, 모니터링, 경고및보고과정을한곳에서실시간으로수행할수있습니다. IT 인프라를구성하는애플리케이션, 서버또는네트워크장치에서데이터를인덱싱합니다. 파트 1: Splunk Enterprise 다운로드및설치 전제조건 본튜토리얼을시작하려면먼저 Splunk 6.0 버전을다운로드하여설치하고시작해야합니다. 이항목에서는사용자의시스템에서 Splunk 를실행하는데필요한요구사항및 Splunk 라이선스에대해알아야하는내용에대해설명합니다. 이미실행중인 Splunk 서버인스턴스에대한액세스권한이있는경우이장을건너뛰고파트 2: Splunk 시작하기로계속하십시오. 시스템요구사항 Splunk 는 Linux, Unix, Windows, Mac OS 등대부분의컴퓨터플랫폼에서실행되는고성능애플리케이션입니다. 이튜토리얼의경우다음사양을충족하는 Windows 또는 Mac OS X 컴퓨터나노트북이필요합니다. 플랫폼 Windows 가아닌플랫폼 Windows 플랫폼 최소지원되는하드웨어용량 1x1.4GHz CPU, 1GB RAM Pentium 4 또는 2Ghz, 2GB RAM 의동등기종 시스템에 Splunk 를설치한후웹브라우저를사용하여액세스할수있습니다. Splunk 6.0+ 는최신버전의 Firefox, Chrome 및 Safari 브라우저를지원합니다. 위의내용은단지 Splunk 의시스템요구사항스냅샷입니다. 전체사양리스트는설치매뉴얼의 " 시스템요구사항 " 항목을참조하십시오. Splunk 라이선스 Splunk 라이선스는 Splunk 설치시하루에인덱싱할수있는데이터의볼륨을제한합니다. Splunk 는 Enterprise 라이선스또는 Free 라이선스로실행됩니다. Splunk 를처음다운로드할경우 60 일후에만료되는 Enterprise 평가판라이선스가제공됩니다. 이평가판라이선스로서버에서 500MB/ 일인덱싱과모든 Enterprise 기능을사용할수있습니다. 참고 : Enterprise 평가판라이선스가만료된경우종신 Free 라이선스 ( 포함됨 ) 로전환하거나 Enterprise 라이선스를구입할수있습니다. 관리자매뉴얼에서 "Splunk 라이선스유형 " 에대해자세히알아보십시오. 이제내시스템에서 Splunk 를실행하려면무엇이필요한지알았으므로다음항목으로이동하여 Splunk 다운로드에대해알아봅니다. 3

4 Splunk 다운로드위치및버전 Splunk 는대부분의운영체제에설치할수있습니다. 이튜토리얼에서는 Linux, Windows 및 Mac OS X 를중점적으로다루며필요에따라 OS 별기능간의차이에대해설명합니다. Splunk 다운로드버전 Splunk 에서는세가지 Linux 용설치옵션인 RedHat 용 RPM 다운로드, Debian Linux 용 DEB 패키지, tar 파일설치프로그램을제공합니다. 이튜토리얼에서는이러한설치프로그램중하나를사용할수있습니다. Splunk 는 MSI 파일및압축된 zip 파일의두가지 Windows 설치프로그램을제공합니다. 이튜토리얼에서는 MSI 파일그래픽설치프로그램을사용합니다. Splunk 는 DMG 패키지및 tar 파일설치프로그램의두가지 Mac OS X 설치프로그램을제공합니다. 이튜토리얼에서는 DMG 패키지그래픽설치프로그램을사용합니다. Splunk 다운로드위치 다운로드페이지에서 Splunk 의최신버전을다운로드하십시오. 참고 :Splunk.com 에로그인할수없는경우다운로드패키지를클릭하면등록양식으로이동합니다. Splunk.com 계정이아직없는경우계정을등록하십시오. 이제 Splunk 를다운로드했으므로다음항목으로이동하여시스템에소프트웨어를설치합니다. Linux, Windows 또는 Mac OS X 에서 Splunk 설치 이전항목에서 Linux, Windows 또는 Mac OS X 용 Splunk 를다운로드하는위치를알았습니다. 이항목에서는이러한각플랫폼의설치지침을간략히살펴봅니다. 지원되는다른 OS 에서이튜토리얼을완료하려면해당플랫폼의 " 단계별설치지침 " 을참조하고파트 2: Splunk 시작하기로계속하십시오. Linux 설치지침 Splunk 는 RPM, DEB 및압축된.tar 파일의세가지 Linux 설치프로그램옵션을제공합니다. 아래는이러한각설치프로그램의간략한설치지침입니다. 참고 : 명령줄인터페이스 (CLI) 에대한액세스권한이있어야합니다. Linux 에서 Splunk 는기본적으로 /opt/splunk 디렉터리에설치됩니다. Splunk RPM 을설치하려면 CLI 에다음명령어를입력하십시오. Splunk 를다른디렉터리에설치하려면 --prefix 플래그옵션을사용하십시오. rpm -i --prefix=/opt/new_directory splunk_package_name.rpm Splunk DEB 패키지를설치하려면 CLI 에다음명령어를입력하십시오. Splunk DEB 는기본 /opt/splunk 디렉터리에만설치할수있습니다. dpkg -i splunk_package_name.deb 압축된 tar 파일로 Splunk 를설치하려면 tar 명령어를사용하여해당디렉터리에압축을푸십시오. 기본설치디렉터리는현재작업디렉터리의 /splunk 입니다. /opt/splunk 와같은특정디렉터리에설치하려면다음과같이 -C 옵션을사용하십시오. tar xvzf splunk_package_name.tgz -C /opt Linux 에 Splunk 설치와관련된자세한내용은설치매뉴얼의단계별 Linux 설치지침을참조하십시오. Windows 설치지침 MSI 그래픽설치프로그램을사용하여 Splunk 를설치하려면다음지침을따르십시오. 1. 설치프로그램을시작하려면 splunk.msi 파일을두번클릭합니다. 2. 환영패널에서다음을클릭합니다. 3. 사용권계약을읽고 " 동의합니다 " 옆에있는상자를선택합니다. 다음을클릭하여설치를계속합니다. 4. 고객정보에요청한정보를입력하고다음을클릭합니다. 5. 대상폴더패널에서변경... 을클릭하여 Splunk 를설치할다른위치를지정하거나다음을클릭하여기본값을사용합니다. Splunk 는기본적으로 \Program Files\Splunk 디렉터리에설치됩니다. 4

5 로그온정보패널이표시됩니다. 6. 로그온정보패널에서로컬시스템사용자를선택하고다음을클릭합니다. 다른사용자옵션에대해알아보려면 Windows 에 Splunk 설치관련설명을참조하십시오. 7. 사용자를지정한후사전설치요약패널이표시됩니다. 설치를클릭하여계속합니다. 8. 설치완료패널에서이제 Splunk 로브라우저실행및시작메뉴바로가기만들기상자를선택합니다. 9. 마침을클릭합니다. 설치가완료되고 Splunk 가시작하며 Splunk Web 이지원되는브라우저에서실행됩니다. Mac OS X 설치지침 DMG 그래픽설치프로그램을사용하여 Splunk 를설치하려면다음지침을따르십시오. 1. 설치프로그램이있는폴더나디렉터리로이동합니다. 2. DMG 파일을두번클릭합니다. splunk.pkg 를포함한파인더창이열립니다. 3. 파인더창에서 splunk.pkg 를두번클릭합니다. Splunk 설치프로그램이열리고버전및저작권정보가나열된소개화면이표시됩니다. 4. 계속을클릭합니다. 대상선택창이열립니다. 5. Splunk 를설치할위치를선택합니다. 기본디렉터리 /Applications/splunk 에설치하려면하드드라이브아이콘을클릭합니다. 다른위치를선택하려면폴더선택... 을클릭합니다. 6. 계속을클릭합니다. 사전설치요약이표시됩니다. 변경작업을수행하려면다음과같이하십시오. 설치위치변경을클릭하여새폴더를선택합니다. 또는뒤로를클릭하여한단계되돌아갑니다. 7. 설치를클릭합니다. 설치가시작됩니다. 몇분의시간이걸릴수있습니다. 8. 설치가완료되면마침을클릭합니다. 설치프로그램이바탕화면에바로가기를배치합니다. 설치가완료된후다음항목으로이동하여 Splunk 를시작합니다. Splunk 시작및 Splunk Web 실행 방금 Splunk 를다운로드하고설치했습니다. 이항목에서는 Splunk 를시작하고 Splunk Web 을실행하는방법에대해설명합니다. Splunk 시작에대하여 Splunk 를시작하면 splunkd 및 splunkweb 이라는 2 개의프로세스가시작됩니다. splunkd 는스트리밍컴퓨터데이터를액세스, 처리및인덱스하고검색요청을처리하는분산 C/C++ 서버입니다. splunkweb 은컴퓨터데이터를검색및탐색하고 Splunk 배포를관리하는데사용하는 Splunk Web 인터페이스를제공하는 Python 기반애플리케이션서버입니다. Splunk 를시작한후사용권계약에동의하고지원되는웹브라우저를사용하여 Splunk Web 에액세스합니다. Windows 에서 Splunk 시작 Windows 에서 Splunk 설치가완료되면 Splunk 가시작되고지원되는브라우저에서 Splunk Web 이실행됩니다. 이렇게진행되지않는경우 Splunk 를시작하는세가지옵션이있습니다. 5

