SPLとダッシュボード

このページの内容

Splunkに取り込んだデータを検索・集計・可視化するときに使うのが SPLとダッシュボードです。この2つは本サイトの後半でも扱います。この節では、それぞれの概要を説明します。

1. SPL ― Splunkの検索言語

SPL(Search Processing Language)とは、Splunkでデータを検索・加工・集計するための専用の言語です。単なるキーワード検索にとどまらず、条件で絞り込んだり、フィールドを計算したり、件数を集計したりと、幅広い処理を1行の命令として書き表せます。

SPLの大きな特徴は、複数の処理をパイプ|(縦棒)でつないで「前の処理の結果を次の処理へ渡す」という書き方をする点です。たとえば次のSPLは、 webインデックスからステータスコードが500のイベントを探し、クライアントIPごとの件数を集計する例です。

SPLの例

index=web status=500
        | stats count by clientip

1行目でデータを絞り込み、パイプの後ろのstatsコマンドで集計しています。このように「絞り込み → 加工・集計」をパイプでつないでいくのがSPLの基本的な考え方です。 SPLの文法やコマンドは第3章以降で本格的に学びます。

ダッシュボード(dashboard)とは、複数のサーチ結果を 1つの画面にまとめて表示する可視化の仕組みです。個々のサーチ結果はパネルと呼ばれ、表・折れ線グラフ・棒グラフ・単一の数値など、目的に応じた形で表示できます。

たとえば「エラー件数の推移」「アクセス元IPの上位ランキング」「現在のエラー総数」といったパネルを1画面に並べておけば、状況をひと目で把握できます。SPLで書いた検索をその都度実行しなくても、ダッシュボードを開くだけで最新の状況を確認できるのが利点です。

ダッシュボードの各パネルは、その裏側でSPLのサーチが動いています。つまり「SPLで結果を取り出し、ダッシュボードで見せる」という関係になっています。

SPLはデータを探す・加工する役割を、ダッシュボードは結果を見せる・共有する役割を担います。ダッシュボードの可視化には SPLで取り出した結果が使われ、可視化しなければ検索結果をチームで共有しづらくなります。

そのため本サイトでも、まず第3章でSPLの基礎を扱い、続く章でダッシュボードによる可視化を扱うという順序で進めます。