Table of Contents 소개 Splunk 튜토리얼시작 Splunk 개요 튜토리얼을시작하기전에전제조건 Splunk 다운로드및설치 Splunk 시작및 Splunk Web 실행 Splunk로데이터가져오기데이터가져오기에대하여 Splunk에샘플데이터가져오기

Transcription

1 Splunk 5.0 Splunk 튜토리얼 생성일 : 2012 년 10 월 31 일오후 2 시 31 분 Copyright 2012 Splunk, Inc. All Rights Reserved Copyright (c) 2013 Splunk, Inc. All Rights Reserved

2 Table of Contents 소개 Splunk 튜토리얼시작 Splunk 개요 튜토리얼을시작하기전에전제조건 Splunk 다운로드및설치 Splunk 시작및 Splunk Web 실행 Splunk로데이터가져오기데이터가져오기에대하여 Splunk에샘플데이터가져오기 검색및검색언어이장에대하여검색앱검색시작시간표시줄사용필드를사용하여검색검색언어사용검색저장하위검색사용필드룩업사용추가검색예제 보고서및대시보드만들기보고서및대시보드에대하여보고예제대시보드예대시보드보기및인쇄 Splunk를더많이사용해보세요! 다음에는어떤일이일어날까요?

3 소개 Splunk 튜토리얼시작 Splunk란무엇입니까? Splunk 는 IT 인프라를구성하는애플리케이션, 서버또는네트워크장치의 IT 데이터를인덱싱하는소프트웨어입니다. Splunk 의강력하고유용한검색및분석엔진을사용하면전체 IT 인프라에서발생하는모든내용을실시간으로하나의위치에서조사, 문제해결, 모니터링, 경고및보고할수있습니다. Splunk는누가사용합니까? Splunk 의다양한기능덕분에여러유형의많은사용자가 Splunk 를사용합니다. 시스템관리자, 네트워크엔지니어, 보안분석가, 개발자, 서비스데스크및지원담당자뿐만아니라관리자, VP 및 CIO 도 Splunk 를사용하여작업을더욱빠르고효율적으로수행할수있습니다. 애플리케이션지원담당자는애플리케이션환경에서엔드투엔드 (end-to-end) 조사및수정작업에 Splunk 를사용하며, 전체서비스에서성능, 가용성및비즈니스메트릭을사전에모니터링하는경고및대시보드를만드는데도 Splunk 를사용합니다. 애플리케이션지원담당자는직책에따라데이터액세스를분리하는역할을사용하며, 애플리케이션개발자와 Tier 1 지원담당자에게보안을침해하지않으면서프로덕션로그에서필요한정보에대한액세스를제공합니다. 시스템관리자와 IT 직원은 Splunk 를사용하여서버문제점을조사하고서버구성을파악하며사용자작업을모니터링합니다. 그런다음성능임계값, 심각한시스템오류및로드에대한사전경고로검색을변환합니다. 선임네트워크엔지니어는 Splunk 를사용하여에스컬레이션된문제점을해결하고, 일상적인문제점을표시하는이벤트및패턴을식별하며 ( 예 : 잘못구성된라우터및환경변경사항 ), 해당이벤트에대한검색내용을사전경고로변환합니다. 보안분석가및인시던트응답팀에서는 Splunk 를사용하여플래그지정된사용자작업및중요한데이터에대한액세스를조사하고, 알려진문제이벤트를자동으로모니터링하며, 검색을통한고급상관관계를사용하여강제공격, 데이터누출및애플리케이션레벨의부정행위와같은알려진위험패턴을찾습니다. 모든솔루션영역의관리자는 Splunk 를사용하여 IT 인프라및비즈니스의상태, 성능, 활동및용량을모니터링하고요약하는보고서및대시보드를작성합니다. 이튜토리얼에는어떤내용이있습니까? Splunk 를처음사용하는경우이튜토리얼은 Splunk 사용을시작하기위해알아야할사항, 즉처음다운로드에서다양한대화식대시보드를작성하는방법에대해알려줍니다. PDF 만들기 이매뉴얼의 PDF 버전을원하는경우이페이지왼쪽의목차아래빨간색 Splunk 튜토리얼을 PDF로다운로드링크를클릭하십시오. 해당매뉴얼의 PDF 버전이즉시생성되며나중에읽어보기위해저장하거나인쇄할수있습니다. Splunk 개요 Splunk 는데이터센터에서정보추적및사용시겪는문제를해결해주는강력하고유용한 IT 검색소프트웨어입니다. Splunk 가있으면웹브라우저에필요한복잡한데이터베이스, 커넥터, 사용자지정구문분석기또는컨트롤등이필요하지않습니다. Splunk 가사용자대신모두처리합니다. Splunk 의기능은다음과같습니다. 모든 IT 데이터를실시간으로계속인덱싱할수있습니다. 데이터에포함된유용한데이터를자동으로검색할수있습니다. 물리적 / 가상 IT 인프라에서관심있는모든항목을검색하고검색결과를몇초내로받을수있습니다. 검색내용을저장하고유용한정보에태그를지정하여시스템에서보다효율적으로작업을수행할수있습니다. 특정반복이벤트에대한시스템의모니터링을자동화하도록경고를설정할수있습니다. 대화식차트, 그래프및테이블이포함된분석보고서를생성하여다른사용자와공유할수있습니다. 저장된검색및보고서를 Splunk 동료사용자와공유하고, 결과를이메일을통해팀구성원과프로젝트관계자에게배포할수있습니다. IT 시스템을사전에검토하여서버중단시간과보안인시던트가발생하기전에방지할수있습니다. 엔터프라이즈의다양한요구사항에적합한정보가많은특수뷰와대시보드를설계할수있습니다. 새데이터인덱싱 Splunk 는모든애플리케이션, 서버및네트워크장치의라이브로그파일, 구성, 트랩및경고, 메시지, 스크립트, 성능데이터및통계를포함하여 IT 인프라의모든내용을실시간으로인덱싱할수있는다양하고유연한데이터입력방법을제공합니다. 파일시스템에서스크립트및구성변경사항을모니터링합니다. 파일시스템또는 Windows 레지스트리에서변경사항모니터링을사용합니다. 아카이브파일및 SNMP 트랩데이터를캡처합니다. 라이브애플리케이션서버스택추적및데이터베이스감사 (Audit) 테이블을찾아서추적합니다. 네트워크포트에연결하여 syslog 및기타네트워크관련계측값을수신합니다. 3

4 데이터를받는방법이나데이터형식과상관없이 Splunk 는작성또는유지하기위한특정파서나어댑터없이도동일한방법으로데이터를인덱싱합니다. 데이터무결성을증명해야할경우데이터서명및감사기능 ( 옵션 ) 을사용하여효율적이고압축된파일시스템기반데이터저장소에원시데이터와여러인덱스를모두저장합니다. 검색및조사 이제모든데이터를시스템으로가져왔습니다. 이데이터로어떤작업을하시겠습니까? Splunk 의강력한검색기능을사용하여미리정의된필드만이아니라원하는항목을모두찾아보십시오. 시간과용어검색을결합하십시오. IT 인프라의모든계층에서오류를찾고시스템장애가발생하기전에신속하게구성변경사항을추적하십시오. Splunk 는검색할때레코드의필드를식별하며, 엄격한필드매핑규칙집합을미리설정해야하는솔루션을통해뛰어난유연성을제공합니다. 시스템에테라바이트단위의많은데이터가있더라도 Splunk 를사용하면원하는데이터를정확하게검색할수있습니다. 지식캡처 원시데이터에대한자유로운형식의검색은단지시작일뿐입니다. 필드, 이벤트및트랜잭션에대한지식을추가하여해당데이터를강화하고검색포커스를개선하십시오. 우선순위가높은자산에태그를지정하고, 업무수행또는감사 (Audit) 요구사항에따라이벤트에주석을추가하십시오. 관련된서버오류집합에단일태그를제공한다음해당태그를사용하여해당오류집합이포함된이벤트를분리및보고하는검색을만드십시오. 자주실행하는검색을저장및공유하십시오. 데이터를미리정규화하는대신검색시데이터에지식을매핑하여관리정보를로깅하는일반접근방식보다 Splunk 의기능이더뛰어납니다. 조직에서사용되는다양한 Splunk 앱에서검색, 보고서및대시보드를공유할수있습니다. 모니터링자동화 일정에따라검색을실행할수있고, 예약된검색에서알림을트리거하거나특정조건이발생할경우알림을트리거하도록설정할수있습니다. 애플리케이션에서액세스제어방화벽에이르기까지 IT 인프라의다양한구성요소및기술에서이자동화된경고기능이작동합니다. Splunk 를사용하여이메일이나 SNMP 를통해다른관리콘솔로알림을보내십시오. 애플리케이션, 서버또는네트워크장치의재시작이나문제티켓개설과같은작업을수행하는스크립트를트리거하는경고조치를정렬하십시오. 알려진오류이벤트에대한경고를설정하고검색을통한고급상관관계를사용하여 Brute Force 공격, 데이터누출및애플리케이션레벨의부정행위와같은알려진위험패턴을찾으십시오. 분석및보고 막대한양의데이터를신속하게분석하는 Splunk 의기능을사용하면대화식차트, 그래픽및테이블형식으로검색결과집합을요약할수있습니다. 시간별로메트릭동향을분석하고, 상위값을비교하며, 가장빈번하거나드물게발생하는조건유형을보고하는통계명령을사용하여바로보고서를생성하십시오. 대화식꺾은선형차트, 막대형차트, 세로막대형차트, 원형차트, 산점도차트, 열지도차트와같이보고서결과를시각화하십시오. Splunk 는팀구성원및프로젝트관계자와보고서를공유할수있는다양한방법을제공합니다. 보고서가정기적으로실행되도록예약하고, Splunk 가이메일을통해해당당사자에게보고서를보내고, 보고서를인쇄하며, 자주실행하는보고서의커뮤니티모음에보고서를저장하고, 빠른참조를위해특수대시보드에보고서를추가하도록할수있습니다. 튜토리얼을시작하기전에 전제조건 Splunk 를사용하려면 Splunk 인스턴스를다운로드, 설치및시작해야합니다. 이작업은 5 분이면충분합니다. 이미실행중인 Splunk 서버에액세스할수있는경우 "Splunk 에데이터추가 " 로이동하여시작하십시오. 시스템요구사항 Splunk 는대부분의컴퓨팅플랫폼에서실행되지만, 이튜토리얼에서는특히 Splunk 의 Windows 및 Mac OS X 버전에초점을맞춥니다. 물론선택하는플랫폼에상관없이 Splunk 를계속사용할수있으며이후 Splunk 시작을참조하여작업을수행해야합니다. Splunk 는로컬컴퓨터에설치하는소프트웨어이지만웹브라우저를통해서도 Splunk 에액세스할수있습니다. Splunk 는 Firefox, Internet Explorer 및 Safari 의대부분버전을지원합니다. Splunk 는고성능애플리케이션이지만, 이튜토리얼에서는적어도다음사양을충족하는개인 Windows 또는 Mac 컴퓨터만필요합니다. 플랫폼 Windows 가아닌플랫폼 Windows 플랫폼 최소지원되는하드웨어용량 1x1.4GHz CPU, 1GB RAM Pentium 4 또는 2Ghz, 2GB RAM의동등기종 전체사양리스트는설치매뉴얼의 " 시스템요구사항 " 을참조하십시오. 4

5 Splunk 라이선스 Splunk 는 Enterprise 라이선스또는 Free 라이선스로실행됩니다. Splunk 를처음다운로드할경우 60 일후에만료되는 Enterprise 평가판라이선스가제공됩니다. 이평가판라이선스로 500MB/ 일인덱싱과모든 Enterprise 기능을사용할수있습니다. Splunk 를설치하면 Enterprise 평가판라이선스를만료전까지실행하거나, 종신 Free 라이선스 ( 포함됨!) 로전환하거나, Enterprise 라이선스를구입할수있습니다. 관리자매뉴얼에서 "Splunk 라이선스유형 " 에대해자세히알아보십시오. Splunk 다운로드및설치 Splunk 는 Windows 및 Mac OS X 플랫폼용그래픽설치프로그램을제공합니다. Windows 설치프로그램은 MSI 파일입니다. 두개의 Mac OS X 설치프로그램이있으며, 이튜토리얼의경우 DMG 패키지를사용합니다. Splunk 다운로드 다운로드페이지에서 Splunk 의최신버전을다운로드하십시오. Splunk.com 에로그인하여 Splunk 를다운로드합니다. 로그온할수없는경우다운로드패키지를클릭하면등록양식으로이동합니다. Splunk.com 계정이아직없는경우계정을등록하십시오. Windows에설치 1. 설치프로그램을시작하려면 splunk.msi 파일을두번클릭합니다. 2. 환영패널에서다음을클릭합니다. 3. 사용권계약을읽고 " 동의합니다 " 옆에있는상자를선택합니다. 다음을클릭하여설치를계속합니다. 4. 고객정보에요청한정보를입력하고다음을클릭합니다. 5. 대상폴더패널에서변경... 을클릭하여 Splunk를설치할다른위치를지정하거나다음을클릭하여기본값을사용합니다. Splunk 는기본적으로 \Program Files\Splunk 디렉터리에설치됩니다. 로그온정보패널이표시됩니다. 6. 로그온정보패널에서로컬시스템사용자를선택하고다음을클릭합니다. 다른사용자옵션에대해알아보려면 Windows 에 Splunk 설치관련설명을참조하십시오. 7. 사용자를지정한후사전설치요약패널이표시됩니다. 설치를클릭하여계속합니다. 8. 설치완료패널에서이제 Splunk로브라우저실행및시작메뉴바로가기만들기상자를선택합니다. 9. 마침을클릭합니다. 설치가완료되고 Splunk 가시작하며 Splunk Web 이지원되는브라우저에서실행됩니다. Mac OS X에설치 1. DMG 파일을두번클릭합니다. 2. 검색기창에서 splunk.pkg 를두번클릭합니다. Splunk 설치프로그램이열리고소개가표시됩니다. 3. " 계속 " 을클릭합니다. 4. 대상선택창에서 Splunk를설치할위치를선택합니다. 기본디렉터리 /Applications/splunk 에설치하려면하드드라이브아이콘을클릭합니다. 다른위치를선택하려면 " 폴더선택..." 을클릭합니다. 5. " 계속 " 을클릭합니다. 사전설치요약이표시됩니다. 변경작업을수행하려면다음과같이하십시오. 설치위치변경을클릭하여새폴더를선택합니다. 또는뒤로를클릭하여한단계되돌아갑니다. 6. 설치를클릭합니다. 5

