Linux-Magazin Clean Linux (Vorschau)

Perl-Snapshot 09/2013
Programmieren
www.linux-magazin.de
103
Abbildung 1: Mit einem Suchkommando präsentiert Splunk die verzeichneten
Fehler aus allen dynamisch importierten Logdateien.
Abbildung 2: Die Zeilen im Accesslog eines Webservers nimmt Splunk an ihren
Feldgrenzen auseinander.
denn aus einer Datei kommt), und »host«
den Server, der das Event erzeugt, also
den Logeintrag angelegt hat.
Bei mehr als 500 MByte nur
gegen Dollar
In der kostenlosen Version verdaut der
Splunk-Indexer bis zu 500 MByte Rohdaten
pro Tag; wer mehr einfüttert, verstößt
gegen die Lizenzbedingungen, und das
funktioniert höchstens drei Tage im Monat.
Wer’s dennoch riskiert, dem dreht
Splunk die Suchfunktion ab und zwingt
ihn so zum Erwerb einer Enterprise-
Version. Deren Preis ist beachtlich hoch,
insbesondere große Datenmengen reißen
auch große Löcher ins Budget. Im Silicon
Valley ist zu hören, dass Splunk trotzdem
viele Großfirmen als Kunden habe, da der
Nutzen, Nadeln in einem absurd großen
Heuhaufen effizient zu finden, für sie
sehr wertvoll sei.
Stetig verfeinert
Für diesen Snapshot habe ich Splunk zu
Hause auf meinem Ubuntu-Rechner installiert.
Abbildung 1 zeigt, wie ich die
Log daten von »/var/log« und per »rsync«
kopierte Apache-Accesslogs mei nes Hostingproviders
durchsuche. Ohne jeden
Protest verspeist Splunk bei mir auch
rotierte und gezipte Logs.
Als erste Suchabfrage gebe ich »fail* OR
error« ein. Die Volltextsuche springt auf
Meldungen an, die den Begriff »error«
enthalten. (Splunk unterscheidet bei
den Suchstrings Groß- und Kleinschreibung
nicht, erwartet Schlüsselwörter wie
»OR« aber versal.) Der reguläre Ausdruck
»fail*« passt auf alle Begriffe, die mit
„fail“ beginnen, also auch „failed“. Ohne
Schlüsselwörter verbindet Splunk die
Strings mit einem logischen Und, »foo
bar« findet also Logeinträge, die sowohl
„foo“ also auch „bar“ enthalten.
Die Treffer in Abbildung 1 kommen aus
dem Zeitrahmen, der rechts oben mit
»last 7 days« eingestellt ist, sie stammen
allesamt aus dem extrem geschwätzigen
Nagios-Debuglog »nagios.debug«. Um sie
auszufiltern, definiert der Dialog in Abbildung
4 den Eventtyp »nagios‐chatter«
mit der Suchfunktion »source=.../nagios.
debug« (zu sehen im verdunkelten Hintergrund).
Dann verbindet Splunk intern
Abbildung 3: Der einigermaßen intuitiv gestaltete Dialog »Add new« fügt hier
alle Logdateien unter »/var/log« zum Splunk-Index hinzu.
Abbildung 4: Alle Zeilen aus der Logdatei »nagios.debug« (nachzulesen im abgedunkelten
Bereich) bekommen den Eventtyp »nagios‐chatter« zugeordnet.