Splunk

01무엇이고, 어떤 일을 하나

• Forwarder·Indexer·Search Head로 수집과 검색 책임을 나눈다.
• 이벤트의 발생 시각·출처·형식을 추출하고 검색한다.
• SPL 파이프라인으로 필터·통계·시각화용 결과를 만든다.

02어떤 순서로 동작하나

1. 입력 집합 선택

   index·sourcetype·action 조건과 검색 시간으로 대상 이벤트를 고른다. 필드가 실제로 추출되어 있어야 한다.

2. 시간 구간 배치

   bin _time span=10m으로 각 이벤트를 고정된 10분 구간에 넣는다.

3. 그룹별 집계

   stats가 시간·host·user 조합별 실패 수와 출발지 집합을 만든다. 이벤트 행은 요약 행으로 바뀐다.

4. 임계값 적용

   where가 failures>=5인 그룹만 남긴다. 경계 양쪽에 나뉜 네 번씩의 실패는 같은 그룹이 아니다.

5. 원본·중복 검토

   요약에 기여한 이벤트와 반복 실행의 중복 경보를 확인한다. 고정 구간 집계를 sliding window로 해석하지 않는다.

03먼저 알아둘 용어와 구성요소

sourcetype

입력 자료의 형식과 처리 규칙을 연결하는 분류.

_raw

이벤트의 원문 내용 필드.

_time

Splunk가 해석한 이벤트 발생 시각.

SPL

앞 단계 검색 결과를 다음 명령으로 전달하는 검색·분석 언어.

Forwarder

자료를 수집해 처리·저장 계층으로 전달하는 구성 요소.

Indexer

이벤트를 저장하고 검색을 처리하는 역할.

Search head

검색 요청·지식 객체·분산 결과 처리를 제공하는 역할.

host·source

이벤트가 속한 호스트와 입력 출처를 나타내는 메타데이터.

stats

검색 이벤트를 그룹별 통계 결과로 바꾸는 SPL 명령.

dc

서로 다른 필드 값의 수를 계산하는 집계 함수.

bin

연속 값이나 시각을 지정 크기의 구간으로 나누는 명령.

04예제로 따라가기

• 표본 구성: 이벤트 1과 2의 user는 alice, 이벤트 3에는 user 필드가 없다고 가정한다. 세 건 모두 같은 시험 집계 범위에 있다.
• 전체 집계: stats count의 결과는 3이다. user 필드가 없다는 이유로 원래 이벤트가 존재하지 않는 것은 아니다.
• 필드 집계: count(user)는 값이 있는 두 이벤트를 세어 2가 된다. 빈 필드와 파싱 실패를 조사하는 단서가 된다.
• 고유 집계: dc(user)는 서로 다른 값 alice 하나를 세어 1이다. 두 번의 실패와 한 계정이라는 질문에 각각 다른 답이 필요하다.
• 해석 조건: 일부 이벤트의 user 누락이 파서 오류라면 고유 계정 1이라는 결론도 제한적이다. 원문·추출 성공률과 집계값을 함께 제시한다.

05혼동하기 쉬운 점과 확인 기준

• 필터 위치: 집계 전 실패 이벤트를 고르는 것과 집계 후 실패 수가 큰 그룹을 고르는 것을 구분한다. 파이프 단계 순서가 모집단을 바꾼다.
• 시간 기준: _time과 수집 시각·검색 시간 범위를 비교한다. 잘못 파싱된 시간이 정상 이벤트를 기간 밖으로 밀어낼 수 있다.
• 중복 처리: 재전송 중복 제거와 같은 사용자의 반복 행위 제거는 다르다. user만으로 dedup하면 실제 시도 수를 잃는다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.