6 설치가시작됩니다. 몇분의시간이걸릴수있습니다. 7. 설치가완료되면마침을클릭합니다. 설치가완료되고이제 Splunk 를시작할준비가되었습니다. Splunk 시작및 Splunk Web 실행 Splunk 를시작할때호스트에서두가지프로세스 splunkd 와 splunkweb 를시작합니다. splunkd 는스트리밍컴퓨터데이터를액세스, 처리및인덱스하고검색요청을처리하는분산 C/C++ 서버입니다. splunkweb 은컴퓨터데이터를검색및탐색하고 Splunk 배포를관리하는데사용하는 Splunk Web 인터페이스를제공하는 Python 기반애플리케이션서버입니다. Windows에서 Splunk 시작 Windows 에서 Splunk 를시작하려면다음과같은세가지옵션을사용하십시오. 시작메뉴에서 Splunk 를시작합니다. Windows 서비스관리자를사용하여 splunkd 및 splunkweb 을시작하고중지합니다. cmd 창을열고 \Program Files\Splunk\bin 으로이동한후다음을입력합니다. > splunk start Mac OS X에서 Splunk 시작 터미널또는셸을열어 CLI 에액세스합니다. /Applications/splunk/bin/ 으로이동하고다음을입력합니다. $./splunk start 관리자또는루트권한이있을경우 Splunk 환경변수를설정하여 CLI 사용을단순화할수있습니다. 자세한내용은관리자매뉴얼의 "CLI 에대하여 " 를참조하십시오. Splunk 사용권계약에동의 시작명령을실행하면 Splunk 는사용권계약을표시하고시작을계속하기전에계약에동의할것을요청합니다. 사용권계약에동의하면시작시퀀스가표시됩니다. 끝날때 Splunk 는 Splunk Web 을액세스할위치를알려줍니다. The Splunk Web interface is at Splunk 시작과관련된문제를해결하려면설치매뉴얼의 " 처음 Splunk 시작 " 을참조하십시오. 유용한기타명령 Splunk 서버를중지또는재시작하거나상태를확인하려면다음 CLI 명령을사용하십시오. $ splunk stop $ splunk restart $ splunk status Splunk Web 실행 Splunk 의인터페이스는웹서버로실행되고, 시작된후 Splunk 는 Splunk Web 인터페이스의위치를알려줍니다. 브라우저를열고해당위치로이동합니다. Splunk Web 은기본적으로설치된호스트의포트 8000 에서실행됩니다. 해당로컬컴퓨터에서 Splunk 를사용하는경우 Splunk Web 에액세스하는 URL 은 입니다. Enterprise 라이선스를사용하는경우처음 Splunk 를실행하면이로그인화면으로이동합니다. 메시지에따라기본자격증명으로인증하십시오. 6

7 Free 라이선스를사용하는경우 Splunk 를사용하기위해인증할필요가없습니다. 이경우 Splunk 를시작할때로그인화면이나타나지않습니다. 대신 Splunk 홈이나계정의기본애플리케이션으로설정된애플리케이션으로바로이동됩니다. 기본암호로로그인할때 Splunk 는새암호를만들것을요청합니다. 이것을건너뛰거나암호를변경하여계속할수있습니다. Splunk로데이터가져오기 데이터가져오기에대하여 Splunk 를사용할때 Splunk 인덱스의데이터를사용합니다. 다음항목을읽어보십시오. Splunk 인덱스의데이터유형에대해알아보기 Splunk 인덱스에샘플데이터추가 Splunk가인덱스하는데이터유형 Splunk 는모든소스의컴퓨터데이터를실시간으로인덱스할수있습니다. Splunk 에서서버또는네트워크장치의 syslog 를가리키고, WMI 폴링을설정하며, 애플리케이션의로그파일을모니터링하고, 파일시스템또는 Windows 레지스트리에서변경모니터링을활성화하며, 시스템메트릭을가져올스크립트를예약할수있습니다. 데이터를받는방법이나데이터형식과상관없이 Splunk 는작성또는유지하기위한특정파서나어댑터없이도동일한방법으로데이터를인덱싱합니다. 데이터무결성을증명해야할경우데이터서명및감사기능 ( 옵션 ) 을사용하여효율적이고압축된파일시스템기반데이터저장소에원시데이터와여러인덱스를모두저장합니다. 이튜토리얼에서는한가지입력유형인로컬파일업로드에대해서만설명하므로, 튜토리얼을실행하는데로컬파일만있으면됩니다. Splunk 가처리할수있는다른모든유형의데이터입력과해당데이터입력을추가하는방법은 "Splunk 에서인덱스할수있는대상 " 항목으로시작하는데이터가져오기매뉴얼을참조하십시오. 7

8 Splunk로데이터를가져오는방법 데이터를 Splunk 에추가할때 Splunk Web, Splunk 의 CLI 또는 inputs.conf 구성파일에서입력할수있는여러방법이있습니다. Splunk Web 을사용하여대부분의데이터소스를추가할수있습니다. 구성파일에대한액세스권한이있는경우더광범위한구성옵션이있는 inputs.conf 를사용할수있습니다. Splunk Web 또는 Splunk CLI 를사용하여변경하는내용은 inputs.conf 에저장됩니다. "Splunk 인덱스에샘플데이터추가 " 항목에서는 Splunk Web 을사용하여새데이터를추가하기위한일반적인절차를간략하게설명합니다. 입력구성에대한자세한내용은데이터가져오기매뉴얼의 "Splunk 에서인덱스할수있는대상 " 장을참조하십시오. Splunk가데이터를저장하는위치 " 인덱스 " 용어를사용하여두가지다른의미를나타낼수있습니다. 첫번째로, Splunk 가새데이터를인덱스할경우원시데이터를처리하여검색가능하게만듭니다. 두번째로, Splunk 인덱스에대해언급할경우 Splunk 가데이터전체또는부분을저장하는데이터저장소를의미합니다. 따라서새데이터를인덱스할경우 Splunk 는데이터를인덱스에저장합니다. 또한검색시하나또는여러개의인덱스에있는데이터와비교합니다. 앱및입력 Splunk 에입력을추가할경우해당입력은현재사용중인앱에대해추가되고, 일부앱은입력데이터를특정인덱스에씁니다. 예를들어, Splunk for Unix 및 Linux 앱은 'os' 인덱스를사용합니다. Splunk 에있는것이확실한데이터를찾을수없으면올바른인덱스를검색하고있는지확인하십시오. Splunk 사용자의경우데이터검색및데이터에대해알아보기전에이사항만알고있으면됩니다. 인덱스의데이터관리에대해자세히알아보려면인덱서및클러스터관리매뉴얼의 " 인덱싱개요 " 장을참조하십시오. Splunk에샘플데이터가져오기 이항목에서는 Splunk 서버를이미다운로드한후설치하여시작했다고가정합니다. 그렇지않은경우에는이전항목으로돌아가작업수행방법을확인하십시오. Splunk 를시작하고로그인한후에는검색할수있는데이터를제공해야합니다. 이항목에서는샘플데이터집합을다운로드하고 Splunk 에이데이터집합을추가하는과정에대해설명합니다. 샘플데이터파일다운로드 이튜토리얼에서는가상의온라인상점인꽃과선물상점의샘플데이터를사용하여 Splunk 를사용하는방법에대해알려줍니다. 샘플데이터에는다음항목이포함됩니다. Apache 웹서버로그 mysql 데이터베이스로그 파일및디렉터리, 네트워크포트및사용자지정스크립트에서 Splunk 데이터를제공할수있지만, 이튜토리얼의경우압축파일을직접 Splunk 에업로드합니다. 또한이튜토리얼은시간이지나면완료되도록설계되었습니다. 그러나며칠동안튜토리얼을완료할생각이라면새샘플데이터파일을다운로드하여추가하면됩니다! 이튜토리얼을계속하려면여기서샘플데이터를다운로드하십시오 ( 압축해제안함 ). sampledata.zip 이샘플데이터파일은매일업데이트됩니다. Splunk에샘플데이터추가 Splunk 에로그인하면 Splunk 홈으로이동합니다. Splunk 홈이가장먼저나타나지않으면앱리스트를사용하여홈을선택하십시오. 1. Splunk 홈에서데이터추가를클릭합니다. 추가할데이터유형을선택또는데이터원본을선택할수있는 Splunk에데이터추가대화상자가나타납니다. 2. 또는데이터원본선택에서파일및디렉터리에서를클릭합니다. 8

9 데이터를 Splunk 인덱스에추가하기전에데이터를미리볼수있는데이터미리보기대화상자가나타납니다. 이튜토리얼에서는이작업을수행할필요가없습니다. 데이터미리보기에대해자세히알려면데이터가져오기매뉴얼의 " 데이터미리보기개요 " 를참조하십시오. 3. 미리보기건너뛰기를선택하고계속을클릭합니다. 홈 > 데이터추가 > 파일및디렉터리 > 새로추가뷰가나타납니다. 여기서샘플데이터파일을업로드합니다. 일반적으로이작업만수행하면다른항목을변경할필요없이나머지는 Splunk가처리합니다. 그러나이튜토리얼에서는일부속성도편집합니다. 4. Source에서파일업로드및인덱스를선택하고방금다운로드한샘플데이터파일을찾아봅니다. 이벤트의 source 는이벤트의발생지를알려줍니다. 파일및디렉터리에서데이터를수집할경우 "source" 는파일또는디렉터리의전체경로이름입니다. 네트워크기반 source 의경우 source 는 UDP:514 와같은프로토콜및포트입니다. 5. 추가설정을선택합니다. 9

10 이경우 Host, Source type 및 Index 에대한 Splunk 의기본설정을재지정할수있습니다. 이벤트의 host 값은일반적으로이벤트가발생한네트워크호스트의호스트이름, IP 주소또는완전한도메인이름입니다. Sampledata.zip 파일을살펴보면네개의디렉터리 ( 폴더 ) 가포함되어있습니다. 이폴더중세개는 Apache 웹서버용으로이름이지정되고하나는 MySQL 서버입니다. 이벤트의 source type 은일반적인형식지정방식에기반한데이터유형을알려줍니다. source type 의예로 access_combined 또는 cisco_syslog 가있습니다. 이분류를사용하여여러 source 및 host 에서동일한유형의데이터를검색할수있습니다. Splunk source type 이데이터를처리하는방법에대해자세히알려면데이터가져오기매뉴얼의 "source type 이중요한이유 " 를참조하십시오. index 설정은 Splunk 에데이터를입력할위치를알려줍니다. 기본적으로데이터는 main 에저장되지만, 여러유형이있는경우데이터를다른인덱스로구분할것을고려할수있습니다. 사용자지정인덱스만들기에대한자세한내용은인덱서및클러스터관리매뉴얼의 " 다중인덱스설정 " 을읽으십시오. 이튜토리얼의경우호스트설정을변경하겠습니다. 6. 호스트및호스트설정에서경로에대한 regex를선택합니다. host 값을 Sampledata.zip 에포함된폴더이름과일치시키려고합니다. 경로에대한 regex 를선택하면 Splunk 가정규식 (regex) 을사용하여압축된파일내경로세그먼트와일치시키고이값을호스트값으로설정합니다. 7. 정규식에서다음을복사하여붙여넣습니다. Linux\Unix 의경우 : Sampledata.zip:./([^/]+)/ Windows 의경우 : Sampledata.zip:.\\([^/]+)/ 이 regex 는 (Linux/Unix) Sampledata.zip/ 또는 (Windows) Sampledata.zip\ 아래세그먼트경로에있는문자와일치시킵니다. 8. 저장을클릭합니다. 작업이완료되었으면 Splunk 는업로드가성공했다는메시지를표시합니다. 다음단계 검색시작을클릭하고이튜토리얼의다음항목으로이동하여검색앱에서데이터를살펴보십시오. 10

