Splunk エンタープライズでのデータのオンボーディングと管理

フォワーダーを使用してデータを取得する

ユニバーサルフォワーダー マシンからデータレシーバーにデータをストリーミングして、データを取り込む最も一般的な方法です。リモートソースから信頼性が高く安全にデータを収集し、そのデータを Splunk ソフトウェアに転送してインデックス作成と統合を行います。ユニバーサルフォワーダーは、数万台のリモートシステムにまで拡張でき、テラバイト単位のデータを収集できます。

ユニバーサルフォワーダーの導入方法:

1. Splunk ユニバーサルフォワーダーをダウンロード .
2. のユニバーサルフォワーダーをインストールしてください Windows または リナックス 。
3. 受信機を有効にする Splunk エンタープライズにデータを送信します。
4. ユニバーサルフォワーダーを起動する 。

データを取り込む- Windows

入手方法については、以下のビデオをご覧ください Windows データを Splunk エンタープライズに送信。開始するには、次のいずれかを実行してください。 をインストールします。 Windows ユニバーサル・フォワーダー インストーラーまたはコマンドラインを使用する。インストーラーは大規模なデプロイメントに推奨され、コマンドラインは小規模なデプロイメントに推奨されます。

データを取り込む-Linux

Linux データを Splunk エンタープライズに取り込む方法については、以下のビデオをご覧ください。始めるには、 *nix ユニバーサルフォワーダーをインストールします。 Linux、Solaris、Mac OS X などの*nix ホスト上のソフトウェア。ドキュメントリンクは、デプロイツールを使用するのではなく、ホストに直接インストールすることを想定しています。このタイプのデプロイメントは、小規模デプロイメント、概念実証テストデプロイ、および最終的なクローン作成のためのシステムイメージまたは仮想マシンに最適です。

インジェストアクション

インジェストアクションは、お客様がデータフローを迅速かつ簡単に設定し、データの量、形式、送信先を制御できるユーザーインターフェイスです。Splunk EnterpriseおよびSplunk Cloud Platformの検索およびレポート作成UIから、管理ドロップダウンのオプションとしてアクセスできます。

使用 インジェストアクション 簡単なクリック操作で、取り込み時とエッジでデータをフィルタリング、マスキング、ルーティングできます。設定ファイルにコマンドラインを書いたり、スタンザを手書きしたりする必要はありません。この機能により、ノイズをカットして、ミッションクリティカルなデータとアーカイブする必要のあるデータを切り離すことができます。

インジェストアクションページは、Splunk Webの次の場所にあります。 [設定] > [データ] > [インジェストアクション] 。この機能により、サンプルデータを使用してルールセットを動的にプレビューおよび作成できます。クリックするだけで、新しいルールを追加し、編集が必要な内容とそれをマスクする式を指定することができます。

一般的な使用例: アーカイブや監査を目的とした外部S3準拠の宛先へのデータ転送、機密情報 (PIIデータ、ユーザー名など) の削除、IPアドレスの削除、DEBUGログのフィルタリングなどを行います。