Formation Splunk

Dans un proche passé, le problème était de trouver l’information. Les capacités de collecte et de partage de nos outils informatiques ont changé le paradigme, nous sommes désormais confrontés à un problème de tri. Y-a-t-il une information pertinente, intelligente, à dégager de ce flux continu et quasi-infini de nouvelles informations. La pertinence est peut-être dans l’évolution d’une valeur (prévision, tendance…) ou sa normalité (cette valeur se dégage du lot …). Splunk est un outil qui ambitionne de nous aider dans cette tâche, outil que l’on pourrait désigner par « corrélateur d’évènements ».

Objectif opérationnel:

Utiliser Splunk pour collecter, analyser et générer des rapports sur les données

Objectifs pédagogiques:

À l'issue de cette formation vous serez capable de :

• Créer des tableaux de bord afin de donner du relief aux données significatives
• Construire une application d'intelligence opérationnelle avec des fonctionnalités étendues
• Enrichir les données opérationnelles à l’aide de recherches et de flux
• Modéliser et synthétiser les données et effectuer des recherches basées sur le pivot
• Créez des alertes en temps réel, scriptées et d'autres alertes intelligentes
• Résumer les données avec des tendances à long terme, des rapports et analyses
• Intégrer des graphiques JavaScript avancés et tirer parti de l'API de Splunk

Public :

Ce stage est destiné aux administrateurs système et réseau, aux personnels IT qui souhaitent exploiter la plateforme Splunk Enterprise en tant qu’outil d’intelligence opérationnelle.
Les méthodes abordées durant la session pourront être utiles autant aux débutants Splunk issus des métiers de l’informatique ou de la sécurité qu'aux utilisateurs plus avertis souhaitant se mettre à niveau avec la version 6.5.

Prérequis :

Aucun prérequis particulier, mais avoir une connaissance minimum de l'informatique est conseillé. Connaitre la plateforme Splunk est également un plus.

Splunk en action

Votre compte sur Splunk.com
L’obtention d’un compte Splunk.com
Installer Splunk sous Windows
La première ouverture de session
Indexer des fichiers et des répertoires

• Via l’interface Web
• Via l’interface CLI
• Par édition des fichiers de configuration

Obtenir des données via les ports réseau
Obtenir des données via un script exécuté depuis Splunk (Polling)
Obtenir des données via des entrées modulaires
Mise en œuvre de l’expéditeur universel (Universal Forwarder)

Atelier

Mise à profit de données exemples. Définition d’extractions de champs. Définition de types d’évènements et de labels.

Exploration de la recherche de données, sauvegarde des recherches (Reports)

Rendre lisibles des données brutes
SPL – Search Processing Language
Les requêtes de SPL
Opérateurs booléens
Commandes usuelles
Affiner la recherche à l’aide de plages de temps
Travailler avec les champs (fields)

Atelier

On se propose de s’entraîner à chercher dans des fichiers de journalisation fournis, les pages Web les plus visitées, le navigateur le plus utilisé, les sites les plus visités. On construira également des graphes avec les codes de réponse des pages Web, des statistiques de temps de chargement des pages, de performance des applications, de consommation de ressources mémoire et CPU, de connexion à une base de données …

Les tableaux de bord ou l’art de faire ressortir les données avec Splunk

Les tableaux de bord et l’intelligence opérationnelle
Les différents types de graphes
Les meilleures pratiques

Atelier

On se propose de créer puis d’enrichir un tableau de bord sur lequel on viendra placer de nombreux graphes liés aux recherches réalisées dans le chapitre précédent.

Construire une application d’intelligence opérationnelle

Créer une nouvelle application Splunk
Installer une application existante issue de Splunk ou d’un tiers
Ajouter tableaux de bord et recherches à une application
Modifier les permissions attachées aux recherches (Reports)
Organiser les tableaux de bord de façon plus efficace (à partir de v6)
Permettre des liens actifs dans les graphes afin que l’utilisateur puisse augmenter le niveau de détail de l’information affichée
Créer des tableaux de bord interactifs
Produire de façon régulière (programmée) des tableaux de bord au format pdf

Atelier

Création d’une application puis installation d’une application dans le but de visualiser des évènements liés aux switchs CISCO

Toujours plus d’intelligence, les modèles de données, la notion de pivot

Créer un modèle de données
Mettre à profit des expressions régulières
Optimiser la performance de recherche (« accelerating data models »)
Observer l’information résumée d’accélération de modèles de données
Pivoter des données

Atelier

Utiliser la commande pivot pour afficher le nombre total de ventes. Uiliser la commande pivot pour afficher les ventes selon leur géolocalisation. « Pivoter » les pages web répondant le plus lentement.

Recherche approfondie, enrichissement de données avec Splunk

Regrouper les évènements associés, notion de transaction
Mettre à profit plusieurs sources de données
Identifier les relations entre champs
Prédire des valeurs futures
Découvrir des valeurs anormales

Atelier

Mise en pratique de recherches approfondies sur des bases de données fournies par le formateur

Devenir proactif avec les alertes

Introduction
Types d’alertes
Conditions surveillées
Actions entreprises suite à alerte avérée

Atelier

Mise en place de quelques alertes suivies d’actions correctives. Exemple : exécuter un script quand se produit l’erreur de serveur web 503, le script écrit les détails associés à l’évènement dans un fichier stocké sur le serveur.

Chaque groupe de 2 participants administre au moins un serveur Splunk collectant des données fournies ou issues de divers matériels système ou réseau (routeur et switchs Cisco) replacés dans un contexte réseau vraisemblable.
Alternance équilibrée de présentations et d’ateliers. Pendant ces ateliers, le participant est guidé au travers de documents d’accompagnement ne laissant aucune opération sous silence.