11 검색및검색언어 이장에대하여 Splunk 에샘플데이터를추가했으므로, 해당데이터검색을시작할준비가되었습니다. Splunk 튜토리얼의이장내용은다음과같습니다. 검색앱을소개합니다. 시간범위와필드지정, 검색언어사용으로이동하기전에키워드및구로시작하여 Splunk 에서검색하는과정을안내합니다. 검색을저장하고다시검색에액세스하는방법에대해설명합니다. 하위검색작성, 필드룩업을포함한이벤트를사용하여이벤트강화방법등을포함하여추가검색예를제공합니다. 먼저검색앱에대해알아보겠습니다. 검색앱 이항목에서는온라인꽃과선물상점에대한샘플데이터를추가했다고가정합니다. 그렇지않은경우데이터추가튜토리얼로돌아가서데이터를추가한후계속하십시오. Splunk 에샘플데이터가있으면검색을시작할준비가된것입니다. 이항목에서는데이터를검색및분석하기위한 Splunk 의기본인터페이스인검색앱을소개합니다. 검색인터페이스에이미익숙한경우에는이항목을건너뛰고검색을시작할수있습니다. 검색앱찾기 Splunk 의오른쪽상단모서리에있는시스템탐색막대의앱리스트에서검색앱을액세스하십시오. 앱리스트를사용할수없는경우페이지의왼쪽상단모서리에있는 << 홈으로돌아가기링크를클릭하십시오. 홈으로돌아왔으면앱리스트에서검색을선택하십시오. 검색앱에가장먼저표시되는뷰는요약대시보드입니다. 요약대시보드 요약대시보드는이 Splunk 서버에업로드한데이터에대한정보를표시하고이데이터검색을시작하기위한방법을제공합니다. 11

12 이대시보드에표시된메트릭은이페이지를액세스하고다시로드할때마다백그라운드로실행되는저장된검색에의해생성됩니다. ( 이튜토리얼을마칠때는검색을실행하고검색을저장하며검색을사용하여이것과아주비슷한대시보드를직접작성할수있습니다.) 이대시보드에있는항목 검색앱탐색막대를사용하여요약 ( 현재위치 ) 과검색 ( 검색의대부분을수행할위치 ) 을포함하여검색앱에있는다른대시보드를찾고액세스하십시오. 링크를클릭하면 Splunk는각대시보드로안내하거나해당링크의위치에이미있을경우페이지를새로고칩니다. 탐색막대의메뉴항목은다음과같습니다. 상태 : Splunk 인스턴스에서인덱스및서버활동의상태를모니터링하는대시보드에액세스하려면이메뉴를사용합니다. 대시보드및뷰 : 검색앱에서다른대시보드에액세스하려면이메뉴를사용합니다. 검색및보고서 : 저장된모든검색및보고서를액세스하고관리하려면이메뉴를사용합니다. 대시보드의기타항목 : 검색란검색란을사용하여검색문자열을입력합니다. 시간범위선택기 : 이벤트를검색할시간범위를선택합니다. 인덱스된모든데이터패널 : 인덱스된이벤트데이터에대한메트릭을표시하며, Splunk 인덱스에있는총이벤트수, 처음인덱스된이벤트및마지막인덱스된이벤트의타임스탬프를포함합니다. 또한이데이터를마지막으로새로고쳤거나마지막으로이대시보드를다시로드한시간을알려줍니다. 소스패널 : Splunk 서버의데이터에서상위소스를표시합니다. Sourcetype 패널 : Splunk 서버의데이터에서상위 sourcetype을표시합니다. 호스트 : Splunk 서버의데이터에서상위호스트를표시합니다. 검색처음시작 이튜토리얼에대해새로설치된 Splunk 서버를사용하는경우방금업로드한샘플데이터파일만나타납니다. 파일을한번업로드한것이므로, 이데이터는변경되지않습니다. 더많은데이터를추가하면이대시보드에더많은정보가있게됩니다. ( 애플리케이션이작성중인로그파일과같은 ) 정적이아닌소스를가리키는데이터입력을추가할경우요약페이지의숫자들은소스에서더많은데이터가들어옴에따라변경됩니다. 엔터프라이즈환경에배포된공유또는사전설치된 Splunk 서버를사용하는경우에는이대시보드에서훨씬더많은정보를볼수있습니다. 1. 요약대시보드를자세히살펴봅니다. 소스패널에는방금업로드한온라인꽃과선물상점데이터에대한세개의 Apache 웹서버로그와 mysql 데이터베이스로그하나가표시됩니다. Apache 웹서버로그에익숙한경우 access_combined_wcookie Source type 을웹액세스로그와연결된로그형식중하나로인식할수있습니다. 이 source type 의모든데이터는꽃과선물상점웹사이트에액세스하는사람들에대한정보를제공합니다. 12

13 Splunk에서검색은상당히인터랙티브합니다. 요약대시보드에검색란이있더라도아직정보를입력할필요는없습니다. 요약대시보드에나열된각 source, sourcetype 및 host는클릭하면검색을시작하는링크입니다. 2. Sourcetype 패널에서 access_combined_wcookie 를클릭합니다. Splunk 가검색대시보드로안내하고여기서검색을실행하고결과를봅니다. 검색대시보드 이뷰에는많은구성요소가있으므로, 검색을계속하기전에이러한구성요소를살펴보겠습니다. 이검색대시보드에있는항목 검색란과시간범위선택기는요약대시보드에도있었으므로사용자에게익숙할것입니다. 그러나이제이벤트수, 시간표시줄, 필드메뉴및검색된이벤트또는검색결과리스트를확인하겠습니다. 검색모드 : 검색모드를사용하여검색환경을제어합니다. 검색이반환하는이벤트데이터를줄여검색속도가빨라지도록설정하거나 ( 고속모드 ), 가능한많은이벤트정보를반환하도록설정할수있습니다 ( 상세모드 ). 스마트모드 ( 기본설정 ) 에서는실행중인검색유형을기준으로검색동작을자동으로전환합니다. 자세한내용은검색매뉴얼의 " 검색환경을조정하도록검색모드설정 " 을참조하십시오. 검색작업 : 검색이완료되기전에검색작업을제어하거나또는검색이완료된후결과에대한작업을수행하려면이단추를사용합니다. 단추를사용할수없으면해당단추는비활성화되고회색으로나타납니다. 완료하는데시간이오래걸리는검색을실행하는경우, 백그라운드로보내기, 일시중지, 종료, 취소또는검사를수행할수있습니다. 검색이완료된후결과를인쇄할수있습니다. 저장메뉴를사용하여검색및검색결과에대한저장옵션에액세스합니다. 만들기메뉴를사용하여대시보드, 경고, 보고서등을만듭니다. 일치하는이벤트수와검색된이벤트수 : 검색이실행될때 Splunk는이벤트를검색함에따라일치하는이벤트수와검색된이벤트수의두가지실행중인이벤트수를표시합니다. 검색이완료될때시간표시줄위에나타나는수는일치하는총이벤트수를표시합니다. 시간표시줄아래이벤트리스트위에나타나는수는선택한시간범위동안의이벤트수를알려줍니다. 나중에확인하겠지만이숫자는조사내용을드릴다운할때변경됩니다. 이벤트시간표시줄 : 시간표시줄은각시점에발생하는이벤트수를시각적으로나타냅니다. 시간표시줄이검 13

14 색결과로업데이트되면막대그룹또는패턴을볼수있습니다. 각막대의높이는이벤트수를나타냅니다. 시간표시줄의최고점또는최저점은활동이가장많은부분또는서버중단시간을나타냅니다. 따라서시간표시줄은이벤트패턴을강조표시하거나이벤트활동에서최고점및최저점을조사하는데유용합니다. 시간표시줄옵션은시간표시줄위에있습니다. 차트를확장및축소하고차트의스케일 (Scale) 을변경할수있습니다. 필드사이드바 : 데이터를인덱스할때 Splunk는기본적으로 " 필드 " 라는이름-값형식의데이터에서자동으로정보를인식하고추출합니다. 검색을실행할때 Splunk는검색결과옆의필드사이드바에인식하는모든필드를나열합니다. 이벤트에표시할다른필드를선택할수있습니다. 또한이사이드바를숨기고결과영역을최대화할수있습니다. 선택한필드는검색결과에표시되도록설정된필드입니다. 기본적으로 host, source, sourcetype이표시됩니다. 관심있는필드는 Splunk가검색결과에서추출한다른필드입니다. 결과영역 : 시간표시줄아래에있는결과영역은 Splunk가검색과일치시키기위해검색하는이벤트를표시합니다. 기본적으로결과는최근검색부터이벤트리스트로표시됩니다. 패널왼쪽상단에있는아이콘을사용하여결과를테이블 ( 테이블아이콘클릭 ) 또는차트 ( 차트아이콘클릭 ) 로볼수있습니다. 검색결과를내보내려면내보내기단추를사용하십시오. 출력형식을 CSV, 원시이벤트, XML 또는 JSON 으로지정할수있습니다. " 옵션 " 을선택하여이벤트가결과영역에표시되는방식을변경합니다 ( 예 : 결과줄바꿈, 행번호표시또는숨기기등 ). 검색시작 이항목에서는검색인터페이스를사용하는간단한검색과정을안내합니다. 검색인터페이스에익숙하지않을경우계속하기전에검색앱튜토리얼로돌아가십시오. 배경 : 사용자는온라인꽃과선물상점의고객지원팀원입니다. 오늘은고객지원일을하는첫날이므로, 온라인꽃과선물상점에대해더자세히알아보려고합니다. 궁금한사항은다음과같습니다. 이상점에서어떤품목을판매합니까? 각품목의가격은얼마입니까? 사이트에몇명이방문했습니까? 오늘어떤상품이얼마나팔렸습니까? 매일고객들이구입하는가장인기있는품목은무엇입니까? 오늘은온라인꽃과선물상점의고객지원팀과일하는첫날입니다. 구입을완료할때계속서버오류가발생하여여자친구에게줄선물을살때문제가있다고불평하는고객의전화를받고상점의웹액세스로그를확인하기시작합니다. 해당고객은자신의 IP 주소인 를제공했습니다. 키워드검색 Splunk 의모든항목은검색가능합니다. Splunk 에서검색은자유롭게수행할수있으며검색란에키워드를입력하고 Enter 키를누르거나검색란끝에있는녹색화살표를클릭하는것만큼간단하므로, 데이터의정보에익숙해질필요가없습니다. 자동검색또는검색길잡이 이전항목에서는웹액세스 source type 을클릭하여요약대시보드에서검색을실행했습니다 (access_combined_wcookie). 동일한검색을사용하여온라인꽃과선물상점에서해당고객의최근액세스기록을검색합니다. 1. 고객의 IP 주소를검색란에입력합니다. sourcetype="access_combined_wcookie" 검색란에입력할때 Splunk 의검색길잡이가열립니다. 검색길잡이는검색란에키워드를입력할경우자동검색이나문맥적일치및자동완성을보여줍니다. 이러한문맥적일치는데이터의내용을기준으로합니다. 일치하는조건아래의항목은조건이변경되면완성된내용도변경되기때문에입력을계속할경우업데이트됩니다. 검색길잡이는또한검색어와일치하는항목수를표시합니다. 이숫자를보면 Splunk 에서반환할검색결과의수를알수있습니다. 용어나구가데이터에없을경우검색길잡이에나열되지않습니다. 14

15 지금은상황별도움말옆의오른쪽패널에있는모든내용은무시하십시오. 검색언어에대해배우기시작하면검색길잡이가더많이사용됩니다. 그리고검색길잡이를열지않으려면 " 자동열기끄기 " 를클릭하고검색란아래녹색화살표를사용하여창을닫으십시오. 추가키워드검색 2. 아직 IP 주소를검색하지않은경우 IP 주소검색을실행합니다. (Enter 키를누릅니다.) Splunk는온라인꽃과선물상점에대한고객의액세스기록을검색합니다. 시간표시줄도업데이트되지만이내용은나중에확인하겠습니다. 지금은검색결과를살펴보겠습니다. 검색을실행할때마다 Splunk 는검색결과에서검색란에입력한항목을강조표시합니다. 3. 검색결과를살펴봅니다. 온라인상점과관련된이벤트의단어및구 ( 꽃, 제품, 구입품목등 ) 를인식하십시오. 고객은선물을구입하는중이라고언급했으므로, " 구입 " 을검색하여결과를보겠습니다. 4. 검색란에구입을입력하고검색을실행합니다. sourcetype="access_combined_wcookie" purchase 키워드를검색할때대소문자를구분하지않고 Splunk 는이벤트데이터의원시텍스트에서이러한키워드를포함하는이벤트를검색합니다. Splunk 가검색하는결과중에는고객이온라인상점에서품목을구입할때마다표시되는이벤트가있습니다. 고객이바빴던것같네요! 부울연산자사용 Apache 서버로그 ( 이경우 access_combined 형식 ) 에익숙한경우이러한이벤트의대부분은 HTTP 상태가 200 또는성공임을알수있습니다. 고객이문제를보고하고있으므로, 지금은이러한이벤트에신경쓸필요가없습니다. 15

