組織全体を可視化してインサイトを獲得し、セキュリティの強化、信頼性の向上、イノベーションの加速を図りましょう。SPL全ての製品を見るソリューション将来を見据えたSOCインテグレーションとオープンエコシステムを活用して、サイバー防御を強化しましょう。包括的な可視化と迅速なトラブルシューティングにより、パフォーマンスと信頼性を維持できます。統合されたセキュリティ、フルスタックのオブザーバビリティ、カスタムアプリケーションを1つのプラットフォームで実現できます。世界の名だたる組織がデジタルシステムのセキュリティと信頼性を維持するためのソリューションとしてSplunkを選択しています。Splunkと他社製品の比較Splunkのセキュリティとオブザーバビリティの統合プラットフォームで、お客様のデジタルレジリエンスを強化する方法をご紹介します。会社概要SplunkについてSplunkが目指すのは、より安全でレジリエントなデジタル世界を創造することです。Splunkは、組織の安定運用を支えるセキュリティ、IT運用、DevOpsの各チームを支援することで、この目標に着実に近づいています。組織全体を可視化してインサイトを獲得し、セキュリティの強化、信頼性の向上、イノベーションの加速を図りましょう。SPL全ての製品を見る将来を見据えたSOCインテグレーションとオープンエコシステムを活用して、サイバー防御を強化しましょう。包括的な可視化と迅速なトラブルシューティングにより、パフォーマンスと信頼性を維持できます。統合されたセキュリティ、フルスタックのオブザーバビリティ、カスタムアプリケーションを1つのプラットフォームで実現できます。世界の名だたる組織がデジタルシステムのセキュリティと信頼性を維持するためのソリューションとしてSplunkを選択しています。Splunkと他社製品の比較Splunkのセキュリティとオブザーバビリティの統合プラットフォームで、お客様のデジタルレジリエンスを強化する方法をご紹介します。Appを開発SplunkサービスSplunkへの投資を最大限に活用.conf24Splunkの理解を深められる大規模な年次イベントをご紹介SplunkについてSplunkが目指すのは、より安全でレジリエントなデジタル世界を創造することです。Splunkは、組織の安定運用を支えるセキュリティ、IT運用、DevOpsの各チームを支援することで、この目標に着実に近づいています。GoyalXでシェアFacebookでシェアLinkedInでシェアサーチのスキップは多くのSplunk管理者にとって悩みの種です。サーチがスキップされるのは、通常、システムの負荷が利用可能なリソースを上回ることが原因です。この場合、システムのリソースを増強するか、負荷を軽減する必要があります。Splunkを適切に設定することで頻繁に発生するサーチのスキップを回避できる場合もあります。このブログでは、Splunkサーチの同時実行モデルについておさらいしてから、サーチがスキップされるさまざまな原因を特定するための体系的な方法とスキップの回避策をご紹介します。サーチの同時実行まずは、Splunkサーチの同時実行モデルを確認しておきましょう。ヒストリカルサーチを対象に説明しますが、一部はリアルタイムサーチにも適用されます。Splunkでは、システムでのサーチの同時実行数が制限されます。この制限数を「サーチスロット」と呼びましょう。スロットの目的は、サーチの負荷が利用可能なリソースを大幅に上回ってシステムのパフォーマンスが急激に悪化し、機能停止に陥るのを防ぐことです。(最大サーチスロット)は、サーチヘッド(SH)単体またはサーチヘッドクラスター(SHC)全体のCPUコア数に基づいて算出されます。サーチスロットは、スケジュールサーチとアドホックサーチの間で共有されます。スケジュールサーチで使用できるサーチスロット数にはデフォルトで制限がありますが、アドホックサーチにはありません。アドホックサーチでは最大サーチスロットをすべて使用でき、その場合、スケジュールサーチではスロットを使用できないことになります。サーチヘッドが1つの場合のスロットの算出方法を以下に示します。Platformには、アドホックサーチですべてのサーチスロットを使い切らないように制限できる新機能があります。サーチのスキップサーチがスキップされる原因はさまざまあり、その原因を理解することは非常に重要です。次のサーチを実行すれば原因が見つかるかもしれません。ユーザーまたはロールのクォータ制限に達したユーザーまたはロールのクォータを設定している場合は、クォータ制限に達すると一部のサーチがスキップされることがあります。そもそもクォータの目的は、特定のユーザーまたは特定のロール内のすべてのユーザーが同時に実行できるサーチ数を制限することです。そのため、この場合の解決策は、該当するユーザーまたはロールのクォータを変更することです。スケジュールされたジョブを実行する権限がないユーザーがスケジュールサーチを実行してスキップされる場合もあります。その場合の解決策については、こちらを参考にしてください。ヒストリカルスケジュールサーチの同時実行ジョブ数が最大に達したスケジュールサーチは5分ごとなど一定の間隔で実行され、各スケジュールサーチで一度に実行できるインスタンスはデフォルトでは1つのみです。この設定はsavedsearches.confファイルの<max_concurrent>で定義され、通常はデフォルトの1よりも増やす必要はありません。何らかの理由でスケジュールサーチのジョブが次回のジョブの開始時刻よりも前に完了しなかった場合、ジョブがスキップされます。5分間隔で実行されるサーチでジョブの完了に10分かかった場合、スキップが発生します。この問題を解決するには、まず、この原因でスキップが発生しているスケジュールサーチを特定してから、以下のいずれかの措置をとります。Managementで、該当するサーチの優先度を上げて割り当てるリソースを増やし、実行が早く終わるようにするたとえば、次のサーチを実行するかモニターコンソールを見て、インデクサーのCPU使用率を確認します。出力が下の図のようになったら、リソース不足でサーチの実行に時間がかかっているため、インデクサーのリソースを増やします。