Table of Contents 소개 검색튜토리얼에대하여 3 3 파트 1: Splunk Enterprise 다운로드및설치전제조건 Linux, Windows 또는 Mac OS X 에서 Splunk Enterprise 설치 Splunk Enterprise 시작및 Splun

Transcription

1 Splunk Enterprise 검색튜토리얼 생성일 : 오후 4 시 16 분 Copyright (c) 2015 Splunk Inc. All Rights Reserved

2 Table of Contents 소개 검색튜토리얼에대하여 3 3 파트 1: Splunk Enterprise 다운로드및설치전제조건 Linux, Windows 또는 Mac OS X 에서 Splunk Enterprise 설치 Splunk Enterprise 시작및 Splunk Web 실행 파트 2: Splunk Enterprise 시작하기 Splunk Web 탐색 파트 3: Splunk Enterprise 로데이터가져오기 Splunk Enterprise 로데이터가져오기에대하여 Splunk 로튜토리얼데이터가져오기 파트 4: Splunk 검색사용검색대시보드에대하여시간범위선택기에대하여검색작업및검색모드에대하여검색결과탭에대하여 파트 5: 튜토리얼데이터검색검색시작필드를사용하여검색검색언어사용하위검색사용필드룩업사용 파트 6: 보고서저장및공유보고서저장및공유에대하여추가검색및보고서 파트 7: 대시보드만들기대시보드에대하여대시보드및대시보드패널만들기대시보드에더많은패널추가 다음단계추가 Splunk 검색참고자료

3 소개 검색튜토리얼에대하여 Splunk 검색은 Splunk Enterprise 를사용하여검색을실행하고보고서를저장하고대시보드를만드는기본인터페이스입니다. 이검색튜토리얼은 Splunk Enterprise 와 Splunk 검색기능을처음사용하는사용자를위해작성되었습니다. 이튜토리얼에는어떤내용이있습니까? 이매뉴얼에서는초급사용자를대상으로데이터를추가하고, 데이터를검색하고, 검색을보고서로저장하며대시보드를만드는과정을안내합니다. Splunk 검색을처음사용하는경우이튜토리얼부터시작하는것이좋습니다. 파트 1: Splunk Enterprise 다운로드및설치에서는 Splunk Enterprise 를각플랫폼에서다운로드및설치하고시작하는절차에대해설명합니다. 파트 2: Splunk Enterprise 시작하기에서는 Splunk Enterprise 및검색을사용하는인터페이스인 Splunk Web 에대해설명합니다. 파트 3: Splunk Enterprise 로데이터가져오기에서는튜토리얼데이터를 Splunk Enterprise 에추가하는방법에대해설명합니다. 가상온라인게임스토어의웹서버및 MySQL 로그로구성된샘플데이터집합인튜토리얼데이터도다운로드할수있습니다. 파트 4: Splunk 검색사용에서는 Splunk Web 에서검색을실행하는데필요한부분에대해설명합니다. 여기에는검색대시보드, 시간범위선택기, 검색작업및기타옵션이포함됩니다. 파트 5: 튜토리얼데이터검색에서는필드사용, 검색어사용, 하위검색및필드룩업등의다양한검색방법에대해배웁니다. 파트 6: 보고서저장및공유에서는검색을보고서로저장하고공유하는절차에대해설명합니다. 파트 7: 대시보드만들기에서는다양한비즈니스요구사항을충족하는대시보드를만드는방법에대해설명합니다. PDF 만들기 이매뉴얼의 PDF 버전이필요할경우이페이지왼쪽의목차아래에있는빨간색검색튜토리얼을 PDF 로다운로드링크를클릭하십시오. 참고 : PDF 문서에있는검색식을 Splunk Web 으로직접복사하여붙여넣지마십시오. 이방식을사용할경우 PDF 형식에포함된숨겨진문자로인해오류가발생할수도있습니다. 파트 1: Splunk Enterprise 다운로드및설치 전제조건 이튜토리얼을시작하기전에먼저 Splunk Enterprise 를다운로드및설치한후시작해야합니다. 실행중인 Splunk 서버인스턴스에대한액세스권한이있는경우이절을건너뛰고파트 2: Splunk 시작하기로계속하십시오. 시스템요구사항 Splunk Enterprise 는 Linux, UNIX, Windows 및 Mac OS 를포함한대부분의컴퓨팅플랫폼에서실행됩니다. 이튜토리얼을사용하려면아래테이블에나열된사양을충족하는컴퓨터또는노트북이필요합니다. 플랫폼 비 Windows Windows 최소하드웨어사양 1x1.4GHz CPU, 1GB RAM Pentium 4 또는 2Ghz, 2GB RAM 의동등기종 Splunk 를설치한후에는웹브라우저를사용하여액세스할수있습니다. Splunk 6.0+ 는최신버전의 Firefox, Chrome 및 Safari 브라우저를지원합니다. 이상은 Splunk Enterprise 시스템요구사항을간단히요약한것입니다. 설치매뉴얼의 " 시스템요구사항 " 항목을참조하십시오. Splunk Enterprise 최신버전다운로드 Splunk.com 의다운로드페이지에서 Splunk Enterprise 의최신버전을다운로드하십시오. Splunk.com 에로그인되어있지않은경우다운로드패키지를클릭하여등록양식으로이동하십시오. Splunk.com 계정이없으면계정을등록하십시오. 3

4 이튜토리얼에서는 Linux, Windows 및 Mac OS X 를중점적으로다루며, OS 별기능차이에대해설명합니다. Splunk 에서는 RedHat 용 RPM 다운로드, Debian Linux 용 DEB 패키지, tar 파일설치프로그램등세가지 Linux 용설치프로그램을제공합니다. 이튜토리얼에서는이러한설치프로그램중하나를사용할수있습니다. Splunk 는 MSI 파일및압축된 zip 파일의두가지 Windows 설치프로그램을제공합니다. 이튜토리얼에서는 MSI 파일대화식화면설치프로그램을사용합니다. Splunk 는 DMG 패키지및 tar 파일설치프로그램의두가지 Mac OS X 설치프로그램을제공합니다. 이튜토리얼에서는 DMG 패키지대화식화면설치프로그램을사용합니다. Splunk 라이선스 Splunk 라이선스는 Splunk 설치시하루에인덱싱할수있는데이터볼륨을제한합니다. Splunk 는 Enterprise 라이선스또는 Free 라이선스로실행됩니다. Splunk 를처음다운로드할경우 60 일후에만료되는 Enterprise 평가판라이선스가제공됩니다. 이평가판라이선스로서버에서 500MB/1Day 의인덱스볼륨과모든 Enterprise 기능을사용할수있습니다. 관리자매뉴얼에서 "Splunk 라이선스유형 " 에대해자세히알아보십시오. 다음단계 이절의나머지항목에서는 Splunk Enterprise 의설치및시작에대해설명합니다. Linux, Windows 또는 Mac OS X 에서 Splunk Enterprise 설치 이항목에서는 Linux, Windows, 또는 Mac OS X 플랫폼에설치하는방법을간략히설명합니다. 이세가지플랫폼중하나에 Splunk Enterprise 를설치하는데문제가있거나다른지원 OS 에서이튜토리얼을완료하려면해당플랫폼의 " 단계별설치지침 " 을참조하고파트 2: Splunk Enterprise 시작하기로계속하십시오. Linux 설치지침 Splunk Enterprise 에서는 RPM, DEB 및압축된.tar 파일등세가지 Linux 설치프로그램옵션을제공합니다. 각설치프로그램을사용하여설치하는방법은다음과같습니다. 참고 : 명령줄인터페이스 (CLI) 에대한액세스권한이있어야합니다. 설치명령을입력할때 splunk_package_name 을 Splunk Enterprise 설치파일이름으로대체하십시오. Linux 에서 Splunk Enterprise 는기본적으로 /opt/splunk 디렉터리에설치됩니다. Splunk RPM 패키지를설치하려면 1. CLI 에다음명령어를입력합니다. Splunk 를다른디렉터리에설치하려면 --prefix 설치옵션을사용하십시오. rpm -i --prefix=/opt/new_directory splunk_package_name.rpm Splunk DEB 패키지를설치하려면 1. CLI 에다음명령어를입력합니다. Splunk DEB 는기본 /opt/splunk 디렉터리에만설치할수있습니다. dpkg -i splunk_package_name.deb 압축된 tar 파일을사용하여 Splunk 를설치하려면 1. tar 명령을사용하여파일을해당디렉터리에설치합니다. 기본설치디렉터리는현재작업디렉터리의 /splunk 입니다. /opt/splunk 와같은특정디렉터리에설치하려면 -C 옵션을사용하십시오. tar xvzf splunk_package_name.tgz -C /opt Linux 에 Splunk Enterprise 를설치하는방법에대한자세한내용은설치매뉴얼의 " 단계별 Linux 설치지침 " 을참조하십시오. Windows 설치지침 MSI 대화식화면설치프로그램을사용하여 Splunk Enterprise 를설치하려면다음단계를수행하십시오. 1. 설치프로그램을시작하려면 splunk.msi 파일을두번클릭합니다. 2. 시작패널에서다음을클릭합니다. 3. 라이선스계약을읽고 " 라이선스약관에동의합니다 " 확인란을선택합니다. 4. 다음을클릭합니다. 5. 고객정보에요청된세부정보를입력하고다음을클릭합니다. 6. 대상폴더패널에서변경... 을클릭하여다른위치를지정하거나, 다음을클릭하여기본값을사용합니다. 4