16 Splunk는 AND, OR 및 NOT 부울연산자를지원합니다. 검색에부울식을포함할때연산자는대문자여야합니다. 5. 이러한성공페이지요청을모두빨리제거하려면 NOT 부울연산자를사용합니다. 다음을입력합니다. sourcetype="access_combined_wcookie" purchase NOT 200 AND 연산자는항상검색어사이에포함되어있습니다. 따라서 5단계에서검색은다음과같습니다. sourcetype="access_combined_wcookie" AND AND purchase NOT 200 고객에게 HTTP 서버 (503) 및클라이언트 (404) 오류가표시되고있습니다. 그러나고객은특별히서버오류에대해언급했으므로, 관련없는이벤트는빨리제거하겠습니다. 부울절을인터랙티브한방식으로검색에빨리추가하는또다른방법은검색결과를사용하는것입니다. Splunk 를사용하여검색결과내에서세그먼트를강조표시하고선택함으로써키보드및마우스를사용하여인터랙티브한방식으로빨리추가, 제거및제외할수있습니다. 더많은검색어를추가하려면검색결과에서원하는단어또는구를강조표시하고클릭합니다. ( 이것은 6 단계에서설명합니다.) 검색에서용어를제거하려면검색결과에서해당단어또는구의강조표시된인스턴스를클릭합니다. 검색결과에서이벤트를제거하려면 Splunk 가일치시키지않을용어를 Alt 키를누르고클릭합니다 (Windows 의경우 Ctrl + 클릭사용 ). 6. 검색결과에서 "404" 인스턴스위에마우스를놓고 Alt 키와함께클릭합니다. 검색문자열이 "NOT 404" 로업데이트되고용어를포함하는모든이벤트가필터링됩니다. 이러한결과에서고객은구입을완료할때마다서버오류를받았습니다. 이제고객이보고한내용을확인했으며심층적인분석을통해근본적인원인을찾을수있습니다. 검색에대해자세히알아보기 검색을실행할때사용자는검색명령을사용하여 Splunk 인덱스에서이벤트를검색하는중입니다. 검색명령을통해키워드, 구, 필드, 부울식및비교식을사용하여검색할이벤트를정확히지정할수있습니다. 이항목에서는키워드및부울식으로검색하는작업에대해설명합니다. 튜토리얼의뒷부분에서는시간, 필드및검색언어사용에대해살펴봅니다. 16

17 이튜토리얼에서는정확한구일치, TERM() 및 CASE() 에대해비교식및연산자를사용하는작업에대해서는설명하지않습니다. 검색매뉴얼의이벤트검색장에있는 " 검색명령사용 " 에서자세히알아보십시오. 다음단계 준비가되었으면다음항목으로이동하여 Splunk 에서시간표시줄을사용하여인터랙티브한방식으로조사및문제를해결하는방법을배우십시오. 시간표시줄사용 이항목에서는사용자가간단한검색을실행하여이벤트를쉽게검색할수있다고가정합니다. 그렇지않을경우키워드, 와일드카드및부울로검색하여오류위치를찾았던마지막항목으로돌아가십시오. 시간표시줄옵션에대하여 검색란과시간범위선택기아래에시간표시줄이있습니다. 시간표시줄상단에는다음작업을수행하는데사용할수있는옵션이있습니다. 시간표시줄을숨길수있습니다. 시간표시줄에서더많은이벤트를보기위해축소할수있습니다 ( 시간표시줄에표시되는시간범위가변경됨 ). 이벤트의하위집합을선택한경우선택항목을확대 / 축소할수있습니다 ( 시간표시줄에표시되는시간범위가변경됨 ). 기본선형스케일에서로그축척으로시간표시줄스케일 (scale) 을변경할수있습니다. 시간표시줄스케일 (scale) 옆에는시간표시줄에표시된각막대의범위를알려주는범례가있습니다. 범위는검색의시간범위에따라달라집니다. 예를들어, 24 시간을검색한경우범위는 1 bar = 1 hour 일수있습니다. 그런다음축소하면시간표시줄이 1 bar = 1 day 범위로더많은이벤트를표시합니다. 시간표시줄을사용하여조사 다시꽃과선물상점에서구매중인고객 ( ) 으로계속하겠습니다. 해당고객은여자친구에게줄선물을구입하는중에오류가발생했습니다. 고객의오류를확인했으며이제오류의원인을찾으려고합니다. 고객의구입시도가실패한마지막검색으로계속하십시오. 1. 다음을검색합니다. sourcetype="access_combined_wcookie" purchase NOT 200 NOT 404 마지막항목에서는실제로이대시보드의이벤트뷰어영역에나열된검색결과에초점을맞추었습니다. 이제는시간표시줄을살펴보겠습니다. 시간표시줄의각막대위치는검색과일치하는이벤트가발생한인스턴스에해당합니다. 지정된기간에막대가없으면검색된이벤트가없었던것입니다. 2. 막대중하나위에마우스를놓습니다. 툴팁이나타나고해당막대의시간범위 ( 막대 1 개 = 1 시간 ) 동안 Splunk 가검색한이벤트수를표시합니다. 막대가높을수록해당시간에더많은이벤트가발생한것입니다. 이벤트수의최고치가나타나거나이벤트가없는것은현재상황을판단할수있는적절한표시입니다. 3. 막대중하나를클릭합니다 ( 예를들어, 가장높은막대 ). 검색결과가해당시간범위의이벤트만표시하도록업데이트됩니다. 막대를클릭할때 Splunk 는검색을실행하지않 17

18 습니다. 대신해당시간범위에서확대한결과의미리보기를제공합니다. 이지점에서계속다른막대를선택할수있습니다. 1 시간이여전히검색할기간범위이므로, 검색시간범위를좁혀보겠습니다. 4. 동일한막대를두번클릭합니다. Splunk 가다시검색을실행하고선택한 1 시간범위동안의이벤트만검색합니다. 이벤트뷰어에서동일한검색결과를보게되지만검색을수행하면시간범위선택기가재지정되어 " 사용자지정시간 " 을나타냄을알수있습니다. ( 나중에시간범위선택기에대해더자세히알아보겠습니다.) 또한각막대는이제 1 분의시간을나타냅니다 ( 막대 1 개 = 1 분 ). 5. 다른막대를두번클릭합니다. 다시검색이업데이트되어해당 1 분의시간범위동안이벤트를검색합니다. 각막대는 1 초시간동안의이벤트수를나타냅니다. 이제 1 초동안발생한다른항목도모두보도록검색을확장하려고합니다. 6. 시간범위를변경하지않고, 검색란의이전검색을다음으로바꿉니다. * Splunk 는별표 (*) 와일드카드사용을지원하여 " 모두 " 검색하거나키워드부분에기반한이벤트를검색합니다. 지금까지는웹액세스로그를검색했습니다. 이검색을통해 Splunk 는이시간범위에서발생한모든항목을검색합니다. 18

19 이검색은서버의모든로그에서이벤트를반환합니다. 다른호스트에서수행한다른사용자의웹활동을보려고합니다. 그러나 mysql 데이터베이스오류가나타나고이오류로인해고객의구입이실패했습니다. 이제이문제를 IT 운영팀에있는사람에게보고할수있습니다. 다음단계 준비가되었으면다음항목으로이동하여다른시간범위에서검색에대해자세히알아보십시오. 필드를사용하여검색 이항목에서는간단한검색을실행하고시간범위선택기와시간표시줄을사용하는방법을알고있다고가정합니다. 그렇지않은경우에는이전항목의검색시작부터검토하십시오. 키워드와시간범위만사용해도실행중인임시검색에서데이터에대한많은정보를알수있습니다. 그러나필드가무엇이고필드를어떻게사용하는지모를경우에는 Splunk 의고급검색및보고기능을제대로사용할수없습니다. 따라서튜토리얼의이부분을읽고다음항목에익숙해지도록합니다. 기본필드및 Splunk 가자동으로추출하는기타필드필드메뉴와필드선택기를사용하여유용한필드찾기필드를사용한검색 온라인꽃과선물상점으로돌아가겠습니다. 아침에일반적인몇가지문제를조사하고발견한문제를다른팀에보고했습니다. 온라인상점과상점의고객에대해제대로확인했지만이정보를캡처하여팀과공유하려고합니다. 가장좋은방법은필드를사용하는것입니다. 필드에대한요약정보 필드정의 필드는다양한형식의컴퓨터데이터에존재합니다. 필드는대부분값 ( 라인에서고정된구분위치포함 ) 또는이름 - 값으로, 각필드이름에대한단일값이있습니다. 또한필드는다중값일수있습니다. 즉, 이벤트하나에두번이상나타나고이벤트가나타날때마다다른값을가집니다. 모든이벤트가동일한필드및필드값을가지지는않으므로, Splunk 에서필드는한이벤트를다른이벤트와구분하는검색가능한이름 - 값입니다. 필드를사용하여원하는특정이벤트를검색하도록구체적으로맞춤설정된검색을작성할수있습니다. 또한필드를사용하여검색언어, 차트만들기및보고서작성기능을이용할수있습니다. 예를들어, 웹서버에액세스하는 IP 주소에대한 clientip, 이벤트의타임스탬프에대한 _time, 그리고서버의도메인이름에대한 host 가있습니다. 더흔한다중값필드중하나로이메일주소필드가있습니다. " 보낸사람 " 필드는단일이메일주소만포함하는반면, " 받는사람 " 및 " 참조 " 필드에서는하나이상의이메일주소를필드와연관시킬수있습니다. 자세한내용은지식관리자매뉴얼의정보필드를참조하십시오. 추출된필드 Splunk 는이벤트데이터에서필드를두번추출합니다. 이것은해당데이터가인덱스될때이벤트처리중기본필드와인덱스된다른필드를추출합니다. 그리고검색을실행할때검색시다른필드집합을추출합니다. 인덱서및클러스터관리매뉴얼에서 " 인덱스시간과검색시간 " 에대해자세히알아보십시오. 인덱스시간에 Splunk 는자동으로처리하는각이벤트에대한기본이벤트를찾고추출합니다. 이러한필드에는 ( 이미잘알고있는 ) host, source 및 sourcetype 이있습니다. 기본필드의전체리스트는지식관리자매뉴얼의 " 기본필드 19

20 사용 " 을참조하십시오. 또한 Splunk 는검색을실행할때검색시특정필드를추출합니다. 이러한검색의몇가지예는나중에보겠습니다. 자세한내용은지식관리자매뉴얼의 " 검색시간필드추출개요 " 를참조하십시오. 필드사이드바및대화상자 1. 검색대시보드로돌아가웹액세스활동을검색합니다. 시간범위선택기에서기타 > 어제를선택하십시오. sourcetype="access_*" 실제로여러분은필드를계속사용해왔습니다! sourcetype=access_* 를검색할때마다 Splunk 에웹액세스로그의이벤트만검색하도록했습니다. 특정필드를검색하려면필드이름과값을지정하십시오. fieldname="fieldvalue" sourcetype 은필드이름이고 access_combined_wcookie 는필드값입니다. 여기서와일드카드값은 access_ 로시작하는모든필드값과일치시키는데사용됩니다 (access_common, access_combined 및 access_combined_wcookie 를포함함 ). 참고 : 필드이름은대소문자를구분하지만필드값은대소문자를구분하지않습니다. 2. 검색결과를스크롤합니다. Apache 로그의 access_combined 형식에익숙할경우다음과같은각이벤트의정보를인식할수있습니다. 웹사이트에액세스하는사용자의 IP 주소페이지요청및참조페이지의 URI 및 URL 각페이지요청에대한 HTTP 상태코드페이지요청방법 Splunk 가이러한이벤트를검색할때필드사이드바는선택한필드와관심있는필드로업데이트됩니다. 이러한필드는 Splunk 가사용자의데이터에서추출한필드입니다. 기본 host, source, sourcetype 필드는선택한필드이고검색결과에표시됩니다. 3. 관심있는필드를스크롤하여 Splunk 가추출한다른항목도확인합니다. 웹액세스로그에적용되는필드이름을인식해야합니다. 예를들어, clientip, method, and status 가있습니다. 이들은기본필드가아니고검색시추출되었을가능성이높습니다. 4. 필드사이드바에서편집링크를클릭합니다. 필드대화상자가열리고 Splunk 가추출한모든필드를표시합니다. 사용가능한필드는 Splunk가현재검색의이벤트에서식별한필드입니다. 이러한필드중일부는관심있는필드아래에나열되어있습니다. 선택한필드는검색결과에표시하기위해 ( 사용가능한필드에서 ) 선택한필드입니다. 기본적으로 host, source, and sourcetype이선택됩니다. 20

21 5. 사용가능한필드리스트를스크롤합니다. 사용자는 Splunk 가검색에기반한웹액세스로그에서추출한필드에이미익숙합니다. 또한 Splunk 가정의한다른기본필드도확인했습니다. 이러한필드중일부는각이벤트의 timestamp(date_* 로시작하는모든정보 ), 구두점 (punct) 및위치 (index) 에기반합니다. 그러나온라인상점과관련된다른추출된필드도확인했습니다. 예를들어, action, category_id 및 product_id 가있습니다. 동료와의대화를통해이러한필드가다음과같음을알수있습니다. 필드이름 설명 action 사용자가온라인상점에서하는일입니다. category_id 사용자가보거나구입하는제품유형입니다. product_id 사용자가보거나구입하는제품의카탈로그번호입니다. 6. 사용가능한필드리스트에서 action, category_id 및 product_id 를선택합니다. 7. 저장을클릭합니다. 검색뷰로돌아오면선택한필드가특정이벤트에있을경우검색결과에포함됩니다. 각이벤트는다른필드를가집니다. 21