6 시작메뉴에서 Splunk 를시작합니다. Windows 서비스관리자를사용하여 splunkd 및 splunkweb 을시작하고중지합니다. cmd 창을열고 \Program Files\Splunk\bin 으로이동한후다음을입력합니다. > splunk start Linux 에서 Splunk 시작 Splunk 를설치한후 Splunk CLI 를사용하여 Splunk 를시작합니다. 셸경로에최상위설치디렉터리의 SPLUNK_HOME 환경변수및 $SPLUNK_HOME/bin 을추가하면 CLI 에간단히액세스할수있습니다. Linux 용기본위치에설치한경우내보내기경로는다음과같습니다. # export SPLUNK_HOME=/opt/splunk # export PATH=$SPLUNK_HOME/bin:$PATH CLI에액세스하는방법에대한자세한내용은관리자매뉴얼의 "CLI에대하여 " 를참조하십시오. 이제 Splunk를시작하려면다음명령을입력하십시오. $SPLUNK_HOME/bin/splunk start Splunk 사용권계약에동의시작명령을실행하면 Splunk는사용권계약을표시하고시작과정을계속하기전에사용권계약에동의할것을요청합니다. Splunk 시작과관련된문제를해결하려면설치매뉴얼의 " 처음 Splunk 시작 " 을참조하십시오. 유용한기타명령 Splunk 서버를중지또는재시작하거나상태를확인하려면다음 CLI 명령을사용하십시오. $ splunk stop $ splunk restart $ splunk status Mac OS X 에서 Splunk 시작 Mac OS X 의파인더에서 Splunk 를시작할수있습니다. 바탕화면에서 Splunk 아이콘을두번클릭하여 "Splunk's Little Helper" 라는 Splunk 도우미애플리케이션을실행합니다. 참고 : 도우미애플리케이션을처음실행하면간단한초기화를수행해야한다는메시지를표시합니다. 평가판라이선스를초기화하고설정하려면확인을클릭하십시오. 도우미애플리케이션을로드하면다음과같은몇가지옵션을제공하는대화상자를표시합니다. Splunk 시작및표시 : 이옵션은 Splunk 를시작하고웹브라우저에게 Splunk Web 으로페이지를열도록지시합니다. Splunk 시작만 : 이옵션은 Splunk 를시작하지만브라우저에서 Splunk Web 을열지않습니다. 취소 : 도우미애플리케이션을종료하도록지시합니다. 이옵션은 Splunk 인스턴스자체에는적용되지않고도우미애플리케이션에만적용됩니다. 옵션을선택하면 Splunk 도우미애플리케이션이요청한애플리케이션을수행하고종료됩니다. 도우미애플리케이션을다시실행하여 Splunk Web 을표시하거나 Splunk 를중지할수있습니다. Splunk 도우미애플리케이션은이미실행중인 Splunk 를종료하는데사용될수도있습니다. Splunk Web 실행 시작과정이거의끝날때 Splunk 에서 Splunk Web 에액세스할위치를알려줍니다. The Splunk Web interface is at Splunk Web 은기본적으로설치된호스트의포트 8000 에서실행됩니다. 해당로컬컴퓨터에서 Splunk 를사용하는경우 Splunk Web 에액세스하는 URL 은 입니다. Enterprise 라이선스를사용하는경우처음 Splunk 를실행하면이로그인화면이표시됩니다. 메시지에따라기본자격증명으로인증하십시오. 6

7 Free 라이선스를사용하는경우 Splunk 를사용하기위해인증할필요가없습니다. 이경우 Splunk 를시작할때로그인화면이나타나지않습니다. 대신 Splunk 홈이나계정의기본애플리케이션으로설정된애플리케이션으로바로이동됩니다. 기본암호로로그인할때 Splunk 는새암호를만들것을요청합니다. 이것을건너뛰거나암호를변경하여계속할수있습니다. 맨처음나타나는페이지는 Splunk 홈입니다. 검색튜토리얼의파트 1 을마쳤습니다. 파트 2: Splunk 시작하기로계속하십시오. 파트 2: Splunk Enterprise 시작하기 Splunk 홈에대하여 Splunk 홈은이 Splunk 인스턴스에서액세스할수있는앱과데이터의대화식포털입니다. 홈의주요부분에는검색란과앱, 데이터및도움말의 3 개의패널이포함됩니다. Splunk 홈찾기 Splunk 를처음설치하고 Splunk 에로그인하면 Splunk 홈페이지가처음으로나타납니다. 또는계정에서검색및보고앱의검색또는피벗등다른뷰에서시작하도록구성되었을수있습니다. 7

8 다른뷰에서 Splunk Web 오른쪽상단의 Splunk 로고를클릭하면 Splunk 홈으로돌아갈수있습니다. 앱검색란 이앱검색란을사용하면원하는앱을통해클릭하지않고지정된앱컨텍스트에서검색을실행할수있습니다. 표준 Splunk 검색란과유사하며시간범위선택기를포함합니다. 검색을실행할앱컨텍스트를선택할수있는앱메뉴도포함합니다. 앱및작업영역 앱패널에서보기권한을가진 Splunk 서버에설치된앱용작업영역을볼수있습니다. 이작업영역에는앱컨텍스트에서뷰및개체메뉴가표시됩니다. 앱을선택하여열거나작업영역에나열된콘텐츠페이지를선택하여해당뷰로바로이동합니다. 기본적으로제공되는 Splunk Enterprise 설치의경우작업영역에하나의앱만표시됩니다. 앱이두개이상인경우작업영역내로끌어놓고다시정렬할수있습니다. 패널하단의다음단추를클릭하여새앱을검색하거나기존앱을관리할수도있습니다. 추가앱찾기 Splunk 에설치할앱을찾습니다. 앱관리이미 Splunk 에설치된앱을관리합니다. 데이터패널 데이터패널을사용하면새데이터를추가하고데이터입력을관리할수있습니다. 데이터패널은로컬 Splunk Enterprise 인스턴스에의해인덱싱된이벤트에대한통계데이터도제공합니다. 특히, 데이터가인덱싱된시작시간과종료시간및이인스턴스에서가진데이터의볼륨을표시합니다. Splunk 에데이터가있으면여기서간략한개요를볼수있습니다. 새데이터를 Splunk 로가져오는단계를수행하려면데이터추가를클릭합니다. 기존입력정의를보고편집하려면입력관리를클릭합니다. 도움말패널 8