5 Splunk Enterprise 는기본적으로 \Program Files\Splunk 디렉터리에설치됩니다. 7. 로그온정보패널에서로컬시스템사용자를선택하고다음을클릭합니다. 다른사용자옵션에대해알아보려면설치매뉴얼에서 "Windows 에 Splunk Enterprise 설치 " 지침을참조하십시오. 8. 사용자를지정하면설치내용요약패널이나타납니다. 설치를클릭합니다. 9. 설치완료패널에서브라우저에서 Splunk 실행및시작메뉴바로가기만들기확인란을선택합니다. 10. 마침을클릭합니다. 설치가완료되면 Splunk Enterprise 가시작되고, 웹브라우저에서 Splunk Web 이실행됩니다. Mac OS X 설치지침 DMG 대화식화면설치프로그램을사용하여 Splunk 를설치하려면다음단계를수행하십시오. 1. 설치프로그램이있는폴더나디렉터리로이동합니다. 2. DMG 파일을두번클릭합니다. splunk.pkg 가포함된파인더창이열립니다. 3. splunk.pkg 를두번클릭합니다. Splunk 설치프로그램이열리고버전및저작권정보가나열된소개화면이표시됩니다. 4. 계속을클릭합니다. 대상선택창이열립니다. 5. Splunk 를설치할위치를선택합니다. 기본디렉터리 /Applications/splunk 에설치하려면하드드라이브아이콘을클릭합니다. 다른위치를선택하려면폴더선택을클릭합니다. 6. 계속을클릭합니다. 사전설치요약이표시됩니다. 7. ( 선택사항 ) 변경사항을적용하려면다음작업중하나를수행합니다. 설치위치변경을클릭하여새폴더를선택합니다. 뒤로를클릭하여한단계되돌아갑니다. 8. 설치를클릭합니다. 설치가시작됩니다. 8. 설치가완료되면마침을클릭합니다. 설치프로그램이바탕화면에바로가기를생성합니다. 다음단계 "Splunk Enterprise 시작및 Splunk Web 실행 " 으로계속진행하여 Splunk 를시작합니다. Splunk Enterprise 시작및 Splunk Web 실행 Splunk Enterprise 를다운로드하고설치하셨습니다. 이항목에서는 Splunk Enterprise 를시작하고 Splunk Web 을실행하는방법에대해설명합니다. Splunk Enterprise 시작에대하여 Splunk Enterprise 를시작하면 splunkd 및 splunkweb 이라는 2 개의프로세스가시작됩니다. splunkd 는스트리밍데이터를액세스, 처리및인덱싱하고검색요청을처리하는분산 C/C++ 서버입니다. splunkweb 은데이터를검색및탐색하고 Splunk 배포를관리하는데사용하는 Splunk Web 인터페이스를제공하는 Python 기반의애플리케이션서버입니다. Splunk Enterprise 를시작한후라이선스계약에동의하고지원되는웹브라우저를사용하여 Splunk Web 에액세스합니다. Windows 에서 Splunk Enterprise 시작 5

6 Windows 에서설치가완료되면 Splunk Enterprise 가시작되고지원되는웹브라우저에서 Splunk Web 이실행됩니다. Splunk Enterprise 가시작되지않으면다음과같은방법을사용할수있습니다. 시작메뉴에서 Splunk Enterprise 를시작합니다. Windows 서비스관리자를사용하여 splunkd 와 splunkweb 을시작하고중지합니다. cmd 창을열고 \Program Files\Splunk\bin 으로이동한후다음명령어를입력합니다. > splunk start Linux 에서 Splunk Enterprise 시작 Splunk Enterprise 를설치한후 Splunk CLI 를사용하여 Splunk 를시작합니다. 설치최상위디렉터리를 SPLUNK_HOME 환경변수에추가하고쉘의 path 에 $SPLUNK_HOME/bin 을추가하여 CLI 액세스를간단히할수있습니다. Linux 기본위치에설치한경우내보내기경로는다음과같습니다. # export SPLUNK_HOME=/opt/splunk # export PATH=$SPLUNK_HOME/bin:$PATH CLI에액세스하는방법은관리자매뉴얼의 "CLI에대하여 " 를참조하십시오. Splunk 를시작하려면 1. 명령어입력 : $SPLUNK_HOME/bin/splunk start Splunk Enterprise 라이선스계약에동의 start 명령을실행하면 Splunk Enterprise 가라이선스계약을표시하고시작과정을계속하기전에라이선스계약에동의할것을요청합니다. Splunk Enterprise 를시작하는데문제가있으면설치매뉴얼에서 "Splunk Enterprise 처음시작 " 을참조하십시오. 유용한기타명령 Splunk Enterprise 서버를중지또는재시작하거나상태를확인하려면다음 CLI 명령을사용하십시오. $ splunk stop $ splunk restart $ splunk status Mac OS X 에서 Splunk Enterprise 시작 Mac OS X 에서는파인더에서 Splunk Enterprise 를시작할수있습니다. 1. 바탕화면에서 Splunk 아이콘을두번클릭하여 "Splunk's Little Helper" 라는 Splunk 도우미애플리케이션을실행합니다. 도우미애플리케이션을처음실행하면간단한초기화를수행해야한다는메시지를표시합니다. 2. 평가판라이선스를초기화하고설정하려면확인을클릭합니다. 도우미애플리케이션이로드된후다음과같은몇가지옵션이있는대화상자를표시합니다. Splunk 시작및표시 : 이옵션은 Splunk Enterprise 를시작하고웹브라우저에게 Splunk Web 으로페이지를열도록지시합니다. Splunk 시작만 : 이옵션을선택하면 Splunk Enterprise 가시작되지만브라우저에서 Splunk Web 이열리지않습니다. 취소 : 도우미애플리케이션을종료하도록지시합니다. 이작업은 Splunk Enterprise 인스턴스자체가아닌도우미애플리케이션에만영향을미칩니다. 옵션을선택하면도우미애플리케이션이선택한옵션을수행하고종료됩니다. 도우미애플리케이션을다시실행하여 Splunk Web 을표시하거나 Splunk Enterprise 를중지할수있습니다. Splunk Enterprise 가실행중이면도우미애플리케이션을사용하여정지시키십시오. Splunk Web 실행 시작과정이끝날때 Splunk 는 Splunk Web 에액세스하기위한 URL 주소를표시합니다. 6

7 The Splunk Web interface is at Splunk Web 은기본적으로 Splunk 가설치되어있는호스트의 8000 번포트에서실행됩니다. 로컬컴퓨터에서 Splunk 를사용하는경우, Splunk Web 에액세스하는 URL 은 입니다. Enterprise 라이선스를사용할경우, Splunk Enterprise 를처음실행할때이로그인화면이표시됩니다. 화면에표시된기본자격증명으로로그인하십시오. Free 라이선스를사용하는경우 Splunk Enterprise 를사용하기위해로그인할필요가없습니다. 이경우 Splunk Enterprise 를시작할때이로그인화면이나타나지않습니다. 대신 Splunk 홈이나계정의기본앱으로설정된앱으로바로이동합니다. 기본암호로로그인할때 Splunk 는새암호를만들것을요청합니다. 이것을건너뛰거나암호를변경하여계속할수있습니다. 맨처음나타나는페이지는 Splunk 홈입니다. 다음단계 검색튜토리얼의파트 1 을마쳤습니다. 파트 2: Splunk 시작하기로계속하십시오. 파트 2: Splunk Enterprise 시작하기 Splunk Web 탐색 이항목에서는 Splunk Web 에서여러가지뷰를탐색하는방법에대해설명합니다. Splunk 홈에대하여 Splunk 홈은이 Splunk 인스턴스에서액세스할수있는데이터와앱의대화식포털입니다. Splunk 홈의주요부분에는 Splunk Enterprise 탐색메뉴, 앱메뉴, Splunk Enterprise 탐색패널및사용자지정기본대시보드 ( 여기에는표시되지않음 ) 가포함됩니다. 앱 앱패널에는보기권한을가진 Splunk 인스턴스에설치된앱이나열됩니다. 리스트에서앱을선택하면앱이열립니다. 기본적으로제공되는 Splunk Enterprise 설치의경우작업영역에하나의앱 ( 검색및보고 ) 만표시됩니다. 앱이두개이상인경우작업영역내로앱을끌어놓고다시정렬할수있습니다. 이패널에서다음의두가지작업을수행할수있습니다. 기어아이콘을클릭하여 Splunk 인스턴스에설치된앱을보고관리합니다. 더하기아이콘을클릭하여설치할더많은앱을찾아봅니다. 7

8 Splunk Enterprise 탐색 Splunk Enterprise 탐색패널의옵션은 Splunk Enterprise 를사용하여시작하는데도움이됩니다. 이아이콘을클릭하여데이터추가뷰를열고새로운앱을찾아보고 Splunk Enterprise 설명서를열거나 Splunk 응답페이지를열수있습니다. Splunk 메뉴모음정보 Splunk 메뉴모음을사용하여 Splunk 인스턴스를탐색합니다. Splunk 메뉴모음은 Splunk Enterprise 의모든페이지에나타납니다. Splunk 메뉴모음은앱을전환하고, Splunk 설정을관리및편집하고, 시스템레벨메시지를보고, 검색작업진행상황을모니터링하기위해사용할수있습니다. 다음스크린샷에서는 Splunk 홈의 Splunk 메뉴모음을보여줍니다. 검색및보고앱의검색뷰와같은다른뷰의 Splunk 메뉴모음에는 Splunk 로고옆에있는앱메뉴도포함됩니다. Splunk 홈으로돌아가기 Splunk Web 의다른뷰에서 Splunk 홈으로돌아가려면탐색메뉴모음에서 Splunk 로고를클릭합니다. 설정메뉴 설정메뉴에는 Knowledge object, 분산환경설정, 시스템및라이선스, 데이터및인증설정에대한설정페이지가나열됩니다. 일부옵션이보이지않으면해당옵션을보거나편집할권한이없음을의미합니다. 사용자메뉴 여기에서사용자메뉴는새설치의기본사용자이름인 "Administrator" 로지정됩니다. 계정편집을선택하고전체이름을변경하여이표시이름을변경할수있습니다. 시간대설정을편집하고이계정의기본앱을선택하며계정암호를변경할수도있습니다. 사용자메뉴는이 Splunk 설치에서로그아웃하는데도사용됩니다. 8

9 메시지메뉴 모든시스템레벨오류메시지가여기에나열됩니다. 검토할새메시지가있는경우메시지메뉴옆에개수로알림이표시됩니다. 이메시지를제거하려면 X 를클릭하십시오. 작업메뉴 작업메뉴에는작업, 트리거된경고및시스템작업화면으로연결되는바로가기가나열됩니다. 도움말 작업을클릭하면현재실행중인검색을보고관리할수있는검색작업관리자창이열립니다. 트리거된경고를클릭하면트리거된예약된경고가표시됩니다. 이튜토리얼에서는경고저장및예약에대해설명하지않습니다. 경고매뉴얼에서 " 경고에대하여 " 를참조하십시오. 시스템작업을클릭하면사용자작업과시스템상태에대한대시보드가표시됩니다. 도움말을클릭하면동영상튜토리얼, Splunk 응답페이지, Splunk Support 포털및온라인설명서로연결되는링크가표시됩니다. 찾기 찾기를사용하여 Splunk Enterprise 인스턴스내의개체를검색합니다. 예를들어, "error" 를입력하면 "error" 단어가포함된저장된개체가반환됩니다. 이러한저장된개체에는보고서, 대시보드, 경고등이포함됩니다. 검색에서 error 열기를클릭하여검색및보고앱에서오류를검색할수도있습니다. 다음단계 9