22 필드사이드바는 Splunk 가데이터에서캡처한필드를보여줄뿐만아니라이러한각필드에대해존재하는값의개수도표시합니다. 방금선택한필드의경우, action 에 2 개, category_id 에 5 개, product_id 에 9 개가있습니다. 이것은해당숫자가모두각필드에존재하는값임을의미하지않으며, Splunk 가검색결과에서알고있는값일뿐입니다. 이러한값중일부는무엇입니까? 8. 선택한필드에서 action 필드로 action을클릭합니다. action 필드에대한필드요약이열립니다. 이창에서는이검색결과집합에서 Splunk 가 action 에대해두개의값을검색했으며해당값이 purchase 와 update 임을알려줍니다. 또한 action 필드가검색결과의 71% 에서나타남을알려줍니다. 이것은웹액세스이벤트의 3/4 이품목또는 ( 장바구니에있는항목수량의 ) 업데이트구입과관련되어있음을의미합니다. 9. 이창을닫고선택한다른두가지필드 category_id( 상점에서판매하는제품유형 ) 와 product_id( 제품의특정카탈로그이름 ) 를살펴봅니다. 이제온라인꽃과선물상점과관련된데이터에있는정보에대해조금더많이알게되었습니다. 온라인상점은꽃, 선물, 나무, 사탕및풍선중선택한품목을판매합니다. category_id 및 product_id 필드를사용하여사람들이어떤품목을구입하는지살펴보겠습니다. 필드를사용하여더정확한일치항목검색 다음의두가지예는필드를사용하여검색할때와필드를사용하지않고검색할때의결과를비교합니다. 예 1 실행한검색으로돌아가서데이터에서오류를검색합니다. 시간범위선택기에서기타 > 어제를선택하십시오. error OR failed OR severe OR (sourcetype=access_* (404 OR 500 OR 503)) 22

23 이검색을다시실행하지만, 이번에는검색에서필드를사용합니다. HTTP 오류코드는 status 필드의값입니다. 이제검색은다음과같습니다. error OR failed OR severe OR (sourcetype=access_* (status=404 OR status=500 OR status=503)) 두검색의이벤트수가다른것에주목합니다. 두번째검색은더정확한일치항목검색이므로더적은이벤트를반환합니다. 임의키워드에기반한단순검색을실행할때 Splunk 는데이터의원시텍스트를일치시킵니다. 필드를검색에추가할때 Splunk 는이러한특정필드 - 값쌍을가지는이벤트를찾습니다. 예 2 데이터의필드에대해자세히알아보기전에이검색을실행하여온라인상점에서꽃을몇번구입했는지확인했을수도있습니다. sourcetype=access_* purchase flower* "flower" 를입력할때검색길잡이는자동검색에 "flower" 와 "flowers" 를모두표시합니다. 원하는것을정확히알수없으므로와일드카드를사용하여둘다일치시킵니다. 많은검색결과를스크롤할경우일부이벤트에 flowers 가아닌다른값을가진 action=update 및 category_id 가있습니다. 이것은원하는이벤트가아닙니다. 대신이검색을실행하십시오. 시간범위선택기에서기타 > 어제를선택하십시오. sourcetype=access_* action=purchase category_id=flower* 23

24 두번째검색의경우와일드카드단어 "flower*" 를사용하더라도일치하는 category_id 값은하나만있습니다 (FLOWERS). 각검색에대해 Splunk 가검색한이벤트개수의차이에주의하십시오. 두번째검색에서훨씬더적은수의이벤트를반환합니다. 필드가포함된검색의경우대상을더잘지정할수있고데이터에대해더정확한일치항목을검색합니다. 다음단계 이제필드를사용하는방법에대해알아보았습니다. 검색언어를사용하여검색결과필터, 수정, 순서변경및그룹화를시작할수있습니다. 준비가되었으면다음항목으로이동하여검색언어사용방법에대해자세히알아보십시오. 검색언어사용 이항목에서는사용자가키워드및필드 / 값쌍을사용하여단순검색을실행하는데익숙한것으로가정합니다. 그렇지않을경우다시돌아가서 " 필드를사용하여검색 " 을읽어보십시오. 온라인꽃과선물상점고객지원사무실로다시돌아가서지금까지실행한검색에서는 Splunk 인덱스에서일치하는이벤트만검색했습니다. 예를들어, 이전항목에서는꽃구입을확인하기위해이검색을실행했습니다. sourcetype=access_* action=purchase category_id=flowers 검색결과에서는구입한꽃수량에대해대략적으로알려줍니다. 그러나이경우다음과같은질문에대답하는데도움이되지않습니다. 온라인상점에서가장많이구입한항목은무엇입니까? 얼마나많은고객이꽃을구입했습니까? 각고객이얼마나많은꽃을구입했습니까? 이질문에대답하려면검색결과를필터링, 수정, 재정렬, 그룹화할수있게해주는다양한명령, 인수및함수가포함된 Splunk 의검색언어를사용해야합니다. 이튜토리얼에서는이러한 Splunk 의검색언어중일부만사용합니다. 검색길잡이를사용하여검색구성 예 1. 온라인상점에서가장많이구입한항목은무엇입니까? 1. 검색대시보드로돌아가서검색을어제동안의구입항목으로제한합니다. sourcetype=access_* action=purchase 검색란에입력하면오른쪽에 search 명령에대한구문및사용법정보가표시된검색길잡이가열립니다. 검색길잡이가열리지않으면검색란의왼쪽에있는녹색화살표를클릭합니다. 이전에는검색란에입력한키워드가미리입력된검색길잡이가표시되었습니다. 또한검색방법도간략하게설명하고있습니다. 이벤트검색에대해서는이미살펴보았으므로, 이제는검색명령을사용해보겠습니다. 24

25 2. 검색란에파이프문자 " " 를입력합니다. 이것은명령을사용할것이며파이프왼쪽에있는검색결과를이명령의입력으로사용할것임을나타냅니다. 일련의검색명령이나검색명령의파이프라인을사용하여한명령의결과를다른명령에전달할수있습니다. 온라인상점에서가장많이구입하는리스트의항목을알려는경우 top 명령을사용할수있습니다. 3. 다음공통명령어에서 top을클릭합니다. top 명령어가검색문자열에추가됩니다. 검색길잡이의설명및사용법예제에따르면 top 명령어는사용자가원하는 " 필드의가장공통적인값을표시 " 하는명령입니다. 사용자는꽃자체가아니라온라인상점에서구입한항목종류를알고자했습니다. 또한이명령은검색에추가하기위해클릭할수있는관심있는필드도표시합니다. 4. 리스트에서 category_id 필드를클릭하거나검색란에입력하여검색을수행합니다. sourcetype=access_* action=purchase top category_id 이경우 category_id 의상위값또는가장공통적인값의테이블이제공됩니다. 기본적으로 top 명령은 10 개값을반환하지만, 사용자에게는 5 개의다른유형항목만제공됩니다. 따라서각유형의개수별로내림차순으로정렬된총 5 개항목이표시됩니다. top 명령어는다음과같은 2 개의새필드도반환합니다. count 는필드의각값이발생한횟수이며, percent 는개수를총개수와비교한값입니다. 검색참조매뉴얼에서 top 명령어에대해자세히알아보십시오. 검색결과드릴다운 온라인상점에서판매하는항목과해당항목을구입한수량을표시하는테이블이최종검색에서반환되었습니다. 그러나개별항목 ( 예 : 꽃 ) 에대해더자세히알고자합니다. 예 2: 얼마나많은꽃을구입했습니까? 1. 꽃에대한결과테이블의행을클릭합니다. 새로운검색이실행됩니다. category=flowers 필드 / 값쌍에대한필터를포함하도록검색이업데이트됩니다. 이것은예제 2 의검색결과테이블에서클릭한행항목입니다. 25

26 Splunk의드릴다운작업을사용하면검색에서생성된테이블과차트에제공된정보의세부사항을더자세히살펴볼수있습니다. Splunk 데이터시각화매뉴얼에서드릴다운작업에대해자세히알아보십시오. 반환된이벤트수는꽃을구입한횟수를알려줍니다. 예 3: 꽃을구입한다른고객수는얼마나됩니까? 1. 사용자는꽃구입에대해알아보려고하므로, 앞의예를계속검색합니다. sourcetype=access_* action=purchase category_id=flowers 꽃과선물상점에액세스한고객은 clientip 필드값인 IP 주소로구분됩니다. 2. stats 명령과 distinct_count() 또는 dc() 함수를사용합니다. sourcetype=access_* action=purchase category_id=flowers stats dc(clientip) 검색결과를 stats 명령에전달했으며 distinct_count() 함수를사용하여해당이벤트에서찾은고유 clientip 값개수를계산했습니다. 이경우다음과같은단일값이반환됩니다. 이것은온라인상점에서꽃을구입한사람이약 300명임을나타냅니다. 예 4a: 각고객이얼마나많은꽃을구입합니까? 마지막예에서꽃을구입한고객수를계산했습니다. 해당검색을기준으로하겠습니다. 1. stats 명령을사용합니다. sourcetype=access_* action=purchase category_id=flowers stats count count() 함수는이벤트개수인단일값을반환합니다. 이값은예 2의결과와일치합니다. 이제이개수를분석하여각고객이구입한꽃개수를확인합니다. 2. by 절을 stats 명령에추가합니다. sourcetype=access_* action=purchase category_id=flowers stats count BY clientip 이검색에서는고객 (clientip) 및구입한꽃개수 (count) 테이블을제공합니다. 26

27 검색결과의형식변경 사용자는이테이블의헤더가표시하는내용을알수있지만, 다른사용자는한눈에알지못할수있습니다. 결과를상사나팀의다른구성원에게보여줄경우도있으므로, 예 4b: 4a에결과를보다효율적으로제공하려면어떻게해야합니까? 예 4a 를계속사용하고결과를약간다르게재구성하겠습니다. 1. 먼저 count 필드이름을변경합니다. sourcetype=access_* action=purchase category_id=flowers stats count AS "# Flowers Purchased" by clientip stats 명령구문을사용하면 "AS" 절을통해필드인라인이름을변경할수있습니다. 새필드이름이구일경우큰따옴표를사용하십시오. stats 명령구문에서는 "by" 절의필드이름을변경할수없습니다. 다른명령을사용해야합니다. stats 명령및명령사용법, 인수및함수에대한자세한내용은검색참조매뉴얼의 stats 명령과 stats 함수리스트를참조하십시오. 2. rename 명령을사용하여 clientip 이름을변경합니다. sourcetype=access_* action=purchase category_id=flowers stats count AS "# Flowers Purchased" by clientip rename clientip AS Customer 이경우 Customer 및 # Flowers purchased 를사용하여헤더, clientip 및 count 이름을바꾸도록테이블형식을지정합니다. rename 명령에대한자세한내용은검색참조매뉴얼의 rename 명령을참조하십시오. 다음단계 더많은검색을실행하면검색을저장하여재사용하거나팀구성원과공유할수있습니다. 준비가되었으면다음항목으로이동하여검색저장및공유방법에대해자세히알아보십시오. 검색저장 이항목에서는사용자가필드를사용한검색실행에익숙한것으로가정합니다. 그렇지않을경우이전항목으로돌아가서 " 필드를사용하여검색 " 하는방법을검토하십시오. 검색저장에대하여 Splunk는저장메뉴를사용하여검색또는검색결과를저장하기위한다양한옵션을제공합니다. 검색이실행되는중또는완료되거나종료된후검색을저장할수있습니다. 이항목에서는 Splunk Web을사용하여수동으로검색을저장하고나중에다시해당검색에액세스하는과정을안내하기전에저장옵션에대해간략히설명합니다. 27

28 저장옵션은다음과같습니다. 검색저장...: 검색을저장하면검색문자열을다시입력하지않고도검색을다시쉽게실행할수있습니다. 자세한내용은지식관리자매뉴얼의 " 검색저장및검색결과공유 " 를참조하십시오. 결과저장 : 검색결과를저장하고작업관리자에서검색결과를검색할수있습니다. 결과저장및공유 : 검색결과를저장하고결과를공유할수있는 URL을제공합니다. 자세한내용은 " 검색저장및검색결과공유 " 를참조하십시오. 검색저장튜토리얼 꽃과선물상점으로돌아가서어제오류가발생했는지확인하기위한검색을실행했습니다. 이검색은매일아침실행하는검색입니다. 매일수동으로검색을입력하는대신이검색을저장하기로결정했습니다. 예 1. 어제발생한모든오류에대한검색을실행합니다. error OR failed OR severe OR (sourcetype=access_* (status=404 OR status=500 OR status=503)) 1. 검색란에서저장을클릭합니다. 2. 리스트에서검색저장... 을선택합니다. 검색저장대화상자가열립니다. 3. 검색이름 ( 오류 ( 어제 ) 을지정합니다. 4. 마침을클릭합니다. Splunk에서검색이저장되었음을확인합니다. 5. 검색및보고서리스트에서저장된검색을찾습니다. 28

