Gestion et indexation des logs avec Splunk

La gestion des logs est bien souvent un travail colossal pour les équipes IT, car malgré bien des standards définis pour l’envoi ou la consignation de ces logs (Syslog, fichiers d’événements, fichiers W3C …) il est relativement long et fastidieux de retrouver des informations sans outils permettant d’avoir une visibilité rapide et précise de l’information recherchée.

Dans mes recherches visant à trouver un outil permettant d’offrir des fonctionnalités somme toute assez simples, j’ai été amené à tester l’outil Splunk qui n’est ni plus ni moins qu’un logiciel visant à collecter et indexer les logs récupérés de diverses sources. L’intérêt de base est donc déjà assez élevé compte tenu de la mise à disposition d’un moteur de recherche performant permettant dans un permier de temps de faire des recherches sur du contenu indexé à la volée.

Splunk fournit des mécanismes de base permettant de construire une infrastructure à haute disponibilité et permettant de traiter de larges volumes de logs car certains équipements peuvent être verbeux surtout en cas de problèmes impliquant de nombreuses inscriptions dans ces logs.

Enfin, il existe une grande communauté Splunk, et de nombreuses apps en sont issues permettant d’avoir des tableaux de bord personnalisés pour des outils bien spécifiques. Pour cela, je vous invite à jeter un oeil à la SplunkBase pour récupérer des apps pour la gestion de serveurs Windows, Linux / Unix, d’équipements Cisco (ASA, Ironport …), F5 ou encore des fonctionnalités de géolocalisation pour agrémenter les tableaux de bord conçus.

Concernant le licensing, il existe trois éditions :

• Free Edition – limitée à 500 Mo / jour d’indexation de logs -
• Enterprise Edition – plusieurs paliers de licences en fonction de la volumétrie (500 Mo / jour, 1 Go / jour, 2 Go / jour …) et des fonctionnalités supplémentaires : Monitoring et alerting en temps réel sur des événements correlés définis, Reporting en PDF, haute disponibilité, SSO, contrôle d’accès et accès aux « premium apps » distribuées par les partenaires de Splunk et Splunk eux-mêmes.

Lien de téléchargement :

http://www.splunk.com/view/free-vs-enterprise/SP-CAAAE8W