10 이제 Splunk Web 에대해더많이알게되었으므로 Splunk Enterprise 에데이터를추가해보십시오. 파트 3: Splunk Enterprise 로데이터가져오기 Splunk Enterprise 로데이터가져오기에대하여 Splunk Enterprise 를사용하려면먼저데이터를추가해야합니다. 데이터원본이정의되면 Splunk Enterprise 가데이터스트림을인덱싱하기시작하고, 확인및검색가능한일련의개별이벤트로변환합니다. 원하는결과가나올때까지인덱싱프로세스를수정할수있습니다. 이항목에서는 Splunk 에추가할수있는데이터유형, Splunk 로데이터를가져오는방법및데이터를추가한후 Splunk 에서해당데이터를저장하는위치에대해간략히살펴봅니다. 데이터유형이란무엇입니까? Splunk Enterprise 에서는모든데이터를사용할수있으며, 특히 IT 의모든스트리밍및 historical 데이터를인덱싱할수있습니다. 여기에는이벤트로그, 웹로그, 운영중인애플리케이션로그, 네트워크피드, 시스템메트릭, 변경사항모니터링, 메시지대기열, 아카이브파일등의데이터가포함됩니다. 데이터는 Splunk 인덱서와동일한컴퓨터에있거나 ( 로컬데이터 ) 모두다른컴퓨터에있을수있습니다 ( 원격데이터 ). 로컬데이터와원격데이터의비교에대한내용은데이터가져오기매뉴얼에서 " 내데이터는어디에있습니까?" 를참조하십시오. 일반적으로입력원본은다음과같이분류됩니다. 파일및디렉터리 : 관심있는많은데이터를파일과디렉터리에서직접가져옵니다. 네트워크이벤트 : Splunk 에서네트워크포트의원격데이터및원격장치의 SNMP 이벤트를인덱싱할수있습니다. Windows 원본 : Splunk Windows 버전은 Windows 이벤트로그, Windows 레지스트리, WMI, Active Directory 및성능모니터링을비롯하여광범위한 Windows 별입력정보를포함합니다. 기타원본 : Splunk 에서는 FIFO 대기열및스크립트입력정보등 API 및다른원격데이터인터페이스에서데이터를가져오기위한다른입력원본도지원합니다. 데이터와 Splunk Enterprise 에대한내용은데이터가져오기매뉴얼에서 "Splunk 에서인덱싱할수있는대상 " 을참조하십시오. 데이터입력을지정하는방법 새데이터유형을 Splunk 에추가하려면입력원본을정의합니다. 이작업을수행하는다양한방법이있습니다. Splunk Web. Splunk Web 데이터입력페이지를사용하여대부분의입력정보를설정할수있습니다. 해당페이지에는 GUI 를기반으로입력정보를설정하는방법이있습니다. 이방법을사용하여튜토리얼데이터를 Splunk 에추가할수있습니다. 앱. Splunk 에는데이터원본유형에대해사전설정된입력정보를제공하는여러다양한앱과추가기능이있습니다. 자세한내용은 " 앱사용 " 을참조하십시오. Splunk 의 CLI. CLI( 명령줄인터페이스 ) 를사용하여대부분의입력정보유형을설정할수있습니다. "CLI 사용 " 을참조하십시오. inputs.conf 설정파일. Splunk Web 또는 CLI 를사용하여입력정보를지정하면설정이 inputs.conf 파일에저장됩니다. 일부고급데이터입력요구사항을처리하려면해당파일을직접편집해야할수있습니다. 데이터가져오기매뉴얼에서 "inputs.conf 수정하기 " 를참조하십시오. 입력정보설정에대한내용은데이터가져오기매뉴얼의 " 입력정보설정 " 을참조하십시오. Splunk 가데이터를저장하는위치 Splunk 데이터저장소는인덱스라고합니다. 인덱싱 ( 또는이벤트처리 ) 과정에서 Splunk 는빠른검색및분석이가능하도록수신데이터스트림을처리하고그결과를이벤트로만들어인덱스에저장합니다. 이벤트는다음두가지범주로분류되는여러파일그룹으로인덱스에저장됩니다. 압축된형태의원시데이터인 Rawdata 인덱스파일파일및원시데이터를가리키는일부메타데이터파일 이파일은에이지 (age) 별로구성된버킷이라는디렉터리집합에있습니다. 자세한내용은인덱서및클러스터관리매뉴얼의 "Splunk 에서인덱스를저장하는방법 " 을참조하십시오. Splunk 는기본적으로모든사용자데이터를사전설정된단일인덱스에넣습니다. 또한내부적으로사용하기위한여러인덱스가있어데이터요구사항에맞추기위해새인덱스를추가하거나기존인덱스를관리할수있습니다. 인덱서및클러스터관리매뉴얼의 " 인덱스관리에대하여 " 를참조하십시오. 다음단계 이제 Splunk 데이터입력과인덱스에대해자세히알아보았으므로 "Splunk Enterprise 로튜토리얼데이터가져오기 " 를참조하십시오. 10

11 Splunk 로튜토리얼데이터가져오기 이항목에서는튜토리얼데이터집합을다운로드하고 Splunk Enterprise 에추가하는과정에대해설명합니다. 이튜토리얼은몇시간내에끝낼수있지만, 좀더자세히살펴보려면새샘플데이터파일을다운로드하여추가하십시오. 샘플데이터파일다운로드여기서튜토리얼데이터파일을다운로드하고압축을풀지마십시오. 이튜토리얼데이터파일은매일업데이트되며이전 7일동안타임스탬프된이벤트를보여줍니다. Splunk Enterprise에샘플데이터추가 1. Splunk 에로그인합니다. Splunk 홈에있지않은경우 Splunk 메뉴모음에서 Splunk 로고를클릭하여 Splunk 홈으로돌아갑니다. 2. Splunk Enterprise 탐색에서데이터추가를클릭합니다. 데이터추가뷰가열립니다. 데이터추가에는세개의데이터추가옵션, 일반적인데이터유형리스트, 데이터를추가하기위해 Splunk Enterprise 기능을확장하는데사용할수있는추가기능이표시됩니다. 3. " 어떤방법으로데이터를추가하시겠습니까?" 에서업로드를클릭합니다. 4. 원본선택에서파일선택을클릭하여튜토리얼데이터를찾아보거나윤곽이그려진상자로데이터파일을끌어다놓습니다. 11

12 튜토리얼데이터파일이아카이브된데이터파일이므로데이터추가워크플로의다음단계는 Sourcetype 설정에서입력설정으로변경됩니다. 5. 다음을클릭하여입력설정을계속합니다. 입력설정에서 Host, Source type 및인덱스에대한기본설정을재지정할수있습니다. 6. 경로이름의부분을사용하여호스트이름을할당할호스트설정을수정합니다 메뉴에서경로내세그먼트를선택합니다 세그먼트번호로 1 을입력합니다. 7. 검토를클릭하여입력설정을검토합니다. 8. 제출을클릭합니다. 12

13 9. 데이터가추가되었는지확인하려면검색시작을클릭합니다. 이렇게하면검색뷰가열리고튜토리얼데이터원본에대한검색이실행됩니다. 다음단계 자세한내용은검색앱및튜토리얼데이터검색시작에대하여를참조하십시오. 파트 4: Splunk 검색사용 검색대시보드에대하여 앞장에서는 Splunk Enterprise 에서사용하는데이터유형에대해배우고튜토리얼샘플데이터를다운로드하여 Splunk 인덱스에추가했습니다. 이절에서는 Splunk 검색을구성하는여러가지요소를사용하는방법에대해설명합니다. Splunk 검색찾기 1. Splunk 홈의앱에서검색및보고를클릭합니다. 13

14 검색및보고앱의검색뷰가열립니다. 검색을실행하기전에는검색뷰가아래그림과같이표시됩니다. Splunk 메뉴모음아래의앱메뉴를사용하여검색및보고앱의여러가지뷰를탐색할수있습니다. 검색을실행하기전에 검색을실행하기전에, 검색의주요부분은검색란, 시간범위선택기, 검색방법패널, 그리고검색할내용패널임을알아두십시오. 검색란 Splunk Web 에서검색을실행하려면검색란을사용합니다. 검색문자열을입력하고 Enter 키를누르거나시간범위선택기오른쪽의돋보기아이콘을클릭합니다. 시간범위선택기 특정기간의이벤트를검색하려면시간범위선택기를사용합니다. 실시간검색의경우이벤트를검색할시간을지정할수있습니다. Historical 검색의경우상대시간범위 (15 분전, 어제등 ) 나특정날짜및시간범위를지정하여검색을제한할수있습니다. 시간범위선택기에는선택할수있는여러사전설정된시간범위가있지만사용자지정시간범위를입력할수도있습니다. 시간범위선택기에대한설명은 " 시간범위선택기에대하여 " 를참조하십시오. 검색방법 " 검색방법 " 패널은검색을작성하는방법에대해배울수있는검색튜토리얼과검색매뉴얼로연결됩니다. 검색할내용 " 검색할내용 " 패널은 Splunk 인스턴스에설치되어있고볼수있는권한을가진데이터에대한요약을표시합니다. 데이터요약을클릭하면데이터요약대화상자가열립니다. 데이터요약 데이터요약대화상자에는 Host, Source, Sourcetype 의세개탭이표시된데이터요약대화상자가열립니다. 이벤트의 host 는이벤트가발생한네트워크시스템의호스트이름, IP 주소또는완전한도메인이름입니다. 이벤트의 source 는이벤트가발생한파일이나디렉터리경로, 네트워크포트또는스크립트입니다. 14

15 이벤트의 source type 은일반적인형식지정방식에기반한데이터유형을알려줍니다. 이분류를사용하여여러 source 및 host 에서동일한유형의데이터를검색할수있습니다. 튜토리얼데이터의 source type 은다음과같습니다. access_combined_wcookie: Apache 웹서버로그 secure: 보안서버로그 vendor_sales: 전역판매공급업체 Splunk Enterprise source type 이데이터를처리하는방법에대한내용은데이터가져오기매뉴얼의 "source type 이중요한이유 " 를참조하십시오. 검색을실행한후에 검색란에다음을입력합니다. buttercupgames 새검색페이지가열립니다. 이뷰에서도검색란과시간범위선택기를계속사용할수있지만, 대시보드가업데이트되어검색작업단추, 검색모드선택기, 이벤트수, 작업상태표시줄, 이벤트, 통계및시각화탭등훨씬더많은요소가표시됩니다. 15