29 저장된검색이름에 " 오류 " 라는단어가포함되어있기때문에 Splunk 는오류에대한저장된검색하위메뉴에이이름을표시합니다. 저장된검색옆에있는녹색점은해당검색이 Splunk 계정에대해로컬임을의미합니다. 현재는사용자만이저장된검색에액세스할수있는권한이있습니다. 팀의다른사용자도이검색을실행하고자할수있으므로다른사용자도액세스할수있도록저장된전역검색으로설정할수있습니다. 이작업을수행하려면지식관리자매뉴얼의검색저장및검색결과공유에대해자세히알아보십시오. 검색관리및예약에대하여 검색및보고서관리 저장한검색을수정하려면검색및보고서메뉴를사용하여검색및보고서관리를선택하십시오. 이경우사용자가액세스할수있는모든검색및보고서의 Splunk 관리자페이지로이동합니다. 이페이지의리스트에서검색을선택할수있습니다. 그러면검색문자열, 설명, 시간범위및스케줄옵션을변경하거나업데이트할수있는검색편집창으로이동합니다. 지식관리자매뉴얼의이항목에서저장된검색관리에대해읽어보십시오. 저장된검색및경고예약 Enterprise 라이선스를사용하는경우 Splunk 를사용하면저장된검색이일정에따라실행되고예약된검색을기반으로경고를설정하도록검색을구성할수도있습니다. Splunk 를처음다운로드할경우 60 일후에만료되는 Enterprise 평가판라이선스가제공됩니다. Free 라이선스를사용할경우저장된검색을예약할수있는기능이제공되지않습니다. 경고매뉴얼에서저장된검색예약및경고설정에대해자세히알아보십시오. 다음단계 이제검색을실행한후저장하겠습니다. 앞에서사용자는온라인상점의각고객이구입한꽃개수를검색했습니다. 그러나특정일자에가장많은항목을구입한고객한명을검색할경우에는어떻게해야합니까? 준비가되었으면또다른검색방법인하위검색사용항목으로이동하여자세히알아보십시오. 하위검색사용 마지막항목인 " 검색언어사용 " 에서는검색명령, 검색파이프라인및드릴다운작업을소개했습니다. 이항목에서는가장자주방문하는쇼핑객과해당쇼핑객의구입품목을찾는검색방법을안내합니다. 여기서는원하는결과를얻기위한두가지접근방식인하위검색을사용하지않는방법과하위검색을사용하는방법을보여줍니다. 하위검색은검색파이프라인을인수로갖는검색입니다. 하위검색은대괄호안에포함되어있으며먼저평가됩니다. 그런다음하위검색결과를기본검색 ( 또는외부검색 ) 의인수로사용합니다. 검색매뉴얼에서하위검색의작동방법에대해읽어보십시오. 예 1: 하위검색사용안함 꽃과선물상점으로돌아가서, 상사가어제가장많은항목을구입한고객과해당고객이구입한내용이표시된보고서를준비하도록요청합니다. 검색만으로이결과를얻기는쉽지않으므로자세히살펴보도록하겠습니다. 먼저어제온라인상점에가장많이액세스한고객을검색합니다. 1. top 명령을사용하고검색을어제로제한합니다. sourcetype=access_* action=purchase top limit=1 clientip clientip 에대한결과를하나만반환하도록 top 명령을제한합니다. " 상위구입고객 " 을둘이상표시하려면이제한값을변경합니다. 사용법및구문에대한자세한내용은검색참조매뉴얼의 "top" 명령어페이지를참조하십시오. 29

30 이검색은 VIP 고객을식별하는데사용할 clientip 값을하나반환합니다. 2. stats 명령을사용하여이 VIP 고객의구입개수를계산합니다. sourcetype=access_* action=purchase clientip= stats count by clientip 이검색에서는 clientip 에대한구입개수만반환하는 count() 함수를사용합니다. 또한고객이구입한내용을알고싶다면다른함수 stats 를사용해보십시오. 3. 이작업을수행하는한가지방법은 values() 함수를사용하는것입니다. sourcetype=access_* action=purchase clientip= stats count, values(product_id) by clientip 이렇게하면제품 ID 별로고객이구입한내용을나열하는테이블에컬럼이추가됩니다. 이방법의단점은이테이블을작성할때마다두개의검색을실행해야한다는점입니다. 특정시간범위의상위구입고객이동일한사람이아닐수도있습니다. 사용법및구문에대한자세한내용은검색참조매뉴얼의 "stats" 명령페이지를참조하십시오. 또한다른 stats 함수리스트는검색참조매뉴얼의 "stats 함수리스트 " 를참조하십시오. 예 2: 하위검색사용 1. 하위검색을사용하여파트 1 인라인에서검색을실행합니다. 다음을입력하거나복사 / 붙여넣기를수행합니다. sourcetype=access_* action=purchase [search sourcetype=access_* action=purchase top limit=1 clientip table clientip] stats count, values(product_id) by clientip top 명령에서 count 및 percent 필드를반환하기때문에 table 명령을사용하여 clientip 값만보관합니다. 동일한시간범위에대해실행할경우이결과는이전결과와동일합니다. 그러나시간범위를변경할경우상위구입고객이달라지기때문에다른결과가표시될수있습니다. 2. 더쉽게파악할수있도록결과의형식을변경합니다. sourcetype=access_* action=purchase [search sourcetype=access_* action=purchase top limit=1 clientip table clientip] stats count, values(product_id) as product_id by clientip rename count AS "How much did he buy?", product_id AS "What did he buy?", clientip AS "VIP Customer" 30

31 다음단계 이보고서가완벽하더라도수정을원할수있습니다. 예를들어, 상사가제품 ID 번호별로상점항목을알고싶어하지않을수있습니다. 암호화된제품 ID 대신제품이름별로 VIP 고객의구입내용을표시할수있습니다. 준비가되었으면다음항목으로이동하여필드룩업을사용하여이벤트에더많은정보추가에대해자세히알아보십시오. 필드룩업사용 마지막항목은하위검색사용에대해설명합니다. 필드룩업에익숙하지않을경우다시돌아가 " 하위검색사용 " 방법을검토하십시오. 이항목에서는필드룩업을사용하여새필드를이벤트에추가하는과정을안내합니다. 필드룩업이란무엇입니까? 필드룩업을사용하면이벤트데이터의필드와일치하는필드를외부 CSV 파일에서참조할수있습니다. 이일치를사용하면더의미있는정보와검색가능한필드를이벤트데이터에추가하여데이터를풍부하게만들수있습니다. 필드룩업을사용하여 HTTP 상태코드설명을웹액세스이벤트데이터에추가하는방법을보여주는예는이지식관리자매뉴얼항목을참조하십시오. 이전예에서는상위구입고객이구입한항목수와항목내용을나열하는보고서테이블을작성했습니다. 항목은제품 ID 번호별로나열되었습니다. 그러나제품 ID 가나타내는내용을모르기때문에제품 ID 자체는의미가없습니다. 따라서이보고서를상사와동료에게제공하기전에실제제품이름을추가하고자합니다. 이정보는데이터에없지만필드룩업을사용하여외부파일에서이정보를추가할수있습니다. 계속하려면이 CSV 파일 product_lookup.csv.zip 을다운로드하여압축을푸십시오. 중요 : 튜토리얼의나머지부분을완료하려면이항목의절차를수행해야합니다. 그렇지않으면다음항목의검색에서올바른결과를생성할수없습니다. 룩업관리자찾기 1. 오른쪽상단모서리의 Splunk 탐색메뉴에서관리자를클릭합니다. 이경우 Splunk 서버의앱, Knowledge Object 및기타설정 ( 예 : 시스템, 데이터, 배포및인증설정 ) 을액세스및구성할수있는 Splunk 관리자로이동합니다. 이옵션중일부가표시되지않으면해당옵션을보거나편집할수있는권한이없음을의미합니다. 지금은지식구성에대해서만설명합니다. 2. 지식에서룩업을클릭합니다. 31

32 관리자 > 룩업뷰로이동합니다. 이뷰를사용하면룩업테이블파일, 룩업정의및자동룩업에대한테이블의링크를클릭하여기존룩업을편집할수있습니다. 새룩업을추가하려면해당룩업항목의작업에서새로추가를클릭하십시오. 룩업파일업로드 관리자 > 룩업뷰에서다음작업을수행합니다. 1. 룩업테이블파일에대한작업에서새로추가를클릭합니다. 필드룩업정의에사용할 CSV 파일을업로드할수있는관리자 > 룩업 > 룩업테이블파일뷰로이동합니다. 2. 대상앱을검색으로선택합니다. Splunk 는사용자룩업테이블파일을검색앱에저장합니다. 3. 룩업파일업로드에서업로드할 CSV 파일 (product_lookup.csv) 을찾습니다. 4. 대상파일이름에서파일이름을 product_lookup.csv로지정합니다. 이이름이룩업정의에서파일을참조하는데사용됩니다. 5. 저장을클릭합니다. 32

33 Splunk 에대한룩업파일이검색앱에업로드되지만, 이제설정할룩업유형을정의해야합니다. 참고 : Splunk가파일을인식하지못하거나업로드할수없습니다. 업로드를다시시도하기전에파일이압축해제되었는지확인하십시오. 6. 이동경로를클릭하여관리자 > 룩업으로돌아갑니다. 필드룩업정의 관리자 > 룩업뷰에서다음작업을수행합니다. 1. 룩업정의에대한작업에서새로추가를클릭합니다. 필드룩업을정의하는관리자 > 룩업 > 룩업테이블파일뷰로이동합니다. 2. 대상앱을검색으로선택합니다. 3. 룩업이름을 product_lookup으로지정합니다. 4. 유형에서파일기반을선택합니다. 5. 룩업파일에서 product_lookup( 룩업테이블이름 ) 을선택합니다. 6. 시간기반룩업구성및고급옵션을선택하지않습니다. 7. 저장을클릭합니다. 이제 Splunk 에서 product_lookup 이파일기반룩업이라는것을인식합니다. 룩업자동화 관리자 > 룩업뷰에서다음작업을수행합니다. 1. 자동룩업에대한작업에서새로추가를클릭합니다. 룩업을자동으로실행하도록구성할수있는관리자 > 룩업 > 자동룩업 >> 새로추가뷰로이동합니다. 33

34 2. 대상앱을검색으로선택합니다. 3. 자동룩업이름을 product_lookup으로지정합니다. 4. 룩업테이블에서 product_lookup을선택합니다. 5. 적용대상및명명됨에서 sourcetype을선택하고 access_combined_wcookie를입력합니다. 6. 룩업입력필드에서다음을입력합니다. 입력필드는룩업테이블의필드와비교하기위해사용하는이벤트데이터의필드입니다. 7. 룩업출력필드에서다음을입력합니다. 다른필드추가링크를사용하여첫번째필드후에더많은필드를추가합니다. 출력필드는입력필드일치를기반으로이벤트데이터에추가할룩업테이블의필드입니다. 여기서각 product_id 에대한가격이포함되어있는 price 필드와각 product_id 에대한설명이름이포함되어있는 product_name 필드를추가합니다. 필드값덮어쓰기를선택하지않습니다. 이확인란을선택하면 Splunk 가이벤트데이터에있는필드를룩업테이블에서매핑한해당필드의값으로덮어씁니다. 2 개의새로운필드를추가하기때문에이옵션에대해신경쓸필요가없습니다. 9. 저장을클릭합니다. 34

35 << 검색으로돌아가기를클릭하여검색대시보드로돌아간후시간범위 ( 어제 ) 에대한웹액세스작업검색을실행합니다. sourcetype=access_* 필드메뉴또는필드선택기를스크롤할경우추가한새필드가표시됩니다. 새룩업필드를사용하여검색 이제이전하위검색예제를실행하여 VIP 고객이구입한내용을확인할수있습니다. 이때 product_id 필드를더알아보기쉬운 product_name 으로바꾸십시오. sourcetype=access_* action=purchase [search sourcetype=access_* action=purchase top limit=1 clientip table clientip] stats count, values(product_name) AS product_name by clientip sort - count rename count AS "How much did he buy?", product_name AS "What did he buy?", clientip AS "VIP Customer" VIP 고객의구입내용에더많은의미가있다는점만제외하고, 결과는이전하위검색예제와동일합니다. 이검색을 "VIP Customer" 로저장합니다. 검색가속화 "VIP Customer" 검색을저장했을때저장대화상자에는새옵션인가속화가포함되었습니다. 검색에이벤트수가많아서완료하는데시간이오래걸리는경우, 나중에다시검색할때검색을더빨리완료하도록가속화할수있습니다. 이옵션은검색이가속화에적합할경우에만사용할수있습니다. 이검색은보고검색이기때문에실행됩니다. 35

36 . 이튜토리얼에서사용된샘플데이터는볼륨이매우제한되어있으며, 전체검색은하루동안 ( 어제 ) 의데이터를대상으로실행됩니다. 이상자를선택해도이검색과이튜토리얼에서저장할이후모든검색의속도가눈에띄게달라지지않습니다. 지식관리자매뉴얼의 " 검색저장및검색결과공유 " 항목에서검색가속화와적합한검색에대해자세히알아보십시오. 다음단계 준비가되었으면다음항목으로이동하여추가검색에대해자세히알아보십시오. 추가검색예제 마지막항목에서는룩업테이블을사용하여온라인상점이벤트데이터에 2 개의새로운필드를추가했습니다. 해당필드를추가하지않은경우다시돌아가서필드룩업사용방법을검토하고필드추가절차를수행하십시오. 해당필드가없으면아래검색에서올바른결과를반환하지않습니다. 꽃과선물상점으로돌아가서상사에게보고할어제구입기록에대한보고서를작성하기위해정보를수집해야합니다. 요청한페이지뷰수는몇번입니까? 페이지뷰와구입간의차이는무엇입니까? 무엇을얼마나구입했습니까? 실패한구입시도횟수는몇번입니까? 이항목에서는이전항목에서배운내용을사용하여이러한질문에적합한검색을작성합니다. 검색참조매뉴얼 이예에서는사용가능한검색명령및함수중일부만사용합니다. 모든검색명령의전체구문및사용법설명은검색참조매뉴얼을참조하십시오. 전체검색명령리스트 eval 명령어의함수리스트 stats 명령어의함수리스트 예 1 - 요청한페이지뷰수는몇번입니까? 어제웹사이트에서페이지를몇번이나조회했습니까? 1. 모든페이지뷰에대한검색을시작합니다. 시간범위로기타 > 어제를선택합니다. sourcetype=access_* method=get 다음으로페이지뷰개수를알고자합니다 (method 필드로구분됨 ). 2. stats 명령을사용합니다. sourcetype=access_* method=get stats count AS Views 여기서 stats 명령의 count() 함수를사용하여웹액세스로그의 "GET" 이벤트수를계산합니다. 이개수는검색에서반환된이벤트의합계이므로, 검색한이벤트개수와일치해야합니다. 이검색에서는기본적으로해당개수를캡처하여사용가능한필드에저장합니다. 36

