Splunk日志分析系统

　　每天由各种服务器所产生的日志的数量是非常惊人的，而遇到突发情况时，却往往能够从这些海量日志中找到最多的有用消息。通常在 Unix 下对日志进行查找使用的是 grep 之类的低效率的方式，而 Splunk 使用了现代搜索引擎技术对日志进行搜索，同时提供了一个非常强大的 AJAX 式的界面展现日志。 
Splunk 是一款对 IT 管理员非常有用、非常专业的工具。也正因为如此，与其他 Linux 下的其他日志分析软件不同，Splunk 是一个商业软件，但是其提供了可以自由使用的 Splunk 测试版可以免费下载，而如果需要海量授权及更多的功能比如分散式搜寻(Distributed Search)、排程告警(Schedule Alert)、权限(Access Control) 这样的功能的话，则需要购买企业版。 
Splunk的四大应用：运维IT数据整合、IT安全信息及数据的整合、应用程序IT数据整合、IT数据的法规遵从 
Splunk的六大功能：Index(索引) 、Search(搜索)、Alert(警报通知)、Report(报告)、Share(资源共享)、Secure(安全功能)

索引全部IT数据
•索引范围涵盖应用、服务器、网络设备中的所有日志、配置、信息、trap、告警、度量以及其他系统性能数据。
•可灵活地从文件、网络端口、数据库、自定义API和接口中实时或按需访问数据。
•索引对原始数据的完整性无任何影响
•高效的文件系统存储

 

搜索与审查
•立即搜索所有IT设备中任一格式的事件
•交互式对比查询，可收敛事件范围
•实现实时搜索
•实现不同数据中心、不同地理位置、多服务器间的分布式搜索
•搜索保存
•基于浏览器的搜索，不依赖任何插件
 

关联复杂事件
•关联看上去并不相关的事件或活动
•基于时间或外部数据做关联
•可把结果指定到报表或仪表板中
 

监测与告警
•实时告警
•通过电子邮件、RSS、SNMP或脚本触发告警
•可通过脚本告警自动纠错或进行后续处理动作
•可通过子搜索在告警中嵌入复杂的管理规则

 

报表
•结合快速、灵活的搜索功能呈现完美的交互式分析报表
•可通过RSS或电子邮件向已编制目录名单发送报表
•十余种报表格式，如直方图、线性图、分区图、圆饼图等
•动态报表，可随时点选并再次搜索
•报表自动存储
•可创建个性化仪表板，包括搜索、报表和告警  

 

创建仪表板
•只需几分钟就可以创建自定义仪表板，自动实现用户相关信息的监测。
•使用仪表板编辑器，管理者、安全分析师，审计师，开发人员和行政管理人员可以方便快捷地创建自定义仪表板。
 

 

主要用于需要法规遵从、快速找出问题、响应问题，以持续营运的行业，如 电信、银行、证券 、任何有datacenter或大型网络需要管理企业或单位、任何透过网络从事在线交易&活动的业者、网络游戏、网络商店、网络银行、网络券商等。

当开始进行应用程序问题的故障排除、管理IT基础设施、遵从安全和相关规范时，所需要的数据却都囚禁在企业的各个人员和不同的技术中。手动设置并通过现有的工具处理 

数据就显得耗时耗力，并且昂贵又不具规模。早在2006年，SplunkIT采用了IT搜索，作为一种更新更好的方式，以获取原来的silos数据。用户大都被Splunk实时的单点搜索和分析IT数据的能力所震撼。通过Splunk，用户可以在几分钟内看到激动人心的搜索结果以及问题的解决方法，而之前这都需要花费他们数小时或数天的时间。如今，Splunk已经成为不可或缺的工具。实际上，Splunk希望做得更好：Splunk提供更快的速度和更好的可扩展性，用于更大的数据集、全球部署的易管理性、企业用户自定义仪表板、更强大的使用性能！Splunk 4就是充满激情的用户反馈的结果。拥有超过1,800种增强功能，Splunk4包括50多种新增功能，可以帮助用完善获奖的IT搜索引擎。Splunk4就是下一代IT搜索。

 Splunk是专门设计给组织和机构使用的IT搜索引擎(Search Engine)，它将雅虎、Google的搜寻技术与概念发扬光大，如今组织和机构可以用Splunk来管理复杂的 IT 系统。Splunk的软件能自动收集由各种服务器、网络设备和软件产生的数据与日志。Splunk的设计与使用概念就像是Google谷歌搜索引擎一样，组织和机构一旦安装Splunk的IT Search Engine之后，IT人员就可以透过Browser使用Splunk并对组织和机构的各种IT Data进行关键词(Keyword)搜寻，快速地得到所需要的数据，除此之外Splunk本身还具有计算(Computing)能力，管理者可以透过Splunk将搜寻所得的结果立即做运算处理，产生各种报告、图表与警示，而且还可以设定Splunk进行排程定时搜寻，并将结果以Email Alert方式通知相关人员。

Splunk的IT Search Engine设计打破过去传统IT管理的方式，也突破过去各种IT管理工具如IBM Tivoli, HP OpenView, CA UniCenter的使用方式，用简单易懂的关键词(Keyword)搜寻方式，来协助IT人员找寻与解决IT问题。使用者不仅可以透过Splunk进行IT Search，还可以透过它的SplunkBase与API来开发相当多种的应用工具。市场上多认为Splunk将会是未来组织和机构IT管理的主要工具。

管理的真谛是简化流程。Splunk IT Search是一个全新的概念，藉由功能强大的搜索引擎，能够协助管理人员快速搜寻各种应用系统、网络设备所产生的大量IT data * ，透过各种相对应的关联性来找出各种IT事件的源头，进而协助管理人员解决IT营运会遇到的各种问题。