16 이장의다음항목에서는검색뷰의해당부분에대해각각설명합니다. 다음단계시간범위검색제한에대하여계속알아봅니다. 시간범위선택기에대하여 검색란의오른쪽에있는시간범위선택기를사용하여검색의시간범위를설정할수있습니다. 사전설정된시간범위, 사용자지정상대시간범위및사용자지정실시간범위로검색을제한하거나날짜범위또는날짜및시간범위를지정할수있습니다. 이튜토리얼에서는사전설정및상대시간범위옵션을사용합니다. 시간범위사전설정 시간범위선택기사전설정은 Splunk Enterprise 에정의된즉시사용가능한시간범위집합입니다. 기본적으로검색의시간범위는전체시간으로설정됩니다. 대량의데이터를검색할경우더적은시간동안검색을실행하면더빨리결과를확인할수있습니다. 검색의기본시간범위를변경하려면검색매뉴얼에서 " 기본선택시간범위변경 " 을참조하십시오. 문제가발생한시기를대략적으로알고있는경우에문제를해결할때는검색시간범위를해당기간으로좁히십시오. 예를들어어제발생한인시던트를조사하려면어제또는최근 24 시간을선택하십시오. 10 분전에발생한인시던트를조사하려면 16

17 최근 15 분또는최근 60 분을선택하십시오. 그런다음필요에따라시간범위를조정합니다. 사용자지정시간범위 사전설정중하나가원하는시간범위가아닌경우상대시간범위또는날짜및시간범위등사용자지정시간범위를정의할수있습니다. 지난 2 시간에대한검색을실행하려면상대적시간범위옵션을사용합니다. 예를들어, 시작시간을 "2 시간전 " 으로, 종료시간을 " 지금 " 또는 " 현재시간의시작 " 으로지정할수있습니다. 타임스탬프는지정한시작시간및종료시간타임스탬프가표시되는것을조정합니다. 날짜및시간범위옵션을사용하여달력및타임스탬프에서시작시간및종료시간을지정할수있습니다. 예를들어, 9 월 30 일오후 8 시 42 분에발생한문제를해결하려면시작시간을 09/30/ :40: 으로, 종료시간을 09/30/ :45: 으로지정할수있습니다. 다음단계 계속해서검색작업및검색모드에대하여알아봅니다. 검색작업및검색모드에대하여 이항목에서는검색환경을제어하는데사용할수있는검색작업및검색모드에대해설명합니다. 검색작업진행제어 17

18 검색을실행한후에검색란아래의단추를사용하여일시중지하거나중지할수있습니다. 검색페이지를떠나지않고검색의작업에대한정보에액세스하고해당정보를관리할수도있습니다. 작업을클릭하고사용가능한옵션중에서선택하십시오. 작업설정편집. 이옵션을선택하면작업설정대화상자가열립니다. 이대화상자에서작업의읽기권한을변경하고작업의수명을연장하며다른사람과작업을공유하거나브라우저의북마크에작업의링크를넣는데사용하는작업의 URL 을가져올수있습니다. 백그라운드로작업보내기. 검색작업이느려서다른 Splunk Enterprise 작업 ( 새검색작업실행포함 ) 을수행하기위해백그라운드에서작업을실행하려면이옵션을선택합니다. 작업검사. 별도의창이열리고검색작업검사기를사용하는검색작업에대한정보와메트릭이표시됩니다. 작업삭제. 실행중이거나일시중지되거나종료된작업을삭제하려면이옵션을사용합니다. 작업을삭제한후에검색을보고서로저장할수있습니다. Knowledge 관리자매뉴얼에서 "Splunk Web 에서작업저장및공유 " 를참조하십시오. 검색모드변경 검색모드는검색환경을제어합니다. 검색이반환하는이벤트데이터를줄여검색속도가빨라지도록설정하거나 ( 고속모드 ), 가능한많은이벤트정보를반환하도록설정할수있습니다 ( 상세모드 ). 스마트모드 ( 기본설정 ) 에서는실행중인검색유형에따라검색동작을전환합니다. 검색매뉴얼에서 " 검색환경을조정하도록검색모드설정 " 을참조하십시오. 결과저장 다른이름으로저장메뉴에는검색결과를보고서, 대시보드패널, 경고및 Event type 으로저장하는옵션이나열됩니다. 기타검색작업 작업진행제어및검색모드선택기사이에는검색결과를공유, 내보내기및인쇄하는데사용할수있는단추가있습니다. 공유옵션을선택하면검색작업이공유됩니다. 이옵션을선택하면작업보관기간이 7 일로연장되고읽기권한이모든사용자로설정됩니다. 내보내기옵션을선택하면결과를내보냅니다. CSV, 원시이벤트, XML 또는 JSON 으로출력하고내보낼결과수를지정하려면이옵션을선택합니다. 인쇄옵션을선택하면결과가설정된프린터로전송됩니다. 검색을취소하고 Splunk 홈으로돌아가려면닫기단추를사용합니다. 18

19 다음단계다음항목으로계속진행하여검색결과의형식에대한설명을읽으십시오. 검색결과탭에대하여 이항목에서는세가지검색결과탭인이벤트, 통계및시각화에대해설명합니다. 검색을실행하면결과탭이검색에서사용된검색명령어유형에따라채워집니다. 검색에서이벤트를검색할경우이벤트탭및패턴탭에서결과를볼수있지만다른탭에서는볼수없습니다. 검색에변환명령이포함된경우통계및시각화탭에서결과를볼수있습니다. 이벤트 이스크린샷에서사용된키보드검색은이벤트를검색하고이벤트결과탭을채웁니다. 이벤트탭에는이벤트시간표시줄, 필드사이드바, 이벤트뷰어가표시됩니다. 이벤트뷰를변경하려면리스트및형식옵션을사용하십시오. 기본적으로이벤트는최신이벤트순으로나열된리스트로표시됩니다. 각이벤트에일치하는검색어가강조표시됩니다. 이벤트시간표시줄 : 각시점에발생하는이벤트수를시각적으로나타냅니다. 시간표시줄이검색결과로업데이트되면막대그룹또는패턴을볼수있습니다. 각막대의높이는이벤트수를나타냅니다. 시간표시줄의최고점또는최저점은활동이가장많은부분또는서버중단시간을나타냅니다. 따라서시간표시줄은이벤트패턴을강조표시하거나이벤트활동의최고점및최저점을조사하는데사용됩니다. 시간표시줄옵션은시간표시줄위에있으며, 차트를확장및축소하고차트의스케일 (Scale) 을변경할수있습니다. 필드사이드바 : 데이터를인덱싱할때 Splunk 는기본적으로 " 필드 " 라고하는이름과값을조합한형식의데이터에서정보를추출합니다. 검색을실행하면 Splunk 에서인식하는모든필드가검색결과옆의필드사이드바에나열됩니다. 이벤트에표시할다른필드를선택할수있으며, 이사이드바를숨기고결과영역을최대화할수도있습니다. 패턴 선택된필드는검색결과에표시되도록설정되었습니다. 기본적으로 host, source 및 sourcetype 이표시됩니다. 관심있는필드는 Splunk 가검색결과에서추출한다른필드입니다. 패턴탭은이벤트패턴탐지를단순화합니다. 패턴탭에는검색에서반환된이벤트집합중가장일반적인패턴리스트가표시됩니다. 이러한각패턴은유사한구조를공유하는이벤트수를나타냅니다. 패턴을클릭하여다음을수행할수있습니다. 패턴과일치하는결과에서대략적인이벤트수를봅니다. 이패턴으로이벤트를반환하는검색을봅니다. 적합한경우패턴검색을 event type 으로저장합니다. 19

20 패턴에기반하여경고를작성합니다. 검색매뉴얼에서 " 패턴탭으로이벤트패턴을식별 " 하는방법에대해알아보십시오. 통계 통계탭은 stats, top, chart 와같은변환명령어로검색을실행하는경우채워집니다. 이탭에는변환명령어가없으므로 "buttercupgames" 에대한이전키워드검색은이탭에어떤결과도표시하지않습니다. 대신이탭에는피벗, 빠른보고서에서보고서를작성하기위한옵션및변환검색명령어에대한설명서링크가표시됩니다. 변환되지않는검색을실행하고해당검색을기반으로테이블또는차트를만들려는경우피벗을클릭하여피벗편집기에서검색을엽니다. 피벗에대한자세한내용은데이터모델, 피벗튜토리얼및피벗매뉴얼을참조하십시오. 예를들어 Buttercup Games 온라인상점에서판매된인기제품범주를찾기위해변환검색을사용하면통계탭에결과테이블이표시됩니다. 시각화 또한변환검색은시각화탭을채웁니다. 시각화탭의결과영역에는차트와해당차트를생성하는데사용된통계테이블이포함됩니다. 20

21 시각화차트영역위의메뉴를사용하여시각화의유형및형식을변경할수있습니다. 시각화유형메뉴에는선택된유형의이름이표시됩니다. 기본적으로시각화유형은세로막대형차트입니다. 차트유형옆에권장됨이표시되어있는경우결과를생성한변환검색에기반하여사용하도록 Splunk Enterprise 에서권장하는유형임을나타냅니다. 다음단계 이절에서는검색시작전에알아야할검색및보고앱의여러가지뷰에대해설명합니다. 파트 5: 튜토리얼데이터검색 검색시작 이절에서는튜토리얼데이터를이용해검색을시작합니다. 이항목에서는인덱스에서이벤트를검색하는방법에대해설명합니다. 이절을시작하기전에먼저튜토리얼데이터를다운로드하고추가해야합니다. 검색할내용 1. 앱탐색메뉴에서검색을클릭합니다. 2. 검색시작페이지에서검색할내용패널을살펴봅니다. 21