37 여기서 count 필드이름을 Views 로바꿀필요는없지만, 나중에재사용하게되므로이렇게이름을바꾸면혼동을피할수있습니다. 3. 이검색을페이지뷰 ( 어제 ) 로저장합니다. 예 2 - 페이지뷰와구입간의차이는무엇입니까? 예 1에서총보기개수를얻었습니다. 사이트를조회한방문객중품목을구입한방문객은몇명이나됩니까? 뷰와구입간의비율차이는얼마입니까? 1. 예 1 의검색을시작합니다. 시간범위선택기에서기타 > 어제를선택합니다. sourcetype=access_* method=get stats count AS views 2. stats 를사용하여구입수를계산합니다 (action 필드로구분됨 ). sourcetype=access_* method=get stats count AS Views, count(eval(action="purchase")) AS Purchases count() 함수도다시사용하십시오. 지금은 eval() 함수를사용하여구입작업수를계산하고필드이름을 Purchases 로변경합니다. 여기서이름을변경해야합니다. eval() 함수를 stats 명령과같이사용하는구문에서는필드이름을변경해야합니다. 이제뷰및구입합계를사용하여비율을계산해야합니다. 3. eval 명령을사용하고결과를 rename 으로전달합니다. sourcetype=access_* method=get stats count AS Views, count(eval(action="purchase")) as Purchases eval percentage=round(100-(purchases/views*100)) rename percentage AS "% Difference" eval 명령을사용하면식을평가하고결과를필드에저장할수있습니다. 여기서 round() 함수를사용하여계산된 Purchases 대 Views 비율을가장가까운정수로반올림합니다. 5. 검색을 " 구입 / 뷰차이비율 " 로저장합니다. 예 3 - 무엇을얼마나구입했습니까? 37

38 이예에는두개의필드 product_name 및 price가필요합니다. 두필드는필드룩업예제에서추가되었습니다. 이필드를추가하지않은경우해당예를참조하고절차를따르십시오. 어제구입한제품, 구입한각품목의개수및각제품의계산된수익을표시하는테이블을작성합니다. 제품이름별모든구입의검색을시작합니다. 시간범위를기타 > 어제로변경합니다. sourcetype=access_* action=purchase stats count by product_name 2. stats 함수를사용하여구입한제품의개수, 제품의가격및각제품의총수익을포함합니다. sourcetype=access_* action=purchase stats count, values(price), sum(price) by product_name count() 함수에서이벤트개수를계산합니다. values() 함수에서각 product_name 에대한 price 값을반환합니다. 그리고 sum() 함수에서각 product_name 에대한모든 price 값을더합니다. 3. 이제테이블을더잘파악할수있도록필드이름을변경하면됩니다. sourcetype=access_* action=purchase stats count AS "# Purchased", values(price) AS Price, sum(price) AS Total by product_name eval Total="$ ".tostring(total, "commas") 여기서 'AS' 를사용하여테이블헤더이름을변경합니다. 또한 eval 명령의 tostring() 함수를사용하여계산된총가격값을문자열로변환하고달러기호 ("$") 와쉼표를포함하도록형식을변경했습니다. ( 점 ('.') 은문자열연결에대한바로가기표기법입니다.) 38

39 5. 검색을구입및수익 ( 어제 ) 으로저장합니다. 예 4 - 실패한구입시도횟수는몇번입니까? 이전예에서는성공한구입을검색했지만, 실패한구입시도횟수도알고자합니다. 1. 시간범위선택기에서어제를선택하여실패한구입시도검색을실행합니다. sourcetype=access_* action=purchase status=503 ( 이튜토리얼의앞부분에나온 " 검색시작 " 항목에서이검색을확인했습니다.) 이검색에서는이벤트리스트를반환하므로결과개수를계산합니다. 2. stats 명령을사용합니다. sourcetype=access_* action=purchase status=503 stats count 이경우다음과같은단일값이반환됩니다. 이것은어제실패한구입이없음을의미합니다. 3. 이검색을실패한구입 ( 어제 ) 으로저장합니다. 다음단계 이제검색언어및검색명령사용에익숙해졌을것입니다. 준비가되었으면다음항목으로이동하여보고서및대시보드에대해자세히알아보십시오. 보고서및대시보드만들기 보고서및대시보드에대하여 이장에서는 Splunk Web 을사용하여이튜토리얼전체에서저장한검색에서보고서및대시보드를만드는과정을안내합니다. Splunk 보고서작성기를사용하면완료되거나종료된검색결과를사용하여복잡한보고서를쉽게생성할수있습니다. 보고서작성기는보고매개변수및차트유형모두의관점에서광범위한보고옵션을제공합니다. Splunk 에서는 Splunk Web 을사용하여간단한대시보드를쉽게만들고편집할수있습니다. 방금실행한검색을새로운대시보드또는기존대시보드에추가하거나, 대시보드편집기를사용하여대시보드를만들고대시보드패널로채울수있습니다. 준비가되었으면다음항목으로계속하여보고검색을실행하십시오. 39

40 보고예제 이항목에서는이전검색예제에서실행및저장한검색을기반으로차트및보고서작성과정에대해설명합니다. 꽃과선물상점으로돌아가서보고서를계속작성합니다. 실행한이전검색에서단일값 ( 예 : 실패한오류수 ) 또는결과테이블 ( 구입한제품테이블 ) 을반환했습니다. 이제일부시각화기능을어제작업보고서에추가하고자합니다. 각제품범주의구입및뷰개수기간동안구입한제품의개수기간동안구입한제품개수동향 보고서작성기사용 Splunk는검색결과를수집하면서생성된차트를동적으로업데이트할수있습니다. 검색을시작하면검색이완료되기전에보고서작성을시작할수있습니다. 필드메뉴를사용하여미리정의된간단한보고서를신속하게작성하거나, 보고서작성기를사용하여보고서를정의하거나생성하고보고서형식을조정하여작성할차트유형에서이차트에표시할내용까지표시할수있습니다. 긴검색을실행할경우이검색을기준으로보고서정의를시작하기위해검색이완료될때까지기다리지않으려면만들기를클릭하고보고서... 를선택하여보고서작성기를시작하십시오. 보고서작성기가시작된후검색이계속실행되며완료된보고서에는반환되는이벤트데이터의전체범위가포함됩니다. 검색문자열에보고명령이포함된경우 " 보고서표시 " 를클릭하여보고서작성기에액세스하십시오. 보고명령을통해이미보고서를정의했기때문에 Splunk는보고서작성프로세스의형식지정단계로바로이동합니다. 보고서작성기를사용하기위해보고명령을완벽하게이해할필요는없지만, 이명령에대해잘알고있으면보고서작성기로많은작업을할수있습니다. 보고서작성기를사용하여기본보고서매개변수를정의하고, 차트형식을지정하며, 완료된보고서를내보내거나인쇄하는방법에대해자세히알려면이매뉴얼의 " 보고서정의및차트생성 " 을참조하십시오. 각제품의구입및뷰차트 이예에서는각제품유형의뷰횟수와구입횟수를차트화합니다. 이전항목에서유사한검색을저장했습니다. 이검색을약간변경해보겠습니다. 1. 시간범위 ( 어제 ) 동안이검색을실행합니다. sourcetype=access_* method=get chart count AS views, count(eval(action="purchase")) AS purchases by category_id rename views AS "Views", purchases AS "Purchases", category_id AS "Category" 여기서 stats 명령대신 chart 명령을사용합니다. chart 명령을사용하여차트를만들고 by 절을사용하여 X 축을지정할수있습니다. 2. 만들기를클릭하고리스트에서보고서... 를선택합니다. chart 명령을사용하고있고이미보고서를정의했기때문에보고서작성기의보고서형식지정페이지가열립니다. 40

41 이창에서다른내용이표시될경우 ( 예 : 다른차트유형 ), 기본설정에서조회하지않기때문일수있습니다. 이것은신경쓸필요가없습니다. 3. 형식지정옵션에서다음작업을수행합니다. 차트유형을컬럼으로설정합니다. 차트이름을제품유형별구입및뷰로지정합니다. chart 명령을사용하고있기때문에차트의축을정의해야합니다. 4. 일반에서범례배치를위로변경합니다. 5. 형식에서 X축을클릭합니다. X축제목으로 " 제품유형 " 을입력합니다. 41

42 6. 형식에서 Y축을클릭합니다. Y축제목으로 " 이벤트수 " 를입력합니다. 7. 적용을클릭합니다. 이제 X 축에제품유형이있고세로막대형차트로형식이지정된구입및뷰차트가표시됩니다. 7. 저장을클릭하고리스트에서보고서저장... 을선택합니다. 보고서저장대화상자창이열립니다. 보고서이름을구입및뷰 ( 어제 ) 로지정합니다. 마침 >> 을클릭합니다. 42

43 제품이름별상위구입 이보고서에는필드룩업예제의 product_name 필드가필요합니다. 룩업을추가하지않은경우해당예를참조하고절차를따르십시오. 이보고서의경우어제각품목마다완료된구입개수를차트화하십시오. 1. 다음을검색합니다. sourcetype=access_* timechart count(eval(action="purchase")) by product_name usenull="f" count() 함수를다시사용합니다. 또한 usenull 인수를사용하여 product_name 에대한값을가진이벤트만차트에서계산하도록합니다. 2. 만들기를클릭하고보고서... 를선택합니다. 검색문자열에서 timechart 명령을사용했기때문에보고서형식을지정하는보고서작성기의 2 단계로바로이동합니다. 3. 형식지정옵션에서다음작업을수행합니다. 차트유형을컬럼으로변경합니다. 차트이름을제품별상위구입으로지정합니다. 스택모드를스택형으로변경합니다. timechart 명령을사용했기때문에이미 X 축이름은시간으로, Y 축이름은이벤트수로지정되어있습니다. 축이름을 " 시간 " 과 " 구입개수 " 로바꿉니다. 4. 적용을클릭합니다. 각컬럼은 30 분동안구입한다른제품을나타냅니다. 43

44 5. 저장을클릭하고보고서저장... 을선택합니다. 보고서이름을구입한제품 ( 어제 ) 으로지정합니다. 마침 >> 을클릭합니다. 상위구입동향 stats 및 chart 검색의경우결과테이블에 sparkline 을추가할수있습니다. sparkline 은검색결과테이블내에표시되는인라인차트로, 각행의기본키와연관된시간기반동향을표시하도록설계되어있습니다. 자세한내용은검색매뉴얼의 " 검색결과에 sparkline 추가 " 를참조하십시오. 이예에서는 sparkline 을사용하여어제구입개수의동향을표시합니다. 이예에는필드룩업예제의 product_name 필드가필요합니다. 룩업을추가하지않은경우해당예를참조하고절차를따르십시오. 시간범위 (" 어제 ") 동안이검색을실행합니다. sourcetype=access_* chart sparkline(count(eval(action="purchase"))) AS "Purchases Trend (Yesterday)" by product_name 이검색은보고서를작성하기위해실행한마지막 2 개검색과유사합니다. 이검색에서는 chart 명령을사용하여각제품 (product_name) 에대해작성된구입개수 (count(eval(action="purchase"))) 를계산합니다. 여기서다른점은구입개수가 sparkline() 함수의인수라는점입니다. 또한하루 ( 어제 ) 동안작성된구입개수의동향을표시하고있음을나타내기위해결과이름을 " 구입동향 ( 어제 )" 으로변경했습니다. 어제작성된총구입개수뿐만아니라하루동안의구입동향을표시하기위해보고서에이것을추가해보겠습니다. sourcetype=access_* chart sparkline(count(eval(action="purchase"))) AS "Purchases Trend (Yesterday)" count(eval(action="purchase")) AS Total by product_name rename product_name AS "Product Name" 이검색을상위구입동향 ( 어제 ) 으로저장합니다. 저장된보고서액세스보고서를저장한후 << 검색으로돌아가기로이동합니다. 검색대시보드의검색및보고서메뉴에저장된모든보고서가나열됩니다. 44

