［SPLUNK］Splunk Apps: Splunk App for Windows Infrastructure

Windows から取得したログデータから、ダッシュボードを作ります。

［Windows Overview］の画面。

今はテストなのでイベントログもパフォーマンスログも１台のログしか取っていないですが、この画面からドリルダウンしてたくさんのログデータにアクセスすることもできます。

Apps のダウンロード
Splunk の Apps の管理画面から Splunk App for Windows Infrastructure のダウンロードとインストールができるようになっています。

Apps の管理画面
→ ［Browse more apps］

Splunk App for Windows Infrastructure
現在のバージョンは 1.0.4。
アイコンが INF と書かれてます。


Splunk App for Windows Infrastructure の初回起動
Splunk App for Windows Infrastructure をはじめて起動すると、データのスキャンが行われます。

Windows - Event Monitoring （イベントログの監視）
Windows - Performance Monitoring （パフォーマンスログの監視）
Active Directory - Group Policy （グループポリシー）
Active Directory - Organizational Units （OU）

のデータが見つかったようでチェックが入ってました。
Splunk テスト環境には AD はないのですがまぁいいか。


Splunk App for Windows Infrastructure の構成
Splunk App for Windows Infrastructure には 6 つのタブで構成されています。
［Overview］　・・・　ドキュメント
［Windows］　・・・　Windows のログデータ分析
［Active Directory］　・・・　Active Directory のログデータ分析
［Dashboards］　・・・　ダッシュボードの作成
［Search］　・・・　検索画面
［Tools and Settings］　・・・　データを再スキャン。


Windows のログデータ分析
［Windows］ のタブで Windows の項目のログデータ分析をします。
設定（App Configuration）のところで選択した項目が使えるようになっています。

Event Monitoring
イベントログの分析ができます。

最初に右上の丸印のところ、検索したい時刻の範囲設定をします。
（設定は変えられるけど）デフォルトだと ［Last 15 minutes］ となっているので思うように見つけられないかもしれないです。

ホスト名、イベントログの種類（SystemログとかSecurityログとか）、イベントソースといったものをメニューで選ぶと結果のグラフが下半分に表示されます。

グラフ中にあるさまざまなリンクから、検索画面に遷移することができます。

ダッシュボード
［Dashboards］のタブではダッシュボードの管理ができます。
既にたくさんのダッシュボードが用意されているので、それを見るのは［View Dashboards］です。

デフォルトでも 82 のダッシュボードが準備されていました。（※2014.11.16 現在）

［Application Installs］ならアプリケーションのインストールを検索することができますし、アクティブなマシンのリストを作ったり、OSバージョンで検索したり、CPUやメモリ利用率をまとめてみたりすることができます。
Windows Update のログを集めて適用状況をみることもできそうです。

こちらがパフォーマンスの画面。

---

Splunk のページに戻る