9 도움말패널에서는동영상튜토리얼, Splunk 응답포럼, Splunk 지원포털및 Splunk 의온라인문서를포함한 Splunk 사용법을배울수있는페이지의링크를제공합니다. 해당링크를클릭하면새탭이나창에서열립니다. 이제 Splunk 홈에익숙해졌으므로다음항목으로이동하여 "Splunk 인스턴스를탐색 " 하는방법을배웁니다. Splunk Web 탐색 이전항목에서는 Splunk 에처음로그인하면나타나는첫번째페이지인 Splunk 홈을소개했습니다. 그런다음에는다음과같은사항을알고자할수있습니다. Splunk Web 에있는다른페이지시스템구성을보거나변경하는방법계정설정을편집하거나로그아웃하는방법이러한작업은모두 Splunk Web 상단에있는검은색 Splunk 메뉴모음을통해수행됩니다. 이항목에서는 Splunk 메뉴모음을사용하여 Splunk Web 을탐색하는방법에대해설명합니다. Splunk 메뉴모음사용 창상단에있는 Splunk 메뉴모음을통해 Splunk 인스턴스를탐색할수있습니다. Splunk 메뉴모음은 Splunk 의모든페이지에공통적으로있습니다. Splunk 메뉴모음을사용하여앱을전환하고 Splunk 구성을관리및편집하며시스템레벨메시지를보고검색작업진행상황을모니터링할수있습니다. 홈으로돌아가기 탐색메뉴의 Splunk 로고를클릭하면 Splunk 홈으로돌아갑니다. 앱 앱메뉴는보기및실행권한이있는모든앱을나열합니다. 이메뉴에서추가앱찾아보기및앱관리작업을수행할수도있습니다. 설정 설정메뉴에는 Knowledge object, 분산환경설정, 시스템및라이선스, 데이터및인증설정에필요한모든구성페이지가포함되어있습니다. 이옵션중일부가표시되지않으면해당옵션을보거나편집할수있는권한이없음을의미합니다. 사용자메뉴 9

10 여기에서사용자메뉴는새설치의기본사용자이름인 "Administrator" 로지정됩니다. 계정편집을선택하여이표시이름을변경할수있습니다. 시간대설정을변경하고이계정의기본앱을선택하며암호를변경할수도있습니다. 사용자메뉴는 Splunk 에서로그아웃하는데도사용됩니다. 메시지 모든시스템레벨오류메시지는여기에나열됩니다. 검토할새메시지가있으면알림 ( 빨간색 ) 이나타납니다. 작업 작업 작업을클릭하면현재실행중인검색을보고관리할수있는검색작업관리자창이열립니다. 트리거된경고 설정한경고가트리거되면여기에표시됩니다. 트리거된경고에대해알림이나타납니다. 이튜토리얼에서는경고저장및예약에대해설명하지않습니다. 자세한내용은경고매뉴얼에서 " 경고에대하여 " 를참조하십시오. 도움말 도움말을클릭하면동영상튜토리얼, Splunk 응답, Splunk 지원포털및온라인문서의링크가표시됩니다. 이제 Splunk Web 에더많이익숙해졌으므로 Splunk 에데이터를추가해보겠습니다. 파트 3: Splunk Enterprise 로데이터가져오기 Splunk 로데이터가져오기에대하여 Splunk 를사용하는첫번째단계는데이터를입력하는것입니다. Splunk 에데이터원본을지정하고, 데이터원본에대한일부정보를알려줍니다. 그러면해당데이터원본이 Splunk 의데이터입력이됩니다. Splunk 에서데이터스트림을사용자가즉시보거나검색할수있는일련의개별이벤트로변환하는데이터스트림인덱싱을시작합니다. 원하는결과가나타날때까지인덱싱프로세스를수정할수도있습니다. 이항목에서는 Splunk 에추가할수있는데이터유형, Splunk 로데이터를가져오는방법및데이터를추가한후 Splunk 에서해당데이터를저장하는위치에대해간략히살펴봅니다. 데이터및 Splunk 에대한자세한내용은데이터가져오기매뉴얼의 "Splunk 에서인덱싱할수있는대상 " 을참조하십시오. 데이터유형이란무엇입니까? Splunk 는모든데이터를사용하는데, 특히모든 IT 스트리밍및기록데이터를사용합니다. 여기에는이벤트로그, 웹로그, 라이브애플리케이션로그, 네트워크피드, 시스템메트릭, 변경모니터링, 메시지대기열, 아카이브파일또는기타관심있는모든항목이포함됩니다. 데이터는 Splunk 인덱서와동일한시스템에있거나 ( 로컬데이터 ) 모두다른시스템에있을수있습니다 ( 원격데이터 ). 로컬데이터와원격데이터에대한자세한내용은데이터가져오기매뉴얼의 " 내데이터는어디에있습니까?" 를참조하십시오. 일반적으로 Splunk 입력원본을다음과같이분류할수있습니다. 파일및디렉터리 : 관심있는많은데이터를파일과디렉터리에서직접가져옵니다. 10

11 네트워크이벤트 : Splunk 에서네트워크포트의원격데이터및원격장치의 SNMP 이벤트를인덱싱할수있습니다. Windows 원본 : Splunk Windows 버전은 Windows 이벤트로그, Windows 레지스트리, WMI, Active Directory 및성능모니터링을비롯하여광범위한 Windows 별입력을포함합니다. 기타원본 : Splunk 에서는 FIFO 대기열및스크립트입력등 API 및다른원격데이터인터페이스에서데이터를가져오기위한다른입력원본도지원합니다. 데이터입력을지정하는방법 새데이터유형에대해 Splunk 에게알려주는방식으로 Splunk 에새데이터유형을추가합니다. 이작업을수행하는다양한방법이있습니다. Splunk Web. Splunk Web 데이터입력페이지를사용하여대부분의입력을구성할수있습니다. Splunk Web 데이터입력페이지는 GUI 기반입력구성방식을제공합니다. 이방법을사용하여 Splunk 에튜토리얼데이터를추가합니다. 앱. Splunk 에는다양한유형의데이터원본에대해사전구성된입력을제공하는광범위하고계속확장되는앱과추가기능이있습니다. 자세한내용은 " 앱사용 " 을참조하십시오. Splunk 의 CLI. CLI( 명령줄인터페이스 ) 를사용하여대부분의입력유형을구성할수있습니다. "CLI 사용 " 을참조하십시오. inputs.conf 구성파일. Splunk Web 또는 CLI 를사용하여입력을지정하면구성이 inputs.conf 파일에저장됩니다. 원하는경우해당파일을직접편집할수있습니다. 일부고급데이터입력요구사항을처리하기위해편집이필요할수도있습니다. "inputs.conf 편집 " 을참조하십시오. 입력구성에대한자세한내용은 " 입력구성 " 을참조하십시오. Splunk 가데이터를저장하는위치 Splunk 데이터리포지토리는인덱스로불립니다. 인덱싱 ( 또는이벤트처리 ) 과정에서 Splunk 는빠른검색및분석이가능하도록수신데이터스트림을처리하고그결과를이벤트로만들어인덱스에저장합니다. 이벤트는다음두가지범주로분류되는일련의파일로인덱스에저장됩니다. 압축형원시데이터 ( 원시데이터 ). 인덱스파일및원시데이터를가리키는일부메타데이터파일. 이파일은에이지 (age) 별로구성된버킷이라는디렉터리집합에있습니다. 자세한내용은인덱서및클러스터관리매뉴얼의 "Splunk 에서인덱스를저장하는방법 " 을참조하십시오. Splunk 는기본적으로모든사용자데이터를사전구성된단일인덱스에넣습니다. 또한내부적으로사용하기위한여러인덱스가있습니다. 데이터요구사항에맞추기위해새인덱스를추가하거나기존인덱스를관리할수있습니다. 인덱서및클러스터관리매뉴얼의 " 인덱스관리에대하여 " 를참조하십시오. 이제 Splunk 데이터입력및인덱스에익숙해졌으므로다음항목으로이동하여튜토리얼샘플데이터를 Splunk 에추가합니다. Splunk 로튜토리얼데이터가져오기 Splunk 는파일과디렉터리, 네트워크포트및사용자지정스크립트에서수집할수있는모든데이터를사용합니다. 이튜토리얼을완료하기위해파일을직접 Splunk 로업로드합니다. 이항목에서는튜토리얼데이터집합을다운로드하고 Splunk 에이데이터집합을추가하는과정에대해설명합니다. 이튜토리얼은몇시간에걸쳐완료하도록구성되었지만며칠과정으로늘리려면새샘플데이터파일을다운로드하여추가하면됩니다. 샘플데이터파일다운로드 여기서튜토리얼데이터파일을다운로드하고압축을풀지마십시오. tutorialdata.zip 이튜토리얼데이터파일은매일업데이트되며이전 7 일동안타임스탬프된이벤트를보여줍니다.. Splunk 에샘플데이터추가 1. Splunk 에로그인합니다. 그러면 Splunk 홈으로이동합니다. Splunk 홈이나타나지않으면 Splunk 메뉴모음에서 Splunk 로고를클릭합니다. Splunk 로고는창왼쪽상단에있습니다. 2. 데이터패널에서데이터추가를클릭합니다. 그러면선택할수있는데이터유형및원본리스트를제공하는데이터추가창이열립니다. 튜토리얼데이터는압축된파일원본입니다. 11