45 빠른보고서생성 이튜토리얼에서는비교적작은샘플데이터집합을사용하므로이러한보고검색이비교적빨랐습니다. Splunk 는대량의데이터에대한보고서를생성할수있지만, 매우큰데이터집합에대해보고하는경우에는시간이오래걸릴수있습니다. 정기적으로이러한보고서를실행하는경우에는검색이실행될때마다데이터를요약하고이러한요약에대해보고서를만드는것이더효율적입니다. 보고명령을사용하는검색 ( 테이블및차트형식으로보고서를생성하는검색 ) 은빠른보고서작성에적합합니다. 대규모데이터집합검색에대해빠른보고서작성을설정하는것은확인란을클릭하고시간범위를설정하는것만큼쉽습니다. 이후검색실행은이시간범위내에서실행되는기간만큼 ( 적어도부분적으로 ) 더빨라집니다. 빠른보고서작성은 100만개이상의 hot 버킷이벤트가있으며지식관리자매뉴얼의 " 보고서가속화및요약인덱싱에대하여 " 에나와있는자격조건을충족하는완료속도가느린검색에좋습니다. 적합한검색과적합하지않은검색에대한자세한내용과예는지식관리자매뉴얼의 " 빠른보고서작성관리 " 를참조하십시오. 다음단계 작성한보고서가만족스러우면해당보고서를저장하여다른사람과공유할수있습니다. 이옵션을검토하려면 " 검색저장및검색결과공유 " 를읽어보십시오. 또한검색및보고서에서대시보드를만들수있습니다. 미리정의된숨겨진검색에서생성된차트, 리스트및기타데이터를표시하는여러패널로대시보드가구성될수있습니다. 준비가되었으면다음항목으로이동하여대시보드패널만들기에대해자세히알아보십시오. 대시보드예 이항목을계속하기전에일부보고서를작성하여저장한필드값보고를검토해야합니다. 이항목에서는이전항목에서저장한동일한검색및보고서를사용하는간단한대시보드를만드는과정에대해설명합니다. 꽃과선물상점으로돌아가서, 상사가온라인상점에서판매된제품에대한메트릭을표시하는대시보드를준비하도록요청합니다. 사용자또는 IT 팀의다른구성원이온라인상점의문제를찾아서해결할수있도록도와주는대시보드를작성하기로결정했습니다. 대시보드패널만들기 모든대시보드패널은검색에기반합니다. 검색을기준으로대시보드패널을생성하고새로운대시보드또는기존대시보드에추가하려면만들기를클릭한후메뉴에서대시보드패널... 을선택하십시오. 그런다음, 대시보드패널만들기대화상자를사용하여새로운또는기존대시보드에대한새패널을만드십시오. Splunk는자동으로검색을저장하여패널성능을개선합니다. Splunk 데이터시각화매뉴얼의 "UI 를통해대시보드만들기및편집 " 에서대시보드에대해자세히알아보십시오. 대시보드 1: 꽃과선물상점제품 첫번째대시보드는꽃과선물상점에있는각제품의일별구입에대한메트릭을표시합니다. 이대시보드의경우저장된검색을사용합니다. 구입한제품 ( 어제 ) 제품및수익 ( 어제 ) 구입및뷰 ( 어제 ) 상위구입동향 ( 어제 ) 45

46 시작하려면검색앱에있어야합니다. 1. 대시보드및뷰를클릭하고리스트에서대시보드만들기... 를선택합니다. 새대시보드를정의할수있는새대시보드만들기대화상자가열립니다. 2. 새대시보드를만들려면다음작업을수행합니다. 2a. 이대시보드의고유한 ID 를 " 제품 " 으로지정합니다. 이 ID 는 Splunk 내다른개체에서대시보드를참조하는데사용되는이름입니다. 2b. 대시보드이름을꽃과선물상점 - 제품으로지정합니다. 이이름은탐색메뉴와대시보드상단에표시되는레이블입니다. 2c. 만들기를클릭합니다. 현재비어있는새로운대시보드로이동합니다. 패널로대시보드를채워보십시오. 3. 대시보드상단에있는이름옆에대시보드옵션이있습니다. 편집이선택되지않은경우대시보드및 PDF 전달을인쇄하는옵션이표시됩니다. 지금은이옵션에대해신경쓰지마십시오. 나중에이옵션에대해자세히알아볼수있습니다. 3a. 대시보드편집을시작하려면편집스위치를설정으로전환합니다. 편집이선택된경우다음세가지옵션이표시됩니다. 새패널을사용하면대시보드에패널을추가할수있습니다. XML 편집을사용하면대시보드의 XML 코드를편집할수있습니다. 편집권한을사용하면대시보드에액세스할수있는사용자를제어할수있습니다. 3b. 대시보드에패널을추가하려면새패널을클릭합니다. 패널에대한속성을정의할수있는새패널대화상자가열립니다. 4. 새패널을대시보드에추가하려면이름을제공하고연관시킬검색을지정합니다. 46

47 4a. 제목에서패널이름을 " 구입한제품 ( 어제 )" 으로지정합니다. 이이름은패널의레이블입니다. 4b. 검색명령어에서 " 저장된검색 " 을선택합니다. 모든대시보드패널은검색과연관되어있습니다. 패널이미리정의된저장된검색에서실행될지또는패널에대해설계되고 " 인라인 " 방식으로패널과연관되어있는검색을사용할지여부를지정할수있습니다. 이대시보드의경우저장된검색및보고서를사용합니다. 4c. 리스트에서 " 구입한제품 ( 어제 )" 이름의저장된검색을선택합니다. 4d. 저장을클릭합니다. 이제새패널이 " 꽃과선물상점 - 제품 " 대시보드에추가되었습니다. 여기서기본적으로검색결과는테이블로표시됩니다. 이것은패널에지정하려는시각화가아니므로변경해보겠습니다. 5. 패널에대해편집을클릭하고리스트에서시각화편집... 을선택합니다. 시각화편집대화상자가열립니다. 이대화상자에서데이터테이블, 이벤트리스트, 차트, 단일값패널및게이지와같이패널에검색결과를표시하는방식을수정할수있습니다. 시각화옵션에대해자세히알아보기 Link me! 6. 스택형세로막대형차트에결과를표시하려면 " 시각화 " 리스트에서컬럼을선택합니다. 47

48 7. 저장을클릭합니다. 이제패널모양은다음과같습니다. 8. 두개이상의새패널을대시보드에추가합니다. 8a. 어제구입개수및뷰개수 ( 구입및뷰개수 ) 에대해구입및뷰 ( 어제 ) 패널을추가합니다. 세로막대형차트를표시하도록시각화유형을편집합니다. 8b. 어제판매된제품및매출수익 ( 구입및매출 ( 어제 )) 리스트에제품및수익 ( 어제 ) 패널을추가합니다. 데이터테이블을표시하도록시각화유형을편집합니다. 8c. 상위구입동향 ( 어제 ) 패널을추가하여 sparkline 사용으로어제판매된제품을나열하여하루동안의구입동향을확인합니다. 데이터테이블을표시하도록시각화유형을편집합니다. 8d. 새패널을추가했으면패널을끌어서다음과같이표시되도록다시정렬합니다. 48

49 이것은제품대시보드입니다. 이제동일한단계를수행하여작업대시보드를만들어보겠습니다. 대시보드 2: 꽃과선물상점작업 두번째대시보드에는하루업무를시작할때최근웹액세스작업에대한정보를확인하기위해조회할수있는간단한보고서가포함되어있습니다. 이대시보드의경우저장된검색을사용합니다. 뷰합계 ( 어제 ) 실패한구입 ( 어제 ) 오류 ( 어제 ) 시작하려면검색앱으로돌아갑니다. 1. 대시보드및뷰를클릭하고리스트에서대시보드만들기... 를선택한다음꽃과선물상점 - 작업에대한새로운대시보드를정의합니다. 2. 이대시보드의경우두개의단일값패널과이벤트리스트패널한개인세개의패널을추가합니다. 이대시보드모양은다음과같습니다. 49

50 2a. 첫번째패널에서는저장된검색뷰합계 ( 어제 ) 를사용합니다 ( 단일값패널 ). 2b. 두번째패널에서는저장된검색실패한구입 ( 어제 ) 을사용합니다 ( 단일값패널 ). 2c. 세번째패널에서는저장된검색오류 ( 어제 ) 를사용합니다 ( 이벤트리스트패널 ). 3. 새패널을추가했으면패널을끌어서위의스크린샷에표시된것처럼다시정렬합니다. 이것은꽃과선물상점작업대시보드입니다. 다음단계 이제대시보드를만들고저장했으므로, 대시보드를인쇄하고대시보드패널의 PDF 파일을생성하며 PDF 전달을예약할수있습니다. 자세히알려면다음항목으로이동하십시오! 대시보드보기및인쇄 이전항목에서는이튜토리얼전체에서실행한검색및보고서를사용하여두개의대시보드를만들고저장했습니다. Splunk 를사용하면단추를클릭하여대시보드의 PDF 를생성할수있습니다. 또한정기적으로 PDF 를생성하여프로젝트관련자에게보내도록 Splunk 를설정할수있습니다. 이항목에서는대시보드를보거나인쇄하고 PDF 를생성하는옵션에대해설명합니다. 저장된대시보드보기 검색앱의대시보드및뷰에서저장한대시보드를찾습니다. 리스트에서기존대시보드를편집하거나관리할수도있습니다. 하나를보겠습니다. 리스트에서 " 꽃과선물상점 - 제품 " 을선택합니다. 대시보드인쇄및 PDF 옵션 꽃과선물상점 - 제품대시보드의맨위를보면인쇄및 PDF 옵션이있습니다. ( 편집이비활성화된경우이옵션이표시됩니다.) 대시보드인쇄 50

51 인쇄옵션은웹페이지를인쇄하는것처럼간단합니다. 대시보드창내용을인쇄하려면이옵션을선택하십시오. 대시보드가인쇄가능한형식으로표시되고브라우저의인쇄대화상자가열립니다. 대시보드 PDF 생성 Splunk에서대시보드를볼때 PDF 생성을클릭하여브라우저또는 PDF 뷰어애플리케이션을통해볼수있는 PDF 를생성하십시오. 결과 PDF가브라우저창에표시되거나 PDF 뷰어애플리케이션에서열려단추를클릭할당시까지의정확한결과를표시합니다. 참고 : 차트제목에앰퍼샌드문자가있을경우해당패널은 PDF에포함되지않습니다. 패널을편집하여제목이름을변경할수있습니다. 이기능에대한자세한내용은데이터시각화매뉴얼의 " 대시보드 PDF 생성 " 을참조하십시오. 이메일을통해대시보드 PDF 전달예약 1. 이메일을통해예약된대시보드 PDF 전달을설정하려면대시보드맨위에있는 "PDF 전달예약 " 을클릭하여 "PDF 전달예약 " 대화상자를엽니다. 2. " 이메일스케줄 " 리스트에서사전정의된이메일전달스케줄을선택하거나표준크론표기법을사용하여사용자의스케줄을정의합니다. 리스트에서크론... 옵션을선택하는경우크론스케줄을입력할수있는필드가나타납니다. 3. 전달대상에서이메일주소가여러개인경우쉼표로구분하여각이메일주소를입력하고용지설정에서 Splunk가생성할 PDF의용지크기및방향을선택합니다. 4. 설정을테스트할수있습니다. 수신인에게표시될 PDF의미리보기를보려면미리보기를클릭합니다. 이메일설정이제대로작동하는지확인하려면테스트이메일보내기를클릭합니다. 5. 모두필터링한후예약을클릭합니다. 이메일이전송될때각대시보드 PDF 는대시보드가생성된당시의올바른결과를표시합니다. 이기능에대한자세한내용은데이터시각화매뉴얼의 " 대시보드 PDF 생성 " 을참조하십시오. 통합 PDF 생성에대해자세히알아보기 Splunk Web 의 PDF 기능을사용하기위해더이상 ( 이제지원되지않는 ) PDF 보고서서버앱을설치할필요가없습니다. 또한 UI 가아닌 PDF 보고기능은새로운통합 PDF 생성을사용합니다. 그러나폼, 고급 XML 로작성된대시보드및 JavaScript 가아닌 Flash 에서렌더링되는패널이있는단순 XML 대시보드는예외입니다. 이기능의요구사항에대한자세한내용은설치매뉴얼의 "Splunk Web 용 PDF 인쇄업그레이드 " 를살펴보십시오. 다음단계 이제튜토리얼을마쳤습니다. Splunk 를더많이사용해보세요! 로넘어가겠습니다. Splunk를더많이사용해보세요! 다음에는어떤일이일어날까요? 51

52 이튜토리얼에서는몇가지주요 Splunk 기능인대시보드검색, 보고및만들기를소개했습니다. 그러나 Splunk 특징과기능에대해간단히확인해본것에불과합니다. 다음은 Splunk 주요설명서에포함되는다른매뉴얼입니다. 관리자. Splunk 관리자를위한중요한정보와절차가수록되어있는여러문서중하나입니다. 지식관리자. event type, 태그, 룩업, 필드추출, 워크플로작업, 저장된검색, 뷰등의 Splunk knowledge object 를관리하는방법에대해설명합니다. 경고. Splunk 경고및모니터링기능에대해설명합니다. 데이터시각화. Splunk가제공하는시각화범위에대해설명합니다. 검색. 검색방법과 Splunk 검색언어사용방법에대해설명합니다. 검색참조. Splunk 검색명령에대해자세히설명합니다. Splunk Web용뷰및앱개발 : 고급 XML을사용하여뷰및앱을개발하는방법에대해설명합니다. 사용자지정스크립트와 Splunk 확장과같은기타개발자항목도포함되어있습니다. REST API 참조. 공개적으로액세스가능한모든 REST API endpoint에대한정보를제공합니다. 릴리스노트. 새로운기능, 알려진문제및해결된문제에대한정보를제공합니다. Splunk 에서즐거운경험을해보세요! 52