CentOS 7에 Splunk 로그 분석기를 설치하는 방법

Splunk는 실시간 기업 로그 관리를 위한 강력하고 견고하며 완벽하게 통합된 소프트웨어로, 정형, 비정형 및 복잡한 로그를 포함하여 모든 로그 및 기계 생성 데이터를 수집, 저장, 검색, 진단 및 보고합니다. 여러 줄의 응용 프로그램 로그.

이를 통해 로그 데이터 또는 기계 생성 데이터를 신속하고 반복 가능한 방식으로 수집, 저장, 색인화, 검색, 상관 관계, 시각화, 분석 및 보고하여 운영 및 보안 문제를 식별하고 해결할 수 있습니다.

또한 Splunk는 로그 통합 및 보존, 보안, IT 운영 문제 해결, 애플리케이션 문제 해결, 규정 준수 보고 등 다양한 로그 관리 사용 사례를 지원합니다.

스플렁크 기능:

• 쉽게 확장할 수 있고 완전히 통합되어 있습니다.
• 로컬 및 원격 데이터 소스를 모두 지원합니다.
• 머신 데이터 인덱싱을 허용합니다.
• 모든 데이터 검색 및 상관관계를 지원합니다.
• 데이터를 드릴다운 및 피벗할 수 있습니다.
• 모니터링 및 경고를 지원합니다.
• 시각화를 위한 보고서와 대시보드도 지원합니다.
• 관계형 데이터베이스, 쉼표로 구분된 값(.CSV) 파일의 필드 구분 데이터 또는 Hadoop 또는 NoSQL과 같은 기타 엔터프라이즈 데이터 저장소에 대한 유연한 액세스를 제공합니다.
• 광범위한 로그 관리 사용 사례 등을 지원합니다.

이 문서에서는 최신 버전의 Splunk 로그 분석기를 설치하는 방법과 로그 파일(데이터 소스)을 추가하고 이를 통해 CentOS 7 에서 이벤트를 검색하는 방법을 보여줍니다. (RHEL 배포판에서도 작동)

권장 시스템 요구 사항:

1. 최소 설치가 포함된 CentOS 7 서버 또는 RHEL 7 서버.
2. 최소 12GB RAM

테스트 환경:

1. CentOS 7 최소 설치가 포함된 Linode VPS.

CentOS 7 로그를 모니터링하기 위해 Splunk Log Analyser 설치

1. Splunk 웹사이트로 이동하여 계정을 만들고 Splunk Enterprise 다운로드 페이지에서 시스템에 사용 가능한 최신 버전을 다운로드하세요. RPM 패키지는 Red Hat, CentOS 및 유사한 Linux 버전에서 사용할 수 있습니다.

또는 웹 브라우저를 통해 직접 다운로드하거나 다운로드 링크를 얻은 다음 wget commandv를 사용하여 표시된 대로 명령줄을 통해 패키지를 가져올 수 있습니다.

wget -O splunk-7.1.2-a0c72a66db66-linux-2.6-x86_64.rpm 'https://www.splunk.com/bin/splunk/DownloadActivityServlet?architecture=x86_64&platform=linux&version=7.1.2&product=splunk&filename=splunk-7.1.2-a0c72a66db66-linux-2.6-x86_64.rpm&wget=true'

2. 패키지를 다운로드한 후 그림과 같이 RPM 패키지 관리자를 사용하여 기본 디렉터리인 /opt/splunk에 Splunk Enterprise RPM을 설치합니다. .

rpm -i splunk-7.1.2-a0c72a66db66-linux-2.6-x86_64.rpm

warning: splunk-7.1.2-a0c72a66db66-linux-2.6-x86_64.rpm: Header V4 DSA/SHA1 Signature, key ID 653fb112: NOKEY
useradd: cannot create directory /opt/splunk
complete

3. 그런 다음 Splunk Enterprise 명령줄 인터페이스(CLI)를 사용하여 서비스를 시작합니다.

/opt/splunk/bin/./splunk start 

Enter 키를 눌러 SPLUNK 소프트웨어 라이센스 계약을 읽어보세요. 다 읽고 나면 이 라이센스에 동의하십니까?라는 질문이 표시됩니다. 계속하려면 Y를 입력하세요.

Do you agree with this license? [y/n]: y

그런 다음 관리자 계정에 대한 자격 증명을 만듭니다. 비밀번호에는 인쇄 가능한 총 ASCII 문자가 8개 이상 포함되어야 합니다.

Create credentials for the administrator account.
Characters do not appear on the screen when you type the password.
Password must contain at least:
   * 8 total printable ASCII character(s).
Please enter a new password: 
Please confirm new password: 

4. 설치된 모든 파일이 손상되지 않고 모든 예비 검사를 통과한 경우 splunk 서버 데몬(splunkd)이 시작되고 2048비트 RSA 개인 키가 생성되며 splunk 웹 인터페이스에 액세스할 수 있습니다.

All preliminary checks passed.

Starting splunk server daemon (splunkd)...  
Generating a 2048 bit RSA private key
......................+++
.....+++
writing new private key to 'privKeySecure.pem'
-----
Signature ok
subject=/CN=tecmint/O=SplunkUser
Getting CA Private Key
writing RSA key
Done
                                                           [  OK  ]

Waiting for web server at http://127.0.0.1:8000 to be available............. Done


If you get stuck, we're here to help.  
Look for answers here: http://docs.splunk.com

The Splunk web interface is at http://tecmint:8000

5. 다음으로 Firewall-cmd를 사용하여 방화벽에서 Splunk 서버가 수신 대기하는 포트 8000을 엽니다.

firewall-cmd --add-port=8000/tcp --permanent
firewall-cmd --reload

6. 웹 브라우저를 열고 다음 URL을 입력하여 splunk 웹 인터페이스에 액세스하십시오.

http://SERVER_IP:8000   

로그인하려면 사용자 이름: admin과 설치 과정에서 생성한 비밀번호를 사용하세요.

/opt/splunk/bin/./splunk restart
/opt/splunk/bin/./splunk stop