自動サマリー作成サーチの同時実行数が最大に達した前述のとおり、サマリー作成サーチの同時実行数には制限があり、その数はlimits.confファイルの<auto_summary_perc>で定義されます。この設定を75%に上げることで、スケジュールサーチ全体の制限の中で自動サマリー作成サーチが占める割合を増やして、サーチがスキップされるのを防ぐことができます。スキップされるサーチの開始時刻が、0分や30分など、常に決まっている場合は、同じ時刻に開始されるスケジュールサーチが多すぎる可能性もあります。その場合は解決策として、<allow_skew>または<schedule_window>を設定して、スケジューラーでサーチの実行時刻を最適化できるようにします。(スケジュールウィンドウとスケジュールスキューのどちらを使うべきか)」が参考になります。インスタンスまたはクラスターでのヒストリカルスケジュールサーチの同時実行数が最大に達したこれは、サーチがスキップされる最も一般的な原因です。この場合、利用可能なすべてのサーチスロットが使われ、新しいサーチをスケジュールできないことでスキップが発生します。同じ時刻に開始されるスケジュールサーチが多すぎるサーチのスケジュールが特定の時刻(午後1:00、午後1:15、午後1:30など)に集中していないかどうかを確認します。集中している場合は、前述のように、こちらのブログを参考に<allow_skew>または<schedule_window>を設定します。アドホックサーチがサーチスロットを占領している前述のとおり、アドホックサーチではデフォルトで、利用可能なすべてのサーチスロットを使用できるため、スケジュールサーチで使用できるスロットがなくなる場合があります。この問題が起きているかどうかを確認するには、次のサーチを実行してスキップに特定のパターンがあるかどうかをチェックします。その後、よくスキップされるサーチの開始時刻にアドホックサーチが多数実行されていないかどうかを確認します。中でアドホックサーチが占める割合を制限します。インデクサーリソースの使用率(P95)が80%を超えているサーチの大部分はインデクサー上で実行されます。サーチ数が多すぎるかサーチを適切に作成できていない(それによりキャッシュが大量に消費される)、またはデータ取り込みの負荷が高い場合、インデクサーがボトルネックになってサーチに時間がかかることがあります。これにより、サーチスロットが長時間占有され、新しいサーチを実行できなくなってスキップが発生します。この問題が起きているかどうかを確認するには、上記のサーチを実行してスキップに特定のパターンがあるかどうかをチェックします。その後、よくスキップされるサーチの実行中にインデクサーのCPU使用率が過度に上がっていないかどうかを確認します。インデクサーがボトルネックになっている場合は、インデクサー層のキャパシティを増やします。制限が低すぎるワークロード環境によっては、デフォルトの最大同時実行数の制限が低すぎることがあります。Appなど短いサーチが多い場合は、<max_searches_per_cpu>を2~5の範囲で段階的に上げてデフォルトの制限を緩和するのも一つの手段です。この設定を変更する前に、インデクサーとサーチヘッドのCPU使用率が十分に低いこと(P95で50~60%以下)を確認してください。50%に制限されます。同時に実行するアドホックサーチがそれほど多くない場合は、<max_searches_perc>を75%以上に上げてもよいでしょう。この場合、後からアドホックサーチが増えてスケジュールサーチを圧迫するようになったときは、前述のように新機能を使ってアドホックサーチを制限する必要があります。最後に、サーチのスキップを減らすために重要なのは、システムのボトルネックを見つけることです。ボトルネックには、ソフトウェアの設定関連といったソフト的なものもあれば、システムリソースの制限などのハード的なものもあります。いずれにしても、その特定がサーチのスキップ問題を効率的に解決するための鍵です。ボトルネックがわかったら、Splunkシステムでのサーチのスキップ状況を分析し、上記の回避策のいずれかでスキップ率を低減できるかどうかを確認しましょう。悟史によるレビューです。SIEM部門のマジック・クアドラントSplunkが10回連続でリーダーに選出された理由をこちらからご確認ください。Forwarderが必要となります。Forwarderのインストール方法、および転送設定について紹介します。action機能を使った前処理設定の簡便な方法についてもご紹介します。分程度ダッシュボード設計:ベストプラクティスをもとに作成を始める(パート1)データからインサイトを引き出す効果的なSplunkダッシュボードを設計して作成する方法を学びましょう。そのために役立つ原則とダッシュボードテンプレートをご紹介します。分程度サーチのスキップを回避するためのヒントサーチのスキップは多くのSplunk管理者にとって悩みの種です。このブログでは、Splunkサーチの同時実行モデルについておさらいしてから、サーチがスキップされるさまざまな原因を特定するための体系的な方法とスキップの回避策をご紹介します。SplunkについてSplunkプラットフォームは、データを行動へとつなげる際に立ちはだかる障壁を取り除いて、オブザーバビリティチーム、IT運用チーム、セキュリティチームの能力を引き出し、組織のセキュリティ、レジリエンス(回復力)、イノベーションを強化します。Splunkは、2003年に設立され、世界の21の地域で事業を展開し、7,500人以上の従業員が働くグローバル企業です。取得した特許数は1,020を超え、あらゆる環境間でデータを共有できるオープンで拡張性の高いプラットフォームを提供しています。Splunkプラットフォームを使用すれば、組織内のすべてのサービス間通信やビジネスプロセスをエンドツーエンドで可視化し、コンテキストに基づいて状況を把握できます。Splunkなら、強力なデータ基盤の構築が可能です。Splunkの詳細はこちらブログのメール配信Splunkの最新ブログ記事をメールでお知らせします。無断複写・転載を禁じます。無断複写・転載を禁じます。