大規模な本番環境でSplunkを使用している人はいますか？[閉まっている]

私はsplunk.comでビデオを見てきましたが、これらの機能をすべて無料で入手できるとは信じられませんが、「キャッチはどこですか？」頭の後ろに。

Splunkを実際にプロダクションで使用している人が、たとえばNagiosよりもそのメリットを強調して、自分の経験を共有したいと思うのは素晴らしいことです。

事前に感謝します。

1日に7 GBを超えるデータに使用していますが、その費用は支払っています。たくさん。アカデミックな割引は少し得られると思いますが、ほとんどの場合、監査人が私たちのログを見ていることについて満足しているため、お金を使うことを正当化することができました。

我々はまたのnagiosを使用しています。nagiosアラートを生成するか、RTチケットを作成するスクリプトを呼び出すいくつかの保存済み検索でnagiosを構成しました。そのため、たとえば、5分間の時間枠で（すべてのサーバーで）X回以上ログインに失敗すると、アラートが生成されます。これは、nagiosが単独で実行できない種類のことです。

以前は、これらの種類のアラートを生成するためにSECを使用していましたが、同様に機能せず、20GBファイルでgrepを時々使用する必要がありました。

nagiosアラートがもう生成されているかどうかはわかりません。そのすべてではないにしても、ほとんどをRTチケットの生成に切り替えました。nagiosアラートモデルは、ログ分析に基づくものには実際にはうまく機能しません。調査が必要な個別のイベントではなく、状態が良いか悪いかで物事が良いです。

編集：

はい、それは本当に私たちにとって人生をずっと楽にします。ログを介してgrepを試みるよりも大幅に優れています。ログを送信するWindows、Linux、およびSolarisのボックスがあります。

いくつかのビデオが暗示するように、あなたが望むものを魔法のように正確に見つけますか？いいえ、いくつかの制限があり、特定の種類のログを適切に処理するために少し設定する必要があります。また、「おもしろい」検索を行うには、ドキュメントを読んでから、splunkサーバーが混乱するまで数分待つ必要があります。しかし、真剣に、それは揺れ動く。私が見たことから、そのリーグには本当に何もありません。

私はSplunkとNagiosの両方で仕事をしてきましたが、2つの明確な違いがあります。

Splunkを使用すると、ログの検索が非常に簡単かつ簡単になります。一般的な問題の検索を保存しておくと、問題を特定するのに非常に役立ちます。異なる場所に2台のSplunkサーバーがありますが、価格が範囲外であり、毎日のインデックス登録量では追加購入が必要なため、両方とも無料版を使用しています。

一方、Nagiosは優れたアクティブな監視プラットフォームになります。複数の地理的な場所を監視する5サーバーの分散Nagiosプラットフォームがあります。ログファイルを監視するSplunkとは大きく異なります。Nagiosは、サービスチェックプラグインを作成して、あらゆるものを積極的に監視し、問題を通知して問題を解決できるようにすることができます。

この2つを合わせると、全体像がよくなり、ネットワークの維持に役立ちます。特に、チーム対個人の努力の場合。関係者全員が同じ写真を見ることができます。

1日あたり最大500MBのログ処理のみが無料です。私はそれをテストし、500MB /日未満にとどまる場合でも、より「高度な」機能の多くは実際のライセンスを必要とすることがわかりました。また、適切に機能するには多くのハードウェアリソースが必要です。

私は非常に大規模にそれを使用している会社を知っていますが、非常に多額の費用がかかります（ローエンドのライセンスは数千ドルです）。

Nagiosとは異なることも行います。Splunkは、傾向の追跡や長期データの特性の検索に適しているように思われ、Nagiosはすぐに対応できるのに適しています。

エンタープライズエディションは非常に高価です。これは、大規模な環境で使用するバージョンです。これが私たちが使用しなかった理由です。

Splunkは実際にはログデータを解析しないため、異なるログ形式のシステムにまたがるレポートを作成することは困難または不可能になります。また、相関する一貫した分類法がないため、実際の相関を行うことができなくなります。

Splunkをテストしたところ、ADHOC検索に非常に役立つことがわかりました。ただし、LogLogicは75,000 MPSを処理するように調整されたアプライアンスソリューションであり、分散アーキテクチャをサポートし、組み込みのMD5チェックサムファイル整合性（フォレンジック用）を提供し、インデックスレポート、正規表現、およびブール検索フィルターは、ほとんどのログソースに対して事前に構築されています。