12 3. " 또는데이터원본선택 " 에서파일또는디렉터리에서를클릭합니다. Splunk 인덱스에추가하기전에데이터를미리볼수있는데이터미리보기대화상자가표시됩니다. 이튜토리얼에서는이작업을수행할필요가없습니다. 데이터미리보기에대해자세히알려면데이터가져오기매뉴얼의 " 데이터미리보기개요 " 를참조하십시오. 4. 미리보기건너뛰기를선택하고계속을클릭합니다. Splunk 에게데이터원본에액세스하는방법을지시할수있는데이터추가 > 파일및디렉터리 > 새로추가가표시됩니다. 5. Source 에서파일업로드및인덱스를선택하고방금다운로드한튜토리얼데이터파일 tutorialdata.zip 을찾아봅니다. 파일또는디렉터리의 source 는파일또는디렉터리의전체경로이름입니다. 6. 추가설정을선택합니다. " 추가설정 " 옵션에서 Host, Source type 및 Index 에대한 Splunk 의기본설정을재지정할수있습니다. 이튜토리얼에서는압축된파일에서파일위치에따라호스트이름을이벤트에할당하기위해호스트설정을수정해야합니다. 메뉴에서경로의세그먼트를선택합니다. 세그먼트번호로 1 을입력합니다. 12

13 7. 저장을클릭합니다. 작업이완료되었으면 Splunk 는업로드가성공했다는메시지를표시합니다. 8. 홈으로돌아갑니다. 이제홈의데이터패널에방금추가한데이터의요약이표시됩니다. Splunk 에다른데이터가없으면다음과비슷하게나타납니다. 데이터요약 이압축된튜토리얼데이터에는가상온라인게임상점 Buttercup Games 에대해생성된이벤트가포함됩니다. 이벤트는다음의세가지 source type 의데이터를나타냅니다. Apache 웹서버로그보안서버로그전역판매공급업체 5 개의 host 와 8 개의 source 가있어야합니다. 현재이튜토리얼의예에서는 Apache 웹서버로그만사용합니다. 이사항은향후반복시변경될수있습니다. 이테이블의일부예에서는외부룩업테이블의데이터가필요합니다. 이제 Splunk 에데이터를추가했으므로, 다음항목에서는 Splunk 에룩업테이블을추가하는방법에대해설명합니다. Splunk 에룩업파일추가 13

14 이튜토리얼에서작성하는데이터모델과피벗에는외부룩업파일의일부필드가필요합니다. 이항목에서는필요한룩업을 Splunk 에추가하고새룩업정의를작성하는방법에대해설명합니다. 룩업정의를작성하고 CSV 파일을업로드하는방법에대한자세한내용은 " 필드룩업을사용하여이벤트에정보추가 " 를참조하십시오. 룩업파일다운로드 다음 csv 파일을다운로드하여압축을풉니다. prices.csv.zip 이파일은 Buttercup Games 튜토리얼데이터의필드에존재하는 productid 를제품이름및가격으로매핑합니다. 룩업파일업로드 1. 설정 > 룩업으로이동하여룩업테이블파일에대해새로추가를클릭합니다. 2. 대상앱에서검색을선택합니다. 3. 룩업파일업로드에서 prices.csv csv 파일을찾습니다. 4. 대상파일이름을 prices.csv 로입력합니다. 5. 저장을클릭합니다. 데이터모델의정의에포함하는모든룩업테이블파일및룩업정의는전체적으로공유되어야합니다. 룩업테이블파일의공유편집 룩업테이블파일에대한공유권한을편집하려면다음작업을수행하십시오. 1. 룩업 > 룩업테이블파일로이동합니다. 2. prices.csv 룩업테이블경로에대한공유에서권한을클릭합니다. 3. 개체표시위치에서모든앱을선택합니다. 4. 저장을클릭합니다. 이제룩업파일이업로드및공유되었으므로룩업정의를편집하여데이터에추가할필드를지정해야합니다. 룩업정의추가 1. 룩업리스트에서룩업정의에대해새로추가를클릭합니다. 2. 대상앱에서검색을선택합니다. 3. 이름을 price_lookup 으로입력합니다. 4. 룩업파일에서 prices.csv 를선택합니다. 5. 저장을클릭합니다. 룩업 > 룩업정의에대한권한을모든앱과공유하도록업데이트합니다. 이장에서는이튜토리얼을완료하는데필요한데이터를설정했습니다. 다음장에서는데이터모델에대해알아보고데이터모델 2 개를작성합니다. 파트 4: 데이터모델작성 데이터모델및데이터모델개체에대하여 이장의항목에서는데이터모델작성기를사용하여튜토리얼데이터에대한데이터모델을설계하고작성하는방법에대해설명합니다. 데이터모델이란무엇입니까? 데이터모델은하나이상의데이터집합에대한시맨틱정보의계층구조로구성된검색시간매핑입니다. 데이터모델은해당데이터집합의다양한특수검색을작성하는데필요한도메인정보를인코딩합니다. 간단히말하면데이터모델은검색을생성합니다. 이러한특수검색은 Splunk 에서피벗사용자를위한보고서를생성하는데사용됩니다. 14

15 효과적인데이터모델을작성하려면데이터원본 ( 로그파일에서파생되거나 TCP/UDP 네트워크에서입력되거나 API 에대한스크립트입력에서수신됨 ) 및데이터시맨틱 ( 데이터의다양한필드가추출, 관련, 구성되는방식 ) 을이해해야합니다. 이정보는데이터모델아키텍처에영향을미칠수있습니다. 데이터모델은이전에설정또는 props.conf 및 transforms.conf 의직접편집을통해설정한추출값에서필드를가져올수있습니다. 그러나데이터모델을정의하는경우검색시 regex 기반필드추출, 룩업및 eval 식을통해추가필드를가져오도록설정할수도있습니다. 이튜토리얼에서데이터원본은웹액세스및보안로그파일입니다. 대부분의필드는자동으로추출됩니다. 다른필드는룩업파일을사용하여추가되고 eval 식을사용하여계산됩니다. 데이터모델개체에대하여 데이터모델은하나이상의개체로구성됩니다. 각개체는인덱스의데이터집합에해당하는데이터집합입니다. 개체는이벤트개체, 검색개체, 트랜잭션개체, 하위개체의 4 가지유형으로구분됩니다. 데이터모델의개체는상위 / 하위관계로정렬할수있습니다. 각각의상위레벨또는루트개체는상위개체의제한조건과속성을상속하고자체적인제한조건과속성을추가로갖는하위개체를가질수있습니다. 참고 : 데이터모델개체는 knowledge object 의범주입니다. 그러나데이터모델개체는종종추출된필드, 계산된필드, 룩업등다른 knowledge object 를사용하여데이터모델이나타내는데이터집합을정의합니다. 개체제한조건 모든데이터모델개체는개체와관련이없는이벤트를필터링하는제한조건집합에의해정의됩니다. 이러한제한조건은개체가나타내는데이터집합을정의하는데도움이됩니다. 일반적인제한조건은파이프와추가검색명령을추가하기전, 검색의첫번째부분처럼보입니다. 제한조건은하위개체에의해상속되어각하위개체가상위개체에의해표시되는데이터의하위집합을나타냅니다. 그런다음, 피벗사용자는이러한하위개체를사용하여필요없는데이터가이미사전필터링된데이터집합을사용하여보고서를설계할수있습니다. 개체속성 개체의속성은개체가나타내는데이터집합과연관된필드의집합입니다. 개체속성에는자동추출, Eval 식, 룩업, 정규식, Geo IP 등 5 가지가있습니다. 개체속성은상속됩니다. 하위개체는상위개체에속하는모든속성을자동으로가집니다. 특정개체에대해필요한모든속성이루트개체에서정의되고하위개체가해당개체의제한조건에의해서만루트개체및다른하위개체와구분되는비교적간단한데이터모델을설계할수있습니다. 속성은여러용도로사용할수있습니다. 가장분명한기능은피벗사용자가피벗보고서를정의하고생성하기위해사용할수있는필드집합을제공하는것입니다. 피벗사용자가액세스할수있는필드집합은사용자가피벗에들어갈때선택하는개체에의해결정됩니다. 피벗사용자에게해당개체가적용되는데이터집합관련필드를제공하기위해하위개체에속성을추가할수도있습니다. 데이터모델에대해자세히알아보기 이항목에서는튜토리얼데이터에대해데이터모델을작성하기위해알아야하는내용만설명했습니다. 자세한내용은지식관리자매뉴얼의 " 데이터모델에대하여 " 및 " 데이터모델개체설계 " 를참조하십시오. 다음항목으로이동하여새데이터모델을작성하십시오. 새데이터모델작성 이항목에서는튜토리얼데이터를기반으로새데이터모델을작성하는방법에대해설명합니다. 데이터모델은피벗내에작성되며데이터모델을작성하려면 admin 또는 power 역할이있어야합니다. 데이터모델을작성하기위한역할설정 기본적으로 admin 또는 power 역할이있는사용자만데이터모델을작성할수있습니다. 다른사용자의경우데이터모델을작성할수있는지여부는사용자의역할에앱에대한 " 쓰기 " 액세스권한이있는지여부와관련이있습니다. 처음설치했기때문에기본적으로 admin 권한이부여되고계속할수있습니다. 데이터모델을작성하거나편집할수없는경우권한을확인해야합니다. 자세한내용은지식관리자매뉴얼의 " 데이터모델권한에대하여 " 를참조하십시오. 데이터모델관리페이지로이동 데이터모델은피벗에작성됩니다. 1. Splunk 홈에없는경우 Splunk 메뉴모음에서 Splunk 로고를클릭하여홈으로돌아갑니다. 15

