3-1 構築する演習環境と取得対象データ

この章では、実際のサーバーからWindowsとLinuxのログを取り込み、 Splunk Cloud上でのサーチの実行、ダッシュボードの作成、レポート/アラートの定義までを一通り実行してみます。 この演習を実際に試せば、胸を張ってSplunkについて一通り体験をしたということができるでしょう。

本章では、これから構築する演習環境の概要と対象データを説明します。

1. 演習環境の概要図

本章で構築する演習環境は以下の通りです。 ログ取得対象サーバーはWindows ServerとUbuntu(Linux)の二台です。 これらサーバーのログを、Intermediate Forwarderをプロキシサーバーとして中継し転送する一般的な構成を試すことにします。

flowchart RL
  win["Windows Server<br/>(Universal Forwarder)"] -->|"9997/TCP"| intf
  lin["Ubuntu<br/>(Universal Forwarder)"] -->|"9997/TCP"| intf
  intf["Ubuntu/Intermediate Forwarder<br/>(Universal Forwarder)"] -->|"9997/TCP(TLS暗号化)"| cloud["Splunk Cloud<br/>(トライアル)"]
  user(["ユーザー"]) -->|"HTTPS"| cloud
  cloud ~~~ user

  subgraph onprem["オンプレ環境"]
    win
    lin
    intf
  end

2. 必要リソースと通信許可ポート

上記を構成するサーバーのリソースは、演習環境であることから最低限で十分です。

通信許可ポートについては以下の通りです。 Splunkがログの転送に使用するポートは基本的には9997/TCPだけです。 管理用通信として8089/TCPを使用するケースもありますが、今回は考慮不要です。

3. 取得するデータ

取得対象データは以下の通りです。ログを取り込む際、ログに応じたAdd-onを導入します。 このやり方も体験します。