22 3. 데이터요약을클릭합니다. Buttercup Games 라는가상온라인게임스토어를나타내는튜토리얼데이터를다시살펴봅니다. 데이터요약에서는데이터의출처와데이터유형에대한정보를제공합니다. 여기에는 5 개의 host, 8 개의 source 및 3 개의 source type 이있습니다. 3 개의 source type 은 Apache 웹액세스로그 (access_combined_wcookie), Linux 보안형식로그 (secure) 및공급업체판매로그 (vendor_sales) 입니다. 이튜토리얼에서는대부분 Apache 웹액세스로그를검색하고공급업체판매로그와연결하는과정에대해설명합니다. 검색길잡이 다양한게임을판매하는온라인상점의데이터가있습니다. 사이트에서오류가몇건발생했는지알아봅니다. 1. Splunk 검색을열고검색란에 buttercupgames 를입력합니다. 입력하면검색길잡이가열립니다. 검색길잡이에는일치하는검색내역과검색도움말의두부분이있습니다. 검색길잡이는이벤트데이터에서일치하는검색어에따라적합한단어를제안합니다. 이러한단어는일치하는단어또는일치하는검색어에나열됩니다. 이벤트데이터에존재하지않는단어또는구는나열하지않습니다. 검색길잡이는또한검색어와일치하는항목의수를표시합니다. 이숫자를보면 Splunk 에서반환할검색결과의수를알수있습니다. 여기서 buttercupgames 는 36,819 개의이벤트에포함되어있습니다. 또한여기에서검색길잡이는검색방법을배울수있는단계를제공합니다. 1 단계에서는용어, 따옴표안의구, 부울연산자, 와일드카드, 필드값을사용하여이벤트를검색하는방법을예를들어설명합니다. 2 단계에서는검색명령어를사용하는방법에대해소개합니다. 검색언어에대해배우기시작하면검색길잡이를더다양한용도로사용할수있습니다. 검색명령어를입력하면검색길잡이에명령어구문및사용법이표시됩니다. 검색길잡이가자동으로열리지않게하려면자동열기를클릭하여꺼짐으로전환하십시오. 다시열려면검색란아래의아래쪽화살표를클릭하십시오. 인덱스에서이벤트검색 1. 다음키워드를입력하여오류또는장애를찾고부울연산자를사용합니다. AND, OR, NOT 과같은부울지시문을사용하면됩니다. buttercupgames (error OR fail* OR severe) 22

23 부울연산자는대문자여야합니다. AND 지시문은검색어사이에포함되므로입력할필요가없습니다. 괄호를사용하여검색어를그룹화할수있습니다. 부울식을계산할경우괄호안에있는항이우선하고, AND 또는 NOT 절을 OR 절보다먼저구합니다. 별표와일드카드는 "fail" 로시작하는단어와일치시키는데사용됩니다. 이러한단어에는 failure, failed 등이포함될수있습니다. 이검색에서는 427 개의일치하는이벤트가검색됩니다. 검색명령어 키워드와구를입력할때마다무조건 search 명령을사용하여이벤트를 Splunk 인덱스에서검색합니다. 검색명령어를통해키워드, 따옴표로묶인구, 필드값, 부울식및비교식을사용하여검색할이벤트를지정할수있습니다. 검색결과를필터링하기위해파이프라인에서나중에검색명령어를명시적으로호출할수도있습니다. 검색매뉴얼의 " 검색명령어사용 " 을참조하십시오. 다음단계 " 필드를사용하여검색 " 으로이동하여필드를사용하여검색하는방법에대해알아보십시오. 필드를사용하여검색 필드의정의및사용법을이해하지못하면 Splunk Enterprise 의고급검색기능을제대로이용할수없습니다. 필드에대하여 검색뷰에서데이터요약을살펴볼때는 Splunk 인덱스에추가한데이터의유형을나타내는호스트, Source 및 Source Type 탭이보입니다. 23

24 Splunk Enterprise 가인덱싱도중에데이터에서추출하는기본필드 (host, source, sourcetype) 도있습니다. 기본필드는인덱스에서검색할이벤트를정확히지정하는데도움이됩니다. 필드란무엇입니까? 필드는다양한형식의컴퓨터데이터에존재합니다. 필드는대부분값 ( 라인에서고정된구분위치포함 ) 또는이름 - 값으로, 각필드이름에대한단일값이있습니다. 필드는다중값일수있습니다. 즉, 이벤트하나에두번이상나타날수있고이벤트가나타날때마다다른값을가집니다. 필드의예로는웹서버에액세스하는 IP 주소에대한 clientip, 이벤트의타임스탬프에대한 _time, 그리고서버의도메인이름에대한 host 가있습니다. 더흔한다중값필드중하나로이메일주소필드가있습니다. From 필드는단일이메일주소만포함하는반면, To 및 Cc 필드에는하나이상의이메일주소가연결됩니다. 모든이벤트가동일한필드및필드값을가지지는않으므로, Splunk Enterprise 에서필드는한이벤트를다른이벤트와구분하는검색가능한이름과값의쌍입니다. 필드를사용하여원하는특정이벤트를검색하도록구체적으로맞춤설정된검색을작성할수있습니다. Knowledge 관리자매뉴얼에서 " 필드에대하여 " 를참조하십시오. 추출된필드 Splunk 는인덱스및검색시이벤트데이터에서필드를추출합니다. 인덱서및클러스터관리매뉴얼에서 " 인덱스시간과검색시간 " 을참조하십시오. 데이터를인덱싱할때처리되는각이벤트에대해기본및기타인덱스필드가추출됩니다. 기본필드는 host, source 및 sourcetype 입니다. 기본필드의리스트는 Knowledge 관리자매뉴얼의 " 기본필드사용 " 을참조하십시오. 검색을실행하면 Splunk Enterprise 에서다양한필드집합을추출합니다. Knowledge 관리자매뉴얼의 "Splunk Enterprise 가필드를추출하는경우 " 를참조하십시오. 필드추출기를사용하여로컬 Splunk 인스턴스에서사용자지정필드를동적으로만들수도있습니다. 필드추출기는이벤트에서하나이상의필드를인식하기위한패턴을정의하기위해사용할수있습니다. Knowledge 관리자매뉴얼에서 " 필드추출기로필드추출작성 " 을참조하십시오. 필드찾기및선택 1. 검색대시보드로이동하여검색란에다음을입력합니다. sourcetype="access_*" 필드검색에는다음구문을사용합니다. fieldname="fieldvalue". 필드이름은대소문자를구분하지만필드값은대소문자를구분하지않습니다. 필드값에와일드카드를사용할수있습니다. 필드값에공백이포함되는경우따옴표가필요합니다. 이검색은다른로그를제외하고오직웹액세스로그에서만이벤트를검색합니다. 이검색은 access_* 와일드카드를사용하여 access_common, access_combined 또는 access_combined_wcookie 가될수있는모든 Apache 웹액세스 sourcetype 을일치시킵니다. 2. 이벤트탭에서이벤트리스트를스크롤합니다. 24

25 Apache 로그의 access_combined 형식에익숙할경우다음과같은각이벤트의정보를인식할수있습니다. 웹사이트에액세스하는사용자의 IP 주소요청한페이지및참조페이지의 URI 및 URL 각페이지요청에대한 HTTP 상태코드 GET 또는 POST 페이지요청메서드 이는 Buttercup Games 온라인스토어의이벤트이므로다른정보와키워드 (Arcade, Simulation, productid, categoryid, purchase, addtocart 등 ) 를인식할수있습니다. 이벤트리스트왼쪽에필드사이드바가있습니다. Splunk Enterprise 가검색과일치하는이벤트를검색하면필드사이드바는선택된필드와관심있는필드로업데이트됩니다. 해당필드는 Splunk Enterprise 가사용자의데이터에서추출한필드입니다. 선택된필드는검색결과에표시되는필드입니다. 기본필드인 host, source 및 sourcetype 이선택됩니다. 각필드는모든이벤트에나타납니다. 필드숨기기및필드표시를각각클릭하여필드사이드바를숨기거나표시할수있습니다. 3. 모든필드를클릭합니다. 이벤트리스트에표시할필드를선택할수있는필드선택대화상자가열립니다. 25

26 각이벤트의 timestamp(date_* 로시작되는모든항목 ), 구두점 (punct) 및위치 (index) 를기준으로하는필드를포함한더많은기본필드가보입니다. 기타필드이름은웹액세스로그에적용됩니다. 예를들어 clientip, method 및 status 가있습니다. 이러한필드는기본필드가아니며검색시간에추출됩니다. 나머지추출된필드는 Buttercup Games 온라인스토어와관련이있습니다. 예를들어, action, categoryid 및 productid 가있습니다. 4. action, categoryid 및 productid 를선택하고필드선택창을닫습니다. 사이드바의선택된필드아래에 3 개의필드가나타납니다. 선택한필드가특정이벤트에존재하는경우검색결과의이벤트에표시됩니다. 모든이벤트에있는필드가같지않을수있습니다. 필드사이드바에는각필드에대해존재하는값의수가표시됩니다. 해당값은 Splunk Enterprise 가검색결과에서확인하는값입니다. 5. 선택된필드에서 action 필드를클릭합니다. 26

27 action 필드에대한필드요약이열립니다. 이검색결과집합에서 Splunk Enterprise 는 action 의값을 5 개찾고 action 필드가검색결과의 49.9% 에나타남을확인했습니다. 6. 이창을닫고선택한다른두개의필드인 categoryid( 상점에서판매하는제품유형 ) 와 productid( 제품의특정카탈로그번호 ) 를살펴봅니다. 7. 이벤트리스트를스크롤합니다. 이벤트옆의화살표를클릭하면해당이벤트의모든필드리스트가열립니다. 이패널을사용하여특정이벤트의모든필드를보고개별이벤트에대해개별필드를선택하거나선택을취소합니다. 더세분화된검색실행 다음은필드를사용한검색예제입니다. 예 1: Buttercup Games 상점에서성공적인구입을검색합니다. sourcetype=access_* status=200 action=purchase 이검색은 HTTP 상태필드 status 를사용하여성공적인요청을지정하고 action 필드를사용하여구입이벤트만검색합니다. 비슷한방법으로 status!=200 을사용하여 HTTP 상태코드가 200 과같지않은모든이벤트를찾는방식으로실패한구입도검색할수있습니다. sourcetype=access_* status!=200 action=purchase 예 2: 일반오류를검색합니다. (error OR fail* OR severe) OR (status=404 OR status=500 OR status=503) 여기서는 source type 을지정하지않고보안및웹액세스로그의이벤트를모두검색합니다. 예 3: 어제판매된시뮬레이션게임의수를검색합니다. 27