16 2. 검색및보고앱에서피벗을클릭합니다. 데이터모델선택페이지가표시됩니다. 이페이지에서피벗사용자가피벗을작성하기위해사용하려는데이터모델을선택할수있습니다. 3. 데이터모델관리를클릭하여데이터모델관리페이지를표시합니다. 데이터모델관리페이지는데이터모델리스트페이지입니다. 이페이지에서기존데이터모델의권한, 가속화, 복제및제거를관리할수있습니다. 또한새데이터모델도작성할수있습니다. Splunk 에서설정리스트를통해이페이지에액세스할수있습니다. 설정 > 데이터모델로이동하여데이터모델관리를클릭하십시오. 새데이터모델작성 새데이터모델작성대화상자에서다음작업을수행하십시오. 1. 제목을 "Buttercup Games" 로입력합니다. 제목필드에는공백과모든문자를입력할수있습니다. 여기에입력하는값이데이터모델리스트페이지에표시됩니다. 2. ID 를 "Tutorial" 로입력합니다. 이항목은선택사항입니다. ID 를변경하지않으면 "Buttercup_Games" 로자동설정됩니다. ID 는데이터모델의고유식별자여야합니다. 공백이나영숫자, 밑줄, 하이픈 (a-z, A-Z, 0-9, _ 또는 -) 이아닌문자를 ID 에사용할수없습니다. 문자간의공백도허용되지않습니다. 데이터모델 ID 를정의한후에는변경할수없습니다. 3. 메뉴에서 " 검색및보고 " 앱을선택합니다. 4. 설명에 " 튜토리얼데이터에대한데이터분석및보고사용 " 을입력합니다. 5. 만들기를클릭하여 Buttercup Games 개체편집페이지를엽니다. 16

17 이페이지에서데이터모델에대한개체를작성하고개체의제한조건및속성을정의하고개체를논리적계층구조로정렬하고개체를유지할수있습니다. 다음항목으로이동하여 Buttercup Games 데이터모델에루트개체를추가하십시오. 데이터모델에대한루트개체정의 마지막항목에서 "Buttercup Games" 데이터모델을작성했습니다. 이항목에서는 Buttercup Games 구입에대한루트개체를추가하는방법에대해설명합니다. 데이터모델에대한개체편집 개체편집페이지를사용하여새데이터모델을설계하거나기존데이터모델을다시설계하십시오. 개체편집페이지에서데이터모델에대한개체를작성하고개체의제한조건및속성을정의하고개체를논리적개체계층구조로정렬하거나유지할수있습니다. 피벗의데이터모델선택페이지에서화살표를클릭하여 Buttercup Games 데이터모델행을확장합니다. 해당데이터모델에대한세부정보가표시됩니다. 개체편집을클릭하여개체편집페이지를엽니다. 루트개체추가 데이터모델은일반적으로루트이벤트개체위에구축된개체계층으로구성됩니다. 각루트이벤트개체는제한조건에의해정의되는데이터집합을나타내고,. 제한조건은개체와관련이없는이벤트를필터링하는단순검색입니다. Buttercup Games 웹사이트에서구입요청을추적하기위해개체를작성해보겠습니다. 1. 데이터모델의첫번째이벤트기본개체를정의하려면개체추가를클릭합니다. 첫번째루트개체는루트이벤트또는루트검색입니다. 2. 루트이벤트를선택합니다. 이벤트개체추가편집기가표시됩니다. 17

18 3. 개체이름을입력합니다 : 구입요청 개체이름필드에는공백과모든문자를입력할수있습니다. 여기에입력하는값이개체선택페이지및기타데이터모델개체가나열되는위치에표시됩니다. 4. 개체 ID 를입력합니다 : Purchase_Requests 이값은개체이름을입력할때자동으로채워집니다. 개체 ID 를변경하려는경우편집할수있습니다. 개체 ID 는개체의고유식별자여야합니다. 공백이나영숫자, 밑줄, 하이픈 (a-z, A-Z, 0-9, _ 또는 -) 이아닌문자를 ID 에사용할수없습니다. 문자간의공백도허용되지않습니다. 개체 ID 값을저장한후에는편집할수없습니다. 5. 다음과같은제한조건을입력합니다. sourcetype=access_* action=purchase 구입이벤트인웹액세스페이지요청이정의됩니다. 이벤트기본개체에대한제한조건을입력한후미리보기를클릭하여입력한제한조건에따라원하는종류의이벤트가반환되는지여부를테스트할수있습니다. 6. 저장을클릭합니다. 루트개체의속성리스트에는 host, source, sourcetype, _time 이있습니다. 클라이언트및서버오류에하위개체를추가하려면추가속성을포함하도록속성리스트를편집해야합니다. 다음항목으로이동하여구입요청에속성을추가하십시오. 속성리스트편집 자동으로추출된속성추가 18

19 자동추출속성유형은 Splunk 가검색시추출하는필드입니다. 이필드는기본필드와같이 Splunk 가기본적으로자동추출하는필드또는관리자에서정의하거나 props.conf 및 transforms.conf 에서구성한추출입니다. 개체편집 : Buttercup Games 페이지에서다음작업을수행합니다. 1. 속성추가를클릭하고자동추출을선택합니다. 자동추출된필드추가창이열립니다. 2. 자동추출된필드리스트를스크롤하고 action, categoryid, productid 및 status 필드를선택합니다. status 필드의경우유형에서데이터유형이숫자이고선택사항을선택합니다. 개체속성은팔수, 선택사항, 숨김또는숨김및필수입니다. 필수 : 개체가나타내는모든이벤트에속성 ( 추출된필드 ) 이표시되어야함을의미합니다. 즉, 속성을가지지않은모든이벤트가필터링되어사실상개체와연관된모든제한조건보다우선되는다른제한조건이설정됩니다. 선택사항 : 개체가나타내는모든이벤트에속성이표시되지않아도됨을의미합니다. 속성은일부개체이벤트에만표시되고다른이벤트에는표시되지않을수있습니다. 숨김 : 피벗사용자가피벗컨텍스트에서개체를선택할때속성이표시되지않음을의미합니다. 이속성은 eval 식속성과같은다른속성을정의하기위해사용되기때문에개체에만추가되는필드속성에사용할수있습니다. 숨김을선택하는경우속성은선택사항이기도합니다. 숨김및필수 : 속성이숨김및필수임을의미합니다. 3. 저장을클릭합니다. 룩업테이블의룩업속성추가 룩업속성을작성하려면시스템 > 룩업 > 룩업정의에서정의된하나이상의룩업정의가필요합니다. Splunk 에서룩업정의를통해룩업테이블의위치및룩업테이블에연결하는방법을알수있습니다. 룩업정의가지정되면 Splunk 에서사용자가선택한속성값을룩업테이블의필드값과일치시키고해당하는필드 / 값조합을반환한후룩업속성으로개체에적용할수있습니다. 참고 : 필드룩업은이데이터모델개체를편집하기전에업로드하고정의해야합니다. 먼저 prices.csv 룩업테이블을추가하 19

