Splunk 日誌管理

有別於傳統作法，直接針對資料源建立索引、提供搜尋

受到日誌管理業界矚目的Splunk解決方案，主要因為splunk可以達到即時與歷史資料的搜尋與分析，而且資料整合運用範圍以機器資料(Machine Data) 為主——除了能夠針對伺服器平台(system log)、網路設備(network log) 等事件記錄，還能同時支援各種格式的資料，包含系統、應用程式與網路設備的日誌記錄。

Splunk 和一般日誌管理產品有顯著不同, 特點如下：

●具有高可擴充性的平行運算架構

Splunk支援大量分散式建置，以達到橫向擴充的效果。

為了能夠擷取、分析大量資料集（dataset），它也加入MapReduce 平行處理的方法，將所capture 的資料能夠透過平行處理的MapReduce模式，改善了搜尋的執行效能。Splunk 多層次架構包含 Foreworder Indexer 及 search head 三種元件。Forewarder 負責收集各式設備的來源資料傳送給 indexer，而 indexer 收到資料後即時產生index 索引以便利執行接下來Search head 所要求的Search 需求。