28 시간범위선택기에서사전설정시간범위로어제를선택하고다음명령을실행합니다. sourcetype=access_* status=200 action=purchase categoryid=simulation 반환되는이벤트수는구입된시뮬레이션게임의수입니다. 상점에서판매된각제품유형의구입수를찾으려면각고유 categoryid 에대해이검색을실행합니다. 지난주의요일별구입수를확인하려면각시간범위에대해다시검색을실행합니다. 다음단계 또한필드를사용하여검색언어, 차트만들기및차트작성기능을이용할수있습니다. " 검색언어사용 " 으로계속진행하여검색언어를사용하는방법에대해알아보십시오. 검색언어사용 지금까지는 Splunk 인덱스에서이벤트를검색했습니다. 응답할수있는질문이반환된이벤트수로만제한되었습니다. 예를들어, 이전항목에서몇개의시뮬레이션게임이판매되었는지알아보기위해이검색을실행했습니다. sourcetype=access_* status=200 action=purchase categoryid=simulation 지난주의요일별로이숫자를찾으려면해당주의각요일데이터에대해검색을실행해야합니다. 어떤제품이더인기가있는지알아보려면 8 개의 categoryid 값에대해각각검색을실행하고결과를비교해야합니다. 검색길잡이로배우기 " 검색시작 " 항목에서검색길잡이에대해소개했습니다. 이어지는내용에서는검색길잡이를사용하여 Splunk 검색처리언어에대해배우고검색을구성할수있는한가지방법에대해자세히설명합니다. 1. 검색대시보드로돌아가서검색을어제로제한합니다. sourcetype=access_* status=200 action=purchase 검색란에입력하면오른쪽에검색명령어에대한구문및사용법정보가표시된검색길잡이가열립니다. 검색길잡이가열리지않으면검색란왼쪽에있는아래쪽화살표를클릭합니다. 이전과같이검색길잡이가검색란에입력한키워드를자동완성방식으로표시하고있으며, 검색방법도간략하게설명하고있습니다. 2. 검색란에파이프문자 " " 를입력합니다. 이파이프문자는사용자가명령을사용하고, 파이프왼쪽에있는검색결과를이명령의입력으로사용할것임을나타냅니다. 일련의검색명령어나검색명령어의파이프라인을사용하여한명령의결과를다른명령에전달할수있습니다. 28

29 Splunk 를사용하여온라인상점에서가장많이구입하는인기품목을확인하려고합니다. 3. 다음공통명령어에서 top 을클릭합니다. top 명령어가검색문자열에추가됩니다. 검색길잡이의설명및사용예제에따르면 top 명령어는 " 필드의가장공통적인값을표시 " 합니다. 4. categoryid 필드를검색란에입력하여검색을완료합니다. sourcetype=access_* status=200 action=purchase top categoryid 5. 검색을실행합니다. 검색란아래에있는이벤트개수는 sourcetype=access_* status=200 action=purchase 에대한검색과일치하는검색된이벤트수를나타냅니다. top 명령어의결과가통계탭에나타납니다. 통계탭에서보고서보기 검색결과는보고서입니다. top 명령어는변환명령이며, categoryid 값에대한테이블형식의가장보편적인보고서를반환합니다. 변환검색의결과는통계탭에서확인할수있습니다. 29

30 이성공적인 (status=200) 구입 (action=purchase) 에대한검색에서 Splunk Enterprise 는 7 개의서로다른 categoryid 를찾았습니다. 이보고서에는 categoryid 값이내림차순으로나열됩니다. top 명령은다음과같은 2 개의새로운필드를생성합니다. count 는필드의각값이발생한횟수이며, percent 는개수를총개수와비교한값입니다. top 명령어에대한자세한내용은검색참조매뉴얼을참조하십시오. 시각화탭에서보고서보기및형식지정 변환검색의결과를시각화탭에서보고차트유형의형식을지정할수도있습니다. 예를들어 top 명령어를사용한검색을원형차트로나타낼수있습니다. 1. 시각화탭을클릭합니다. 기본적으로시각화탭은세로막대형차트와함께열립니다. 2. 세로막대형을클릭하여시각화유형선택기를엽니다. 이데이터집합에는세로막대형, 막대형및원형차트가권장됩니다. 3. 원형을선택합니다. 이제보고서가다음과같이표시됩니다. 30

31 드릴다운기능을사용하면검색에서생성된테이블과차트에제공된정보의세부사항을더자세히살펴볼수있습니다. 4. 각파이영역위로마우스를이동하여각 categoryid 의카운트및백분율값을확인합니다. 5. "Strategy" 등의영역을클릭합니다. Splunk Enterprise 는 categoryid=strategy 라는조건을원래검색에추가한새로운검색을실행합니다. 31

32 Splunk 데이터시각화매뉴얼에서드릴다운작업에대해자세히알아보십시오. 다음단계 다음항목으로이동하여이벤트와하위검색상관분석에대해알아보십시오. 하위검색사용 이항목에서는이벤트를하위검색과연결하는예를살펴봅니다. 하위검색은검색파이프라인을인수로갖는검색입니다. 하위검색은대괄호안에포함되어있으며먼저평가된다음하위검색결과를기본검색 ( 또는외부검색 ) 의인수로사용합니다. 검색매뉴얼의 " 하위검색에대하여 " 를참조하십시오. 예 1: 하위검색사용안함 Buttercup Games 온라인상점을가장자주이용하는고객과이고객이무엇을구입했는지알아보겠습니다. 이렇게하려면온라인상점에가장자주액세스한고객을검색합니다. 1. top 명령어를사용합니다. sourcetype=access_* status=200 action=purchase top limit=1 clientip clientip 에대한결과를하나만반환하도록 top 명령어를제한합니다. " 상위구입고객 " 을둘이상표시하려면이제한값을변경합니다. 사용법및구문에대한자세한내용은검색참조매뉴얼의 "top" 명령어페이지를참조하십시오. 이검색은 VIP 고객을식별하는데사용할하나의 clientip 값을반환합니다. 2. stats 명령어를사용하여이 VIP 고객의구입횟수를계산합니다. sourcetype=access_* status=200 action=purchase clientip= stats count, dc(productid) by clientip 이검색에서는고객의총구입수만반환하는 count() 함수를사용했습니다. dc() 함수는고객이몇개의다른제품을구입하는지계산하는데사용됩니다. 이방법의단점은이테이블을작성할때마다두개의검색을실행해야한다는점입니다. 특정시간범위의상위구입고객이동일한사람이아닐수도있습니다. 예 2: 하위검색사용 1. 다음을검색란에입력하거나복사하여붙여넣습니다. sourcetype=access_* status=200 action=purchase [search sourcetype=access_* status=200 action=purchase top limit=1 clientip table clientip] stats count, dc(productid), values(productid) by clientip 여기서하위검색은대괄호 [] 로묶인세그먼트입니다. 이검색 search sourcetype=access_* status=200 action=purchase top limit=1 clientip table clientip 는마지막연결명령을제외하고예제 1 의 1 단계와동일합니다. table clientip 32

33 top 명령어는 count 및 percent 필드도반환하기때문에 table 명령어는 clientip 값을보관하는데만사용됩니다. 동일한시간범위에대해실행할경우이결과는이전결과와동일합니다. 그러나시간범위를변경할경우상위구입고객이달라지기때문에다른결과가표시될수있습니다. 2. 정보를더쉽게이해할수있도록컬럼의이름을바꿉니다. sourcetype=access_* status=200 action=purchase [search sourcetype=access_* status=200 action=purchase top limit=1 clientip table clientip] stats count AS "Total Purchased", dc(productid) AS "Total Products", values(productid) AS "Products ID" by clientip rename clientip AS "VIP Customer" 다른기간동안검색을실행하면어떤일이발생합니까? 가장많이판매된제품이무엇이고해당제품을얼마나많은사람이구입했는지를알려면어떻게해야합니까? 다음단계 다음항목에서는필드룩업을사용하여이벤트에새정보를추가하는방법을배웁니다. 필드룩업사용 이항목에서는필드룩업을사용하여새필드를이벤트에추가하는과정을안내합니다. 필드룩업을사용하면이벤트데이터의필드와일치하는필드를외부 CSV 파일에서참조할수있습니다. 이일치를사용하면더의미있는정보와검색가능한필드를각이벤트데이터에추가하여데이터를풍부하게만들수있습니다. 다음파일을다운로드하여압축을풉니다. 중요 : 튜토리얼의나머지부분을완료하려면이항목의절차를수행해야합니다. 필드룩업을설정하지않으면다음항목의 33

34 검색에서올바른결과를생성할수없습니다. 룩업관리자찾기 1. 오른쪽상단에있는 Splunk 메뉴모음에서설정을클릭합니다. 2. Knowledge에서룩업을클릭합니다. 그러면새룩업을만들거나기존룩업을편집할수있는룩업편집기가열립니다. 테이블에서룩업테이블파일, 룩업정의및자동룩업에대한링크를클릭하여기존룩업을보고편집할수있습니다. 룩업테이블파일업로드 1. 룩업관리자의룩업테이블파일에대한 " 작업 " 에서새로추가를클릭합니다. 그러면필드룩업정의에사용할 CSV 파일을업로드할수있는새로추가룩업테이블파일뷰로이동합니다. 2. 룩업테이블파일을검색앱에저장하려면대상앱을 search로선택합니다. 3. 룩업파일업로드에서업로드할 CSV 파일 (prices.csv) 을찾아봅니다. 4. 대상파일이름에서파일이름을 prices.csv로지정합니다. 34

35 이이름은룩업정의에서파일을참조하는데사용하는이름입니다. 5. 저장을클릭합니다. 그러면룩업파일이검색앱에업로드되고룩업테이블파일리스트로돌아갑니다. 참고 : Splunk 가파일을인식하지못하거나업로드할수없으면업로드를다시시도하기전에파일이압축해제되었는지확인하십시오. 룩업테이블파일전역공유 룩업파일을공유하지않으면룩업을정의할때룩업파일을선택할수없습니다. 1. 룩업테이블파일리스트로이동합니다. 2. prices.csv 룩업테이블경로에대한공유에서권한을클릭합니다. 그러면 prices.csv 룩업파일에대한권한대화상자가열립니다. 3. 개체표시위치에서모든앱을선택합니다. 4. 저장을클릭합니다. 이제룩업테이블은전역권한으로공유해야합니다. 필드룩업정의추가 1. 룩업관리자로돌아갑니다. 2. 룩업정의에대한작업에서새로추가를클릭합니다. 그러면필드룩업을정의하는룩업정의새로추가뷰로이동합니다. 35

36 3. 대상앱을 search로선택합니다. 4. 룩업의이름을 prices_lookup으로지정합니다. 5. 유형에서파일기반을선택합니다. 파일기반룩업은일반적으로 CSV 파일인정적테이블에서필드를추가합니다. 6. 룩업파일에서 prices.csv( 룩업테이블이름 ) 를선택합니다. 7. 시간기반룩업설정및고급옵션을선택하지않습니다. 8. 저장을클릭합니다. 그러면 prices_lookup이파일기반룩업으로정의됩니다. 룩업정의를모든앱과공유 1. 룩업정의리스트로돌아갑니다. 2. prices_lookup에대한공유에서권한을클릭합니다. prices.lookup에대한권한대화상자가열립니다. 3. 개체표시위치에서모든앱을선택합니다. 4. 저장을클릭합니다. 이제 prices_lookup은전역권한으로공유해야합니다. 룩업자동화 1. 룩업관리자의자동룩업에대한 " 작업 " 에서새로추가를클릭합니다. 36