20 고 price_lookup 을정의해야합니다. 그렇지않은경우이전항목으로돌아가이작업을수행한후계속하십시오. 또한룩업속성은자동이아닌룩업정의에서추가됩니다. 자동룩업을정의하는경우필드가자동으로이벤트에추가됩니다. 이경우필드는자동추출된속성리스트에표시됩니다. price_lookup 에는 Buttercup Games 웹사이트에서판매되는각품목을설명하는제품이름및가격이포함됩니다. 이필드를구입요청개체에추가하려면룩업속성을구성해야합니다. 1. 개체편집페이지의개체리스트에서구입요청을선택합니다. 2. 속성추가를클릭하고룩업을선택합니다. 룩업을사용하여속성편집페이지가열립니다. 3. price_lookup 룩업테이블을선택합니다. 4. 입력에서속성 productid 를선택하고룩업의필드 : productid 를입력합니다. 룩업의필드는 csv 룩업테이블 ( 또는이경우 productid) 에서사용되는필드의이름입니다. csv 룩업테이블에는다음과같은헤더값이있습니다. productid,product_name,price,sale_price,code DB-SG-G01,Mediocre Kingdoms,24.99,19.99,A 5. 출력필드 price 및 productname 필드를추가합니다. price 의경우룩업의필드, 필드이름및표시이름은 price 로같을수있습니다. price 값은유형 number 및플래그 Optional 입니다. productname 에대해룩업의필드 product_name 를입력합니다. 필드이름및표시이름출력이름을 productname 으로변경합니다. productname 값은유형 String 및플래그 Optional 입니다. 완료된편집기는다음과같습니다. 이러한제한조건과일치하는샘플을보려면저장하기전에미리보기를클릭하십시오. 6. 저장을클릭합니다. 20

21 이제루트개체를작성하고필수속성을추가했으므로하위개체를추가할수있습니다. 하위개체정의 이전항목에서는 Buttercup Games 웹사이트에서구입을추적하기위해 " 구입요청 " 루트개체를추가했습니다. 이항목에서는하위개체를추가하여성공한구입과실패한구입을추적하는방법에대해설명합니다. 하위개체추가 하위개체는상위개체에속한모든제한조건과속성을상속합니다. 새하위개체를정의하는경우개체가나타내는데이터집합에초점을맞추기위해하나이상의제한조건을지정합니다. " 성공적인구입 " 에대한하위개체를추가하려면를수행하십시오. 1. Buttercup Games 개체편집기페이지에서개체추가를클릭하고하위를선택합니다. " 하위개체추가 " 편집기창이열립니다. 2. 개체이름을입력합니다 : 성공적인구입 3. 개체 ID를입력합니다 : Successful_Purchases 4. 상속원본에서구입요청을선택합니다. 이하위개체는상위개체구입요청의모든속성을상속하게됩니다. 5. 추가제한조건을입력합니다. status=200 즉, 이개체에있는이벤트검색은확장하면다음과같습니다. sourcetype=access_* action=purchase status= 저장을클릭합니다. 21

22 두번째하위개체추가 1-6 단계에따라추가제한조건 status!=200 을갖는 " 실패한구입 " 하위개체를추가합니다. " 상속원본 " 을선택한다음 " 구입요청 " 을선택해야합니다. 이제데이터모델을작성했으므로피벗보고서를생성할수있습니다. 다음장으로이동하여피벗및피벗보고서를작성하는방법에대해알아보십시오. 파트 5: 피벗보고서설계 피벗에대하여 Splunk 의피벗도구를사용하면선택한데이터모델의여러측면을테이블, 차트및데이터시각화형식으로보여주는보고서를신속하게설계할수있습니다. 피벗을사용하면 Splunk 의검색언어를배우거나이해하지않고도사용하기쉬운 UI 인터페이스를사용하여피벗을생성할수있습니다. 피벗액세스 다음을통해피벗에액세스할수있습니다. Splunk 홈 : 검색및보고앱작업영역에서피벗을클릭합니다. 앱 > 검색 & 보고 : 검색및보고앱의첫번째페이지인검색대시보드가표시됩니다. 앱탐색메뉴에서피벗을클릭합니다. 피벗에들어가면데이터모델선택페이지가표시되고이페이지에는지금까지작성된데이터모델리스트가나타납니다. 22

23 데이터모델을클릭하면개체선택페이지가표시되고이페이지에는선택한데이터모델에서작성된모든개체의리스트가나타납니다. 화살표를클릭하여각개체와연관된제한조건및속성을표시하거나숨길수있습니다. 개체를클릭하면해당개체에대한새피벗작성기가열립니다. 피벗의구성요소 시각화유형메뉴 : 왼쪽세로막대에는시각화유형을나타내는여러아이콘이포함되어있습니다. 선택하는아이콘에따라다른피벗작성기및보고서인터페이스가표시됩니다. 시각화유형으로통계테이블 ( 기본값 ), 세로막대형차트, 23

24 막대형차트, 산포도, 면적차트, 꺽은선형차트, 파이차트, 단일값표시, 방사형게이지, 마커게이지및필러게이지가있습니다. 문서동작메뉴 : 상단가로막대에는현재보고서의이름및모든문서관련동작이표시되고다음과같은동작이포함됩니다. 다른이름으로저장...: 현재보고서를새보고서 ( 보고서 ) 나대시보드패널 ( 대시보드패널 ) 로저장합니다. 지우기 : 인터페이스를초기상태로재설정합니다. 즉, 저장된보고서가삭제되고 ( 해당하는경우 ), 시각화유형이통계테이블로변경되고, 보고서가개체개수에대한단일컬럼값및전체시간에대한시간필터로채워집니다 (_time 이적용가능한필드인경우 ). 데이터원본 : 데이터모델리스트 ( 다른데이터모델선택 ) 및데이터모델개체리스트로돌아가고 ( 다른개체선택 ) 선택한데이터모델개체를편집합니다 ( 개체편집 ). 또한가속화를다시작성하고가속화작업을검사할수있습니다. 작업동작메뉴 : 하단가로막대에는현재작업및사용가능한작업관련동작의상태를모니터링할수있는진행률막대가표시됩니다. 수행가능한동작에는공유, 인쇄, 내보내기, 검색에서열기가있습니다. 검색에서열기를클릭하면현재검색문자열이표시된검색뷰로이동합니다. 이항목에서는피벗인터페이스에대해간략하게설명했습니다. 다음항목으로이동하여앞장에서피벗을사용하여작성한 Buttercup Games 데이터모델에서보고서를작성해보십시오. 피벗작성및저장 이항목에서는피벗을사용하여간단한보고서를작성한후보고서를저장하는방법에대해설명합니다. 이예에서는앞장에서작성한데이터모델개체를사용합니다. 데이터모델개체가없는경우 " 새데이터모델작성 " 을참조하십시오. 이예는매우간단한예입니다. 보다복잡한예는이튜토리얼의뒷항목에나와있습니다. 새피벗작성 보고서설계를시작하려면먼저사용할광범위한범주의이벤트데이터를나타내는데이터모델을선택해야합니다. 이튜토리얼에서는데이터모델이 "Buttercup Games" 입니다. 1. 앱탐색메뉴에서피벗을선택하여 " 데이터모델선택 " 페이지로이동합니다. 2. Buttercup Games 데이터모델을선택하여사용할데이터집합을식별합니다. 개체선택페이지가표시됩니다. Buttercup Games 데이터모델에는게임웹사이트의구입요청을추적하기위한루트개체가있습니다. 구입요청은성공한구입과실패한구입으로구분됩니다. 3. " 구입요청 " 을선택합니다. 구입요청개체에대한새피벗편집기가열립니다. 기본적으로피벗편집기인터페이스에는피벗테이블을정의하기위한요소가표시됩니다. 기본피벗요소범주에는필터, 행분할, 컬럼분할, 컬럼값등 4 가지가있습니다. 특정개체에대해피벗편집기를처음여는경우다음 2 가지요소만정의됩니 24

