サーチの実行

このページの内容

データが取り込めたので、いよいよ実際にサーチを実行してみましょう。ここでは第3章で学んだ検索の知識を、チュートリアルデータで実際に試していきます。使うのは、標準アプリのサーチとレポート(Search & Reporting)です。

1. サーチとレポートを開く

Splunk Webにログインし、アプリメニューからサーチとレポートを開きます。画面上部にサーチバーが表示されるので、ここに条件を入力して実行します。

サーチバー右端には時間範囲ピッカーがあります。チュートリアルデータの日時は現在と離れていることがあるため、最初は「全時間(All time)」を選んでおくと、確実にデータが表示されます。

「全時間」は走査するデータ量が多くなります。チュートリアルデータのように件数が限られている場合は問題ありませんが、本番の大規模データでは期間を絞ってから検索するのが基本です。

まずは、取り込んだWebアクセスログを対象にサーチしてみます。 index=mainでインデックスを指定し、 sourcetypeでデータの種類を絞り込みます。

SPL ― アクセスログを表示する

index=main sourcetype=access_combined_wcookie

実行すると、イベント一覧にアクセスログが1件ずつ表示されます。ここに条件を足していくと、目的のイベントだけに絞り込めます。たとえば、正常に処理された(ステータスコード200の)アクセスだけを見たいときは、 statusフィールドを使います。

SPL ― ステータスコードで絞り込む

index=main status=200

さらに、特定のアクセス元IPアドレスに注目したいときは、 clientipフィールドを条件に加えます。

SPL ― 特定のIPからのアクセスに絞る

index=main sourcetype=access_combined_wcookie clientip="87.194.216.51"

サーチを実行すると、画面左側のフィールドサイドバーに、イベントから抽出されたフィールドの一覧が表示されます。 statusやclientip、action、product_nameなど、このデータにどんなフィールドがあるのかを一目で確認できます。

サイドバーのフィールド名をクリックすると、そのフィールドに含まれる値の一覧と件数(上位の値)が表示されます。値をクリックするだけで、その条件をサーチに追加して絞り込めます。どんなフィールドがあるか分からないときは、まずここを眺めてみましょう。

このように、キーワードやフィールドでの絞り込み、時間範囲の指定といった第3章で学んだ操作を、そのままチュートリアルデータで実践できます。気になった値をクリックして絞り込むだけでも、データの傾向が見えてきます。