37 그러면룩업을자동으로실행하도록설정할수있는자동룩업새로추가뷰로이동합니다. 2. 대상앱을 search 로선택합니다. 3. 자동룩업이름을 price_lookup 으로지정합니다. 4. 룩업테이블에서 prices_lookup 을선택합니다. 5. 적용대상및값에서 sourcetype 을선택하고 access_combined_wcookie 를입력합니다. 6. 룩업입력필드에서 productid 를룩업입력필드아래에있는텍스트영역 2 개에모두입력합니다. Splunk Enterprise 는룩업테이블의필드 ( 왼쪽에지정된필드 ) 를오른쪽필드 ( 이벤트내필드 ) 와일치시킵니다. 이사례에서는필드이름이일치합니다. 7. 룩업출력필드에서입력필드일치를기준으로이벤트데이터에추가할필드의이름을입력하고필드의이름을바꿉니다. 7.1 첫텍스트영역에각 productid에대한설명이름이포함된 product_name을입력합니다 등호뒤의두번째텍스트영역에 productname을입력합니다. 그러면필드이름이 productname으로바뀝니다 다른필드추가를클릭하여첫번째필드뒤에더많은필드를추가합니다 각 productid에대한가격이포함된 price 필드를추가합니다. 이필드의이름을바꾸지마십시오. 37

38 8. 필드값덮어쓰기를선택하지않습니다. 9. 저장을클릭합니다. 그러면자동룩업리스트로돌아가고, 설정한룩업이보입니다. 새필드를검색결과에표시 1. 검색으로돌아갑니다. 2. 웹액세스활동검색을실행합니다. sourcetype=access_* 3. 필드사이드바에서관심있는필드의리스트를스크롤하고 price 필드를찾습니다. 4. 가격을클릭하여가격필드요약대화상자를엽니다. 5. 선택됨옆의예를클릭합니다. 6. 대화상자를닫습니다. 필드사이드바의선택된필드아래에가격필드가나타납니다. 6. productname 필드에대해 3-5단계를반복합니다. 38

39 새룩업필드를사용하여검색 1. 이전하위검색예제를복사하여붙여넣거나입력하여 VIP 고객이구입한내용을확인합니다. 이번에는 productid 필드를 productname 으로대체합니다. sourcetype=access_* status=200 action=purchase [search sourcetype=access_* status=200 action=purchase top limit=1 clientip table clientip] stats count AS "Total Purchased", dc(productid) AS "Total Products", values(productname) AS "Product Names" by clientip rename clientip AS "VIP Customer" 제품을설명하는이름을추가하여 VIP 고객의구입에더많은의미가부여되었다는점만제외하고, 결과는이전하위검색예제와동일합니다. 다음절에서는이검색을 "VIP Customer" 라는보고서로저장하는과정을안내합니다. 다음단계 더많은검색을실행함에따라검색을저장하여재사용하거나다른사람들과공유하려고합니다. " 보고서저장및공유에대하여 " 로이동하여보고서저장및공유에대해알아보십시오. 파트 6: 보고서저장및공유 보고서저장및공유에대하여 앞에서는 Splunk Enterprise 에서검색의기초와하위검색을사용하고룩업테이블에서필드를추가하는방법을배웠습니다. 이절에서는검색저장방법과추가검색예제에대해설명합니다. 39

40 보고서로저장 1. 어제시간범위를선택하고하위검색어 ( 이전항목에서 ) 를실행합니다. sourcetype=access_* status=200 action=purchase [search sourcetype=access_* status=200 action=purchase top limit=1 clientip table clientip] stats count AS "Total Purchased", dc(productid) AS "Total Products", values(productname) AS "Product Names" by clientip rename clientip AS "VIP Customer" 2. 검색을보고서로저장하려면검색란위의다른이름으로저장을클릭하고보고서를선택합니다. 그러면보고서로저장대화상자가열립니다. 3. 제목으로 VIP Customer 를입력합니다. 4. ( 선택사항 ) Buttercup Games most frequent shopper 를설명으로입력합니다. 5. 보고서는테이블이기때문에시각화에대해없음을클릭합니다. 6. 시간범위선택기를포함시키려면예를클릭합니다. 7. 저장을클릭합니다. 보고서가생성되었습니다대화상자가열립니다. 이창에는다른옵션이있습니다. 편집계속을통해검색및보고서형식을상세히지정합니다. 대시보드에추가를선택하면보고서를새대시보드나기존대시보드에추가할수있습니다. 뷰를선택하면보고서를볼수있습니다. 8. 뷰를클릭합니다. 40

41 저장된보고서보기및편집 이보고서뷰에서저장된보고서를보고편집할수있습니다. 1. "VIP Customer" 에대한보고서뷰에서편집을클릭합니다. 보고서를검색뷰에서열고저장된검색의설명, 권한, 스케줄및가속화를편집할수있습니다. 이메뉴에서보고서를복제, 첨부및삭제할수도있습니다. 2. 추가정보를클릭합니다. 보고서의다양한속성 ( 스케줄, 가속화, 권한및첨부등 ) 을보고편집할수있습니다. 3. 왼쪽상단에위치한시간범위선택기를확인합니다. 이보고서는시간범위선택기를사용하여저장되었습니다. 시간범위선택기를사용하여이검색을실행하는시간을변경할수있습니다. 예를들어, 이시간범위선택기를사용하여간단히사전설정시간범위를선택하거나사용자지정시간범위를정의하는방식으로 VIP 고객에대한이검색을주간누계, 최근 60 분, 최근 24 시간에대해실행할수있습니다. 41

42 " 시간범위선택기에대하여 " 를참조하십시오. 저장된보고서찾기및공유 앱탐색메뉴모음에서저장된보고서에액세스할수있습니다. 1. 보고서를클릭하여보고서리스트페이지를엽니다. 새보고서를저장하면권한이비공개로설정됩니다. 이는사용자본인만보고서를보고편집할수있음을의미합니다. 권한을변경하여다른앱에서보고서를보거나편집하도록허용할수있습니다. 1. VIP Customer 보고서에대한작업에서편집을클릭하고권한편집을선택합니다. 그러면권한편집대화상자가열립니다. 2. 권한편집대화상자에서표시를앱으로설정하고읽기아래에서모든사용자상자를선택합니다. 42

43 이작업을수행하면이앱에액세스하는모든사람에게볼수있는권한이부여됩니다. 3. 저장을클릭합니다. 보고서리스트페이지로돌아가면 VIP 고객에대한공유가이제앱으로표시됩니다. 보고서가속화에대하여 검색에이벤트수가많아서완료하는데시간이오래걸리는경우, 다시검색할때검색을더빨리완료하도록결과보고서를가속화할수있습니다. 이옵션은검색을통해작성된보고서가가속화에적합할경우에사용할수있습니다. "VIP Customer" 보고서는변환검색기반이므로가속화에적합하지않습니다. 이튜토리얼에서사용된샘플데이터는볼륨이제한되어있으며, 전체검색은하루동안 ( 어제 ) 의데이터를대상으로실행됩니다. 이상자를선택해도이검색과이튜토리얼에서저장할이후모든검색의속도에영향을미치지않습니다. 보고서작성매뉴얼의 " 보고서가속화 " 항목에서보고서가속화및보고서가속화에적합한검색유형에대해자세히알아보십시오. 다음단계 계속하여추가검색예제를실행하고추가보고서를저장하십시오. 추가검색및보고서 이항목에서는더많은검색예제를안내합니다. 예 1: 사용자작업수비교 이예제에서는각제품유형의보기수, 구입수및장바구니에추가한횟수를계산합니다. 이보고서에는필드룩업예제의 productname 필드가필요합니다. 룩업을추가하지않은경우해당예를참조하고절차를따르십시오. 1. 다음검색을실행합니다. 43

44 sourcetype=access_* status=200 chart count AS views count(eval(action="addtocart")) AS addtocart count(eval(action="purchase")) AS purchases by productname rename productname AS "Product Name", views AS "Views", addtocart AS "Adds to Cart", purchases AS "Purchases" 이검색에서는 chart 명령어를사용하여 action=purchase 및 action=addtocart 인이벤트수를계산합니다. 2. 시각화뷰옵션을사용하여결과를세로막대형차트형식으로나타냅니다. 예 2: 오버레이작업및한차트에서의변환율 1. 다음검색을실행합니다. sourcetype=access_* status=200 stats count AS views count(eval(action="addtocart")) AS addtocart count(eval(action="purchase")) AS purchases by productname eval viewstopurchase=(purchases/views)*100 eval carttopurchase=(purchases/addtocart)*100 table productname views addtocart purchases viewstopurchase carttopurchase rename productname AS "Product Name" views AS "Views", addtocart as "Adds To Cart", purchases AS "Purchases" chart 명령어대신이검색에서는사용자작업을계산하는데 stats 명령어를사용합니다. 그런다음, " 구입을위해제품을본횟수 " 및 " 구입을위해장바구니에추가한횟수 " 에대한변환율을계산하는두개의새로운필드를정의하는데 eval 명령어를사용합니다. 44

45 2-6 단계에서는변환열을작업열로오버레이하기위해시각화형식을변경합니다. 2. 시각화를클릭합니다. 이것은 "viewstopurchase" 및 "carttopurchase" 두개의추가열이포함된예제 1 과동일한차트입니다. 3. 형식과 X 축을차례로클릭합니다. 3.1 레이블을 -45 도각도로회전하고레이블을자르지않습니다. 3.2 적용을클릭합니다. 4. 형식과 Y 축을차례로클릭합니다. 45

46 4.1 제목에대해사용자지정을선택하고 "Actions" 를입력합니다. 4.2 최대값을 2500 으로설정하고간격을 500 으로설정합니다. 4.3 적용을클릭합니다. 5. 형식과차트오버레이를차례로클릭합니다. 5.1 "viewstopurchase" 및 "carttopurchase" 필드를입력하거나선택합니다. 5.2 축으로보기에대해켜기를클릭합니다. 5.3 제목에대해사용자지정을선택하고 Conversion Rates를입력합니다. 5.4 눈금에대해선형을선택합니다. 5.5 최대값을 100으로설정하고간격을 20으로설정합니다. 5.6 적용을클릭합니다. 6. 다른이름으로저장을클릭하고보고서를선택합니다. 46