25 다. 시간범위필터요소 ( 전체시간으로설정됨 ) 컬럼값요소 ("<object_name> 개수 " 로설정됨 ) 따라서전체시간에서개체에의해반환된이벤트의총개수를나타내는단일값이제공됩니다. 이경우이개수는 " 구입요청의개수 " 입니다. 4. 시각화메뉴에서 " 단일값표시 " 요소를선택합니다. 기본적으로시간범위필터요소는 " 전체시간 " 으로설정됩니다. 단일값시각화 ( 단일값, 3 개의게이지유형 ) 는첫번째컬럼값을사용하여단일값을가져옵니다. 여기서는 " 구입요청의개수 " 입니다. 단일값시각화에서는행분할또는컬럼분할요소를사용하지않습니다. 피벗을보고서로저장 피벗을정의한후보고서또는대시보드패널로저장할수있습니다. 이예에서는단일값표시를보고서로저장합니다. 대시보드및대시보드패널에대해서는뒷장에서설명합니다. 1. 다른이름으로저장... 을클릭하고보고서를선택합니다. 2. 제목 " 총구입요청수 " 및설명 ( 선택사항 ) 을입력합니다. 3. 예를선택하여시간범위선택기를포함합니다. ( 이값이기본값입니다.) 4. 저장을클릭합니다. 보고서가저장된후 " 보고서가작성되었습니다 " 창이표시됩니다. 현재피벗을계속편집하거나피벗을대시보드에추가하거나저장된보고서에대한추가설정을변경하거나보고서를볼수있습니다. 25

26 피벗에서작성된보고서는항상현재앱및소유자네임스페이스아래저장됩니다. 앱탐색메뉴의보고서에서모든보고서를보고편집할수있습니다보고서리스트를찾으려면녹색슬라이더를클릭하여앱탐색메뉴를여십시오. 이항목에서는피벗을사용하여보고서를작성하고저장했습니다. 다음항목으로이동하여피벗시각화를더작성해보십시오. 피벗테이블작성 이전항목에서피벗을사용하여구입요청의총개수를찾고단일값표시를보고서로저장했습니다. 이항목에서는피벗시각화편집기를사용하여 Buttercup Games 의성공적인구입개체피벗테이블을작성합니다. 성공적인구입개체는 Buttercup Games 웹사이트에서구입한제품에대한속성을갖습니다. 여기에는자동추출된속성 (categoryid 및 productid) 과룩업속성 (price 및 product_name) 이포함됩니다. Buttercup Games 온라인상점에서는다양한범주의수백가지제품을제공하며, 사용자는지난주에판매된품목에대해더자세히알아보려고합니다. 구입이벤트의총수를제품별로구분하는피벗보고서를작성하여해당기간동안어떤제품이가장많이팔렸는지빨리확인할수있습니다. 새피벗정의 1. 앱탐색메뉴에서피벗을선택하여 " 데이터모델선택 " 페이지로이동합니다. 2. Buttercup Games 데이터모델을선택한다음성공적인구입하위개체를선택합니다. 개체에대한새피벗편집기가열립니다. 기본적으로피벗편집기에는다음 2 개의요소가정의된테이블시각화가표시됩니다. 시간범위필터요소 ( 전체시간으로설정됨 ) 컬럼값요소 (" 성공적인구입의개수 " 로설정됨 ) 피벗요소추가 각피벗요소범주에서여러요소를추가하여피벗테이블을정의할수있습니다. 테이블에제공해야하는정보를결정하는중에피벗요소를쉽게추가, 정의및제거할수있습니다. 26

27 피벗요소를추가하려면 : + 아이콘을클릭합니다. 요소대화상자가열리면속성을선택한후요소에서해당속성을사용하는방식을정의할수있습니다. 요소를검사하거나편집하려면 : 요소의 " 연필 " 아이콘을클릭합니다. 요소대화상자가열립니다. 피벗요소를재정렬하고전송하려면 : 요소를피벗요소범주내에끌어다놓아재정렬합니다. 요소를요소범주사이에서끌어다놓아전송합니다. 피벗편집기에서피벗요소를제거하려면 : 요소대화상자를열고제거단추를클릭하거나요소가빨간색으로변할때까지위나아래로끈다음놓습니다. 현재피벗테이블에는단일값인전체시간에걸친성공적인구입의총개수가표시됩니다. 다른시간범위의성공적인구입을표시하도록시간필터를변경할수있습니다. 필터에서전체시간옆의연필을클릭하여시간범위선택기를엽니다. 지난주또는지난 7 일간의데이터를보려면 " 미리설정 > 상대 " 에서 " 지난 7 일 " 을클릭합니다. 시간필터는피벗을작성하는경우항상존재하며제거할수없습니다. 시간필터는피벗이결과를반환하는시간범위를정의하며, Splunk Web 에서사용되는시간범위메뉴와정확히똑같이작동합니다. 자세한내용은검색매뉴얼의 " 시간범위를선택하여검색에적용 " 을참조하십시오. ( 이벤트가표시되지않으면 " 전체시간 " 을선택하고계속할수있습니다.) 각제품에대한성공적인구입의개수를이름별로확인하려면다음작업을수행하십시오. 행분할에서 + 를클릭하고 productname 을선택합니다. 이필드는 productid 를기반으로한각제품의이름이포함된룩업필드입니다. Product Name 필드의이름을변경하고 ' 테이블에추가 ' 를선택합니다. price 컬럼도테이블에추가할수있습니다. 행분할에서 + 를클릭하고 price 를선택합니다. Price 필드의이름을변경하고 ' 테이블에추가 ' 를선택합니다. 이제컬럼값을추가하여성공적으로구입된각제품의총개수를확인합니다. 컬럼값에서 + 를클릭하고 price 를선택합니다. 27

28 Sum of Price 레이블을입력합니다. Sum 값을선택합니다. 테이블에추가를클릭합니다. 피벗테이블저장피벗테이블을제품별구입보고서로저장합니다. 다음항목으로이동하여간단한피벗시각화를작성해보십시오. 28

29 피벗차트작성 이전항목에서는피벗시각화편집기를사용하여테이블을작성했습니다. 이항목에서는동일한개체를사용하여 2 가지차트시각화를작성합니다. 새피벗정의 1. 앱탐색메뉴에서피벗을선택하여 " 데이터모델선택 " 페이지로이동합니다. 2. Buttercup Games 데이터모델을선택한다음성공적인구입하위개체를선택합니다. 개체에대한새피벗편집기가열립니다. 시각화유형은피벗편집기왼쪽하단의검은색사이드바에나열되어있습니다. 기본적으로피벗을시작하면통계테이블시각화가선택됩니다. 이시각화는피벗을테이블로작성한후원하는시각화로전환하는데유용합니다. 피벗시각화간을전환하는경우피벗은시각화를작성하는데필요한요소를찾고필요하지않은요소를삭제하며필요한요소를정의해야하는경우사용자에게알립니다. 이사항은차트유형뿐만아니라테이블및차트간을전환하는경우에도적용됩니다. 마지막항목에서는제품 ID 및이름별로구입을확인했습니다. 이제범주별로성공적인구입의개수에대한보고서를작성해보겠습니다. 3. 행분할에서 + 를클릭하고리스트에서 categoryid 를선택합니다. 4. 레이블범주를입력하고저장을클릭합니다. 피벗테이블은다음과같습니다. 이제차트시각화로전환합니다. 5. 시각화메뉴에서세로막대형차트아이콘을클릭합니다. 29

30 세로막대형차트에서는피벗테이블정의의첫번째분할행요소를사용하여 x 축값을제공합니다. 이경우해당분할행은범주입니다. 세로막대형차트에서는피벗테이블정의의첫번째컬럼값요소를사용하여 x 축값을제공합니다. 여기서컬럼값은성공적인구입개수입니다. 이데이터는파이차트로도시각화할수있습니다. 6. 시각화메뉴에서파이차트아이콘을클릭합니다. 파이차트에서는첫번째분할행요소 ( 범주 ) 의값을사용하여조각의수와색상을결정합니다. 파이차트에서는첫번째컬럼값요소 ( 성공적인구입개수 ) 를사용하여조각의상대크기를결정합니다. 30

