Installer Splunk på Centos 7

Til dem der ikke ved hvad Splunk er, kan jeg kort forklare det som en platform der kan fodres med ustruktureret data, og gøre det søgbart og struktureret – næsten uden at det kræver arbejde. Det kan erstatte de fleste BI og overvågnings software, samtidigt med det gøre det gør op med de fleste udviklings-omkostningen, da brugerne kan udføre det meste tilretning af data.

Men træerne vokser ikke ind i himlen – for Splunk koster en formue (gratis hvis man ikke suger mere end 500mb pr dag). Men kigger man på TCO og TTM er der ikke andre software der kan gøre det samme, hvilket gøre det til at de stærkeste alternativer på markedet i dag. Jeg vil gå så langt til at sige at ElasticSearch og Splunk er det eneste produkter man skal kigge på lige nu.

Installationsvejledning:

Som sagt er det nemt at komme i gang med, men de fleste vælger at installere det på en Windows Server, da det er det de kender bedst. For et bedre resultat ville jeg benytte Linux (i dette tilfælde Centos 7 – 64 bit). For at gøre det nemmere for nybegyndere at komme i gang, har jeg lavet denne basale instuktion.

Nedenstående afvikles i terminalen en linie af gangen:


### Installer Centos - minimum install

### Installer Wget så vi kan hente software
yum install wget

### download splunk til Centos/Redhat
wget -O splunk-7.0.2-03bbabbd5c0f-linux-2.6-x86_64.rpm 'https://www.splunk.com/bin/splunk/DownloadActivityServlet?architecture=x86_64&platform=linux&version=7.0.2&product=splunk&filename=splunk-7.0.2-03bbabbd5c0f-linux-2.6-x86_64.rpm&wget=true'

### Juster folder sikkerhed inden vi installere
chmod 744 splunk-7.0.2-03bbabbd5c0f-linux-2.6-x86_64.rpm


### Installer splunk
rpm -i splunk-7.0.2-03bbabbd5c0f-linux-2.6-x86_64.rpm 


### Splunk splunk installations fil
rm splunk-7.0.2-03bbabbd5c0f-linux-2.6-x86_64.rpm 


### Start splunk
cd /opt/splunk/bin
./splunk start --accept-license


### Check at website kører på default port 8000
./splunk show web-port


### Åben port 8000 i firewall på Centos maskine for webinterface
firewall-cmd --zone=public --add-port=8000/tcp --permanent

### Åben port 8089 i firewall for deploymentserver
firewall-cmd --zone=public --add-port=8089/tcp --permanent

### Åben port 9997 i firewall for indexers
firewall-cmd --zone=public --add-port=9997/tcp --permanent

### Åben port 514 i firewall for network/syslog
firewall-cmd --zone=public --add-port=514/tcp 
firewall-cmd --zone=public --add-port=514/udp 

### Reload Firewall
firewall-cmd --reload

### Log ind i webinterface på http://serverit:8000
Default username står på den side der loades

### Tilføj recivers så der lyttes efter data (i webinterface)
Settings -> Forwarding and receiving
Tilføj port 9997 som default


En af mine nye farvoritter, er Elastic Stack (også kaldet ELK stack) til syslog og alerts reaktion. Man kan bruge syslog og alerts på mange måde, og personligt bruger jeg det som et ekstra værktøj oven på de andre overvågnings værktøjer vi har.

Hvorfor ELK eller nogen anden form for Event/Syslog server?
Styrken i denne form for event correlation, er man kan se sammenhængen i fejl eller adfærd på tværs af alle systemer samtidigt.

Fordele:
– Alarmer er live. Sker det på maskinen, ses det på skærmen med det samme.
– Du ser alt, uden at skulle definere målepunkter i din overvågning.
– Søgninger på tværs af eventlogs, logfiler og alle enheder samtidigt.
– Billigt (ELK – Elastic Stack er gratis opensource).
– Skalerbart til det uendelige.

Installation
Hvis man ikke er erfarren Linux-bruger, fandt jeg en nem genvej igennem Nagios Syslog Server [link], for det er en kommerciel release af ELK stacken.

Som styresystem benytter jeg nyeste CentOS på Hyper-V server 2016. Installationen af Nagios Syslog serveren installeres blot ved en enkelt kommando:

curl https://assets.nagios.com/downloads/nagios-log-server/install.sh | sh

Yes – jeg tager ikke pis på jer! det er virkeligt det eneste du skal gøre for at du har en komplet Event/Syslog installation. Men jeg kommer til at skrive mere om denne løsning de næste par uger, men mens i venter vil jeg anbefale at se denne video.