47 6.1 다른이름으로보고서저장대화상자에서제목에 "Comparison of Actions and Conversion Rates by Product" 를입력합니다. 6.2 ( 선택사항 ) 설명에 "The number of times a product is viewed, added to cart, and purchased and the rates of purchases from these actions" 를입력합니다. 7. 저장을클릭합니다. 예 3: 시간별로구입한제품 이보고서의경우각품목마다완료된구입수를차트화합니다. 이보고서에는필드룩업예제의 productname 필드가필요합니다. 룩업을추가하지않은경우해당예를참조하고절차를따르십시오. 1. 다음을검색합니다. sourcetype=access_* timechart count(eval(action="purchase")) by productname usenull="f" useother="f" count() 함수를사용하여 action=purchase 필드가있는이벤트의수를셉니다. usenull 및 useother 인수를사용하여 productname 에대한값을가진이벤트를차트에서계산하도록합니다. 그러면다음통계테이블이생성됩니다. 47

48 2. 시각화탭을클릭하고 X 축, Y 축및범례의형식을지정하여다음꺾은선형차트를작성합니다. 3. 다른이름으로저장을클릭하고보고서를선택합니다. 3.1 다른이름으로보고서저장대화상자에서제목에 "Product Purchases over Time" 을입력합니다. 3.2 ( 선택사항 ) 설명에 "The number of purchases for each product" 를입력합니다. 4. 저장을클릭하고보고서를봅니다. 48

49 예 4: 구입동향 이예에서는 sparkline 을사용하여시간별구입수의동향을표시합니다. stats 및 chart 검색의경우결과테이블에 sparkline 을추가할수있습니다. sparkline 은검색결과테이블내에표시되는인라인차트로, 각행의기본키와연관된시간기반동향을표시하도록설계되어있습니다. 검색매뉴얼의 " 검색결과에 sparkline 추가 " 를참조하십시오. 이예에는필드룩업예제의 productname 필드가필요합니다. 룩업을추가하지않은경우해당예를참조하고절차를따르십시오. 1. 다음검색을실행합니다. sourcetype=access_* status=200 action=purchase chart sparkline(count) AS "Purchases Trend" count AS Total by categoryid rename categoryid AS "Category" 이검색에서는 chart 명령을사용하여각제품 productname 에대해구입수 action="purchase" 를계산합니다. 차이점은구입수가이제 sparkline() 함수의인수라는것입니다. 3. 다른이름으로저장을클릭하고보고서를선택합니다. 49

50 4. 다른이름으로보고서저장대화상자에서제목에 "Purchasing trends" 를입력합니다. 5. ( 선택사항 ) 설명에 "Count of purchases with trending" 을입력합니다. 6. 저장을클릭하고보고서를봅니다. 다음단계 지금까지검색을보고서로저장했습니다. " 대시보드만들기 " 로계속진행하여대시보드와검색및보고서를대시보드패널로저장하는방법에대해알아보십시오. 파트 7: 대시보드만들기 대시보드에대하여 대시보드는검색란, 필드, 차트, 테이블및리스트와같은모듈을포함한패널로구성된뷰입니다. 대시보드패널은일반적으로저장한검색에연결됩니다. 시각화또는보고서를만든후에는다른이름으로보고서저장대화상자를사용하여새대시보드나기존대시보드에추가할수있습니다. 대시보드편집기를사용하여대시보드를만들고기존대시보드를편집할수도있습니다. 대시보드편집기를사용하면대시보드에빨리추가하고싶은여러저장된보고서가있을때유용합니다. 대시보드권한변경 대시보드편집기에서대시보드에대한액세스권한을지정할수있습니다. 그러나사용자역할 ( 및해당역할에대해정의된기능 ) 에따라정의할수있는액세스유형이제한될수있습니다. Splunk 사용자역할이 ( 기본기능집합을보유한 ) 관리자인경우특정앱에만표시되거나모든앱에표시되는비공개대시보드를작성할수있습니다. 또한사용자, 관리자및특정기능을보유한다른역할과같이다른 Splunk 사용자역할에대한액세스권한을제공할수있습니다. 대시보드및다른 knowledge 객체에대한권한을설정하는방법에대한내용은관리자매뉴얼의 "knowledge 객체권한관리 " 를참조하십시오. 대시보드패널시각화변경 대시보드편집기를사용하여패널을만든후시각화편집기를사용하여패널에서시각화유형을변경하고해당시각화가표시및작동하는방식을결정하십시오. 시각화편집기를사용하면데이터구조요구사항이패널에대해지정된검색과일치 50

51 하는시각화유형중에서하나를선택할수있습니다. 시각화유형과시각화형식지정 / 표시옵션의개요는데이터시각화매뉴얼의 " 시각화참조 " 항목을참조하십시오. 다양한시각화유형에필요한데이터구조에대한자세한내용은데이터시각화매뉴얼의 " 시각화를위한데이터구조요구사항 " 을참조하십시오. 대시보드의 XML 설정편집 XML 을사용하여대시보드를작성할필요는없지만대시보드의 XML 설정을편집하는방식으로대시보드의패널을편집할수있습니다. 따라서대시보드편집기에서사용할수없는기능을편집할수있습니다. 예를들어, XML 설정을편집하여대시보드의이름을변경하거나테이블의사용자지정행수를지정할수있습니다. 개발자매뉴얼에서 " 단순 XML 을사용하여대시보드작성및편집 " 을참조하십시오. 대시보드및대시보드패널만들기 이항목에서는검색을대시보드패널로저장하고대시보드에입력요소를추가하는방법을살펴봅니다. 검색을대시보드패널로저장 1. 다음검색을실행합니다. sourcetype=access_* status=200 action=purchase top categoryid 2. 시각화탭을클릭하고원형차트유형을선택합니다. 3. 검색뷰에서다른이름으로저장을클릭하고대시보드패널을선택합니다. 51

52 대시보드패널로저장대화상자가열립니다. 4. 새대시보드와대시보드패널을정의합니다 대시보드에대해새로만들기를클릭합니다 대시보드제목에 "Buttercup Games Purchases" 를입력합니다. 그러면대시보드 ID 가 "Buttercup_games_purchases" 로업데이트됩니다 ( 선택사항 ) "Reports on Buttercup Games purchases data" 라는대시보드설명을추가합니다 패널제목에 "Top Purchases by Category" 를입력합니다 패널제공을인라인검색으로선택합니다. 5. 저장을클릭합니다. 6. 대시보드보기를클릭합니다. 하나의보고서패널이포함된대시보드가만들어집니다. 더많은보고서패널을추가하려면새로운검색을실행하고이대시보드에새로운검색을저장하거나저장된보고서를추가할수있습니다. 52

53 대시보드패널보기및편집 1. 앱탐색메뉴모음에서대시보드를클릭합니다. 대시보드리스트페이지가표시됩니다. 새대시보드를만들고기존대시보드를편집할수있습니다. 만든 Buttercup Games Purchases 대시보드가보입니다. 2. i 컬럼에서 Buttercup Games Purchases 옆의화살표를클릭하여대시보드에대한추가정보를확인합니다. 대시보드에대한자세한정보가나타납니다. 정보와같은줄에있는링크를사용하여대시보드의스케줄및권한을빠르게편집할수있습니다. 대시보드에입력추가 1. 대시보드리스트에서 Buttercup Games Purchases 를클릭하여저장한대시보드로돌아갑니다. 2. 편집을클릭하고패널편집을선택합니다. 그러면뷰가변경되어대시보드의패널과모듈에편집옵션이나타냅니다. 53

54 3. 입력추가를클릭하고시간을선택합니다. 그러면시간범위선택기가대시보드편집기에추가됩니다. 시간범위를기본값으로설정하도록변경할수있습니다. 4. 완료를클릭합니다. 이제이시간범위선택기를사용하여패널에동일한시간범위를적용하는모든인라인검색을제한할수있습니다. 다음단계 다음항목으로이동하여대시보드에더많은보고서를추가하십시오. 대시보드에더많은패널추가 54

55 이전절에서는검색을실행하고보고서로저장했습니다. 이항목에서는저장된보고서를기존대시보드에추가합니다. 저장된보고서를대시보드에추가 1. Buttercup Games Purchases 대시보드로돌아갑니다. 2. 편집을클릭하고패널편집을선택합니다. 3. Buttercup Games Purchases 대시보드편집기에서패널추가를클릭합니다. 패널추가사이드바메뉴슬라이드가열립니다. 55

56 4. 보고서에서새패널을추가하려면보고서에서새로만들기를클릭합니다. 저장된보고서리스트가열립니다. 5. Purchasing Trends 를선택합니다. 저장된보고서의미리보기가열립니다. 6. 대시보드에추가를클릭합니다. 새로운패널이대시보드편집기에배치됩니다. 아무데나클릭하여패널추가사이드바메뉴를닫거나대시보드에추가할다른보고서를선택할수있습니다. 7. Comparison of Actions and Conversion Rates by Product 보고서를선택하고대시보드에추가합니다. 56

57 8. 패널추가사이드바를닫고대시보드에패널을다시배치합니다. 대시보드편집기에있을때패널을끌어와서대시보드에다시배치할수있습니다. 9. 완료를클릭합니다. 완료된대시보드는다음과같이표시되어야합니다. 57

58 추가대시보드작업 대시보드를완료한후오른쪽상단의단추를사용하여 PDF 로내보내기및대시보드인쇄를수행할수있습니다. 해당권한을변경하여다른사용자와대시보드를공유할수도있습니다. 다음단계 이번과정에서검색튜토리얼을마칩니다. 다음단계 추가 Splunk 검색참고자료 이튜토리얼에서검색인터페이스탐색및검색언어사용에대해간략히소개했습니다. 일부기본검색을실행하고결과를보고서및대시보드로저장하는방법을살펴봤지만이는 Splunk Enterprise 로수행할수있는작업의극히일부에불과합니다. 자세한내용은다음매뉴얼을참조하십시오. 검색매뉴얼 : Splunk SPL( 검색처리언어 ) 을검색및사용하는방법에대해설명합니다. 이매뉴얼에서통계를계산하고필드를평가하며검색결과에대한보고서를작성하는 Splunk 검색작성의예를자세히살펴보십시오. 검색참조매뉴얼 : Splunk Enterprise 사용자를위한검색명령어및검색명령어에대한전체구문, 설명및사용예제가수록된검색명령어카탈로그를제공합니다. 검색을시작하려면검색명령어요약서를확인하십시오. 이는설명과예제가완전히갖춰진빠른가이드입니다. 튜토리얼데이터를조사하고더많은검색을실행하며더많은대시보드를만들어보십시오. Splunk Enterprise 의데이터모델및피벗기능에대해자세히알아보려면데이터모델및피벗튜토리얼을참조하십시오. Splunk Enterprise 의기능과각기능을사용하는방법에대해자세히알아보려면엄선된 Splunk 교육비디오및강의를참조하십시오. 58