31 파이차트의조각위에마우스를놓으면메트릭 : 범주, 성공적인구입의개수및성공적인구입의총개수비율이표시됩니다. 이장에서는 3 개의피벗을작성하고그중 2 개를보고서로저장했습니다. 이마지막피벗차트는대시보드패널로저장할예정입니다. 다음장으로이동하여대시보드에대해알아보십시오. 파트 6: 대시보드작성 대시보드에대하여 Splunk 를사용하면 XML 코드를작성하지않고도인터랙티브하게대시보드를쉽게작성하고편집할수있습니다. 방금만든피벗을새대시보드또는기존대시보드에추가 : 대시보드패널만들기기능을사용하여원하는피벗시각화를생성한후에바로대시보드를만들수있습니다. 이기능은검색을기반으로대시보드패널을만들고새대시보드또는기존대시보드에추가하는과정을안내합니다. 이과정은피벗뷰에서수행됩니다. 대시보드편집기를사용하여대시보드를만들고대시보드패널로채우기 : 대시보드편집기를사용하여기존대시보드를편집할수도있습니다. 이대시보드만들기방법은대시보드패널기반으로사용할피벗보고서집합이있는경우에유용합니다. 대시보드권한변경 대시보드편집기에서대시보드에대한액세스권한을지정할수있습니다. 그러나사용자역할 ( 및해당역할에대해정의된기능 ) 에따라정의할수있는액세스유형이제한될수있습니다. Splunk 사용자역할이 ( 기본기능집합을보유한 ) 관리자인경우특정앱에만표시되거나모든앱에표시되는비공개대시보드를작성할수있습니다. 또한사용자, 관리자및특정기능을보유한다른역할과같이다른 Splunk 사용자역할에대한액세스권한을제공할수있습니다. 대시보드및다른 knowledge object 에대한권한을설정하는방법에대한자세한내용은관리자매뉴얼의 "knowledge object 권한관리 " 를참조하십시오. 대시보드패널시각화변경 대시보드편집기를사용하여패널을만든후시각화편집기를사용하여패널에표시되는시각화유형을변경하고해당시각화가표시및작동하는방식을결정하십시오. 시각화편집기를사용하는경우에만데이터구조요구사항이패널에대해지정된검색과일치하는시각화유형중에서하나를선택할수있습니다. Splunk 에서제공하는다양한시각화유형및형식지정 / 표시옵션의개요는데이터시각화매뉴얼의 " 시각화참조 " 항목을참조하십시오. 다양한시각화유형에필요한데이터구조에대한자세한내용은데이터시각화매뉴얼의 " 시각화를위한데이터구조요구사항 " 을참조하십시오. 대시보드의 XML 구성편집 XML 을사용하여대시보드를작성할필요는없지만대시보드의 XML 구성을편집하는방식으로대시보드의패널을편집할수있습니다. 따라서대시보드편집기에서사용할수없는기능을편집할수있습니다. 예를들어, XML 구성을편집하여대시보드의이름을변경하거나테이블의사용자지정행수를지정할수있습니다. 대시보드편집기를사용하여작성한대시보드에대해 XML 을편집하는방법에대한자세한내용은개발자매뉴얼의 " 단순 XML 을사용하여대시보드작성및편집 " 을참조하십시오. 대시보드에피벗추가 이항목에서는파트 5: 피벗보고서설계에서중단했던부분에이어서계속합니다. 마지막으로작성한피벗은파이차트였습니다. 파이차트를작성하지않은경우이전항목으로돌아가작성하십시오. 이제이시각화를새대시보드패널에저장한후이전의모든피벗보고서를동일한대시보드에추가하겠습니다. 31

32 피벗을대시보드패널로저장 파이차트를작성했으므로, 이제대시보드패널에저장하겠습니다. 1. 다른이름으로저장을클릭하고대시보드패널을선택합니다. 대시보드패널로저장대화상자가열립니다. 2. 먼저패널에저장할새대시보드를정의합니다. 대시보드에대해새로만들기를클릭합니다. 대시보드제목 : Buttercup Games 를입력합니다. 대시보드 ID 가 Buttercup_games 로업데이트됩니다. 대시보드설명 : Buttercup Games 온라인상점데이터에대한보고서를추가합니다. 3. 이제대시보드패널을정의할수있습니다. 패널제목 : 범주별성공적인구입을입력합니다. Panel Powered BY 를인라인검색으로남겨둡니다. 4. 저장을클릭합니다. 대시보드가성공적으로생성되었습니다. 이제대시보드를살펴보고대시보드에패널을추가해보겠습니다. 5. 계속하려면대시보드보기를클릭합니다. 32

33 대시보드패널보기및편집 대시보드를저장한후앱탐색메뉴에서대시보드를클릭하여액세스할수있습니다. 대시보드나열페이지가표시됩니다. 이페이지에서새대시보드를만들고기존대시보드를편집할수있습니다. 방금만든 Buttercup Games 대시보드가표시됩니다. i( 정보 ) 아래화살표를클릭하면해당앱컨텍스트, 예약여부및권한등대시보드에대한자세한정보가나타납니다. 정보와함께인라인으로대시보드의일정및권한을편집할수있는빠른링크도있습니다. 대시보드를보려면대시보드의제목을클릭하거나작업에서편집옵션을선택하십시오. 참고 : 대시보드를보기위해클릭했는데대시보드가표시되지않거나공백이표시되는경우데이터모델에대한읽기액세스권한이있는지확인하십시오. 데이터모델리스트 ( 피벗 > 데이터모델선택 > 데이터모델관리 ) 로이동하여 Buttercup Games 데이터모델에대한권한을편집하여앱에서공유하십시오. 저장한보고서를대시보드에추가 Buttercup Games 대시보드로돌아가보겠습니다. 1. Buttercup Games 에대한작업에서편집을클릭하고패널편집을선택합니다. Buttercup Games 대시보드패널편집기뷰가표시됩니다. 33

34 이뷰에는패널추가, 시간범위선택기추가및 Source 편집과같은편집단추가있습니다. 2. 시간범위선택기추가를클릭하고기본값을전체시간으로둡니다. 이시간범위선택기를사용하여패널에동일한시간범위를적용하는모든인라인검색을제한할수있습니다. 이전에만든저장된보고서중하나인다른패널을대시보드에추가해보겠습니다. 3. 패널추가를클릭합니다. 그러면패널추가대화상자가열립니다. 먼저 " 총구입 " 보고서를추가하겠습니다. 4. 콘텐츠제목을 " 총구입요청수 " 로입력합니다. 5. 콘텐츠유형에대해 " 보고서 " 를클릭합니다. 6. 저장된보고서리스트에서총구입요청수를선택합니다. 34

35 7. 패널추가를클릭합니다. 이제대시보드편집기페이지가다시표시되며 2 개의패널이나타납니다. 패널편집뷰에서패널을끌어와서대시보드에다시배치할수있습니다. 단일값표시를파이차트옆으로이동합니다. 8. 완료를클릭합니다. 대시보드는다음과같이표시됩니다. 35

36 . 대시보드에다른패널추가 저장한피벗테이블을동일한절차에따라대시보드에제품별구입으로추가하십시오. 완료된대시보드는다음과같습니다. 데이터모델및피벗튜토리얼이완료되었습니다. 다음장으로이동하여다음에수행할과정을살펴보십시오. Splunk 를더많이사용해보세요 이튜토리얼에서는데이터모델을작성한후데이터모델을사용하여피벗시각화및보고서를작성하는방법에대해간략하게설명했습니다. 이기능을사용하여더많은작업을수행할수있습니다. 자세한내용은다음항목을참조하십시오. 지식관리자매뉴얼의 " 데이터모델작성 " 장. 피벗매뉴얼의 " 피벗소개 ". 또한튜토리얼데이터를탐구하고더많은검색을실행하며더많은대시보드를만들어보십시오. Splunk Search Processing Language 에대해자세히알아보려면검색튜토리얼을참조하십시오. 36