Splunk Mobile(Splunk Cloud Gateway)を使って旅先でPC開かずにアラートチェック

いつもの前置き
-----
・Splunkには色々なAppがある。
・とはいえコミュニティサポート（英語）のAppは始めるまでにちょっと敷居が高い。
・そこで私がトライした内容は後学のために共有したいと思いここに書き残します。
・ゆるい情報なので参考程度でご勘弁。

Splunk MobileがGW最中にリリースされました
-----
・利用App
Splunk Cloud Gateway
https://splunkbase.splunk.com/app/4250/

Splunk Mobile (iOS)
https://itunes.apple.com/us/app/splunk-mobile/id1420299852?mt=8

**2019/04/30のプレスリリース（[Splunk Expands Data Access with Splunk Connected Experiences and Splunk Business Flow：英語](https://www.splunk.com/en_us/newsroom/press-releases/2019/splunk-expands-data-access-with-splunk-connected-experiences-and-splunk-business-flow.html)）によると、SplunkコネクテッドエクスペリエンスとSplunkビジネスフローが発表された模様。その中の一つにこのSplunk Mobileが含まれている**


「Splunkからのアラートチェックのためにパソコン起動して、VPNつないで・・・はあ、面倒くさい。」
---
Splunkでスマートにアラート監視をしているものの、社内のSplunkにログインするまでに手間暇かかっているユーザーにとって朗報です。
モバイル(~~Android~~、iOS)上の専用アプリからSplunkのアラートチェックとダッシュボードが閲覧できるようになりました。


（2019.06.11追記） 通信イメージ
---
画像元： https://docs.splunk.com/Documentation/Mobile/1.3.0/Overview/Security
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/d0415804-da40-1d38-d3fa-7fb9d5853d91.png)

- Cloud BridgeというSplunk社が用意する中継サーバーが、mobileと Splunkインスタンスの間にはいる。
- 自社のSplunkからoutboundのhttps通信(prod.spacebridge.spl.mobi) のみ許可すればOK
- この間の通信はSSL暗号化されており、Cloud Bridge内では署名の検証のみ行い、メッセージの中身を読み取ることはないようです。（https://docs.splunk.com/Documentation/Mobile/1.3.0/Overview/Security）


早速セットアップして使ってみよう
---
###Splunkサーバにて
まずはapp（Splunk Cloud Gateway）をインストール
<img width="1595" alt="スクリーンショット 2019-05-03 16.56.34.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/26658812-142a-c0d2-aaf0-81772e13e831.png">

まずは設定にて、Splunk Mobileの機能を有効化
<img width="659" alt="スクリーンショット 2019-05-03 20.53.01.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/c9f7e94a-d91f-7e40-0894-a82b5e883afa.png">


###モバイルにて
App Store(iOS)にて、**Splunk Mobile**をインストールし、アプリを起動

Register Codeをメモ
<img width="414" alt="Activation Code: 53UN-YL-E5HU.jpeg" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/3a703f87-9b83-61ae-c3f0-c1afc761d66f.jpeg">

###再び、Splunkにて
Register Codeを入力し、任意のデバイス名を記載してRegister
<img width="605" alt="スクリーンショット 2019-05-03 20.42.23.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/f414612e-a5b2-7169-b27a-75b3723cc77f.png">

SplunkサーバのログインID/Passを入力しContinue
<img width="872" alt="スクリーンショット 2019-05-03 7.43.45.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/a912ec0f-b057-4a53-5849-b61ef2a3beb2.png">

登録完了
<img width="882" alt="スクリーンショット 2019-05-03 7.45.25.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/da169876-7ccd-027b-c52b-abc4f26fbe7c.png">

###再び、モバイルにて
Registerが完了した模様
<img width="414" alt="IMG_2804.PNG" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/c30aee58-7640-c9f3-d30a-0dd2bc7db3d5.png">


###アラートアクションの設定
任意のアラートのアクションを設定する際に、「Send to mobile」を設定
<img width="960" alt="スクリーンショット 2019-05-03 16.51.25.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/2c6d816e-7355-60df-6c3c-f5845cf1588a.png">

###アラート発生、その時、モバイルでは？
来ました。アラートメッセージ
<img width="414" alt="IMG_2809.jpg" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/c8065c6e-ef89-2559-c28a-2fd1d317ee70.jpeg">

アラートを開くと、任意のダッシュボードも開けます。これで見たいダッシュボードをセットすればPC開かずに初動対応ができそう。
<img width="414" alt="IMG_2810.jpg" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/0dc7b49a-d900-3cb0-acd6-0a6d39b7c491.jpeg">

###(2019/05/06追記)なんかmobileからSplunkサーバへの疎通がうまくいかなくなった。そんなときは。
app内のダッシュボードをチェックしてconnectivityを確認してみよう。基本的にgreenのメッセージであればOK。Redになっていたら要チェック。
<img width="1653" alt="スクリーンショット 2019-05-06 12.53.42.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/e026a1b5-60cf-00d3-442a-04783ce30d11.png">



まとめ
---
- ダッシュボードにはtokenもセットできるので、特定のIPやホスト名をプルダウンで選択して調査もできる
- 従来のslack通知連携やメール通知とあわせて、モバイル通知は出先のチェックには有効かも
- １つのモバイルから複数のSplunk Cloud Gateway Appを登録できない模様。代表となるSH１台を登録する必要がありそう。


おまけ（LanScope Cat AppをSplunk Mobile上で見てみた）
---
「転職サイトよく見とるやつがいるなー」
「よし、「taro*」でフィルタかけて見てみよう」
<img width="414" alt="IMG_2814.JPG" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/c3758d27-4ad6-a43d-2798-333d0667749a.jpeg">

「Taroさんの操作ログを調査してみよう」
<img width="414" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/2555b84b-f801-305a-f117-da1a1a8eeb33.png">

「がっつりUSBにデータ書き込んでるなー。。」
<img width="414" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/185759/97a802d2-21c7-4e52-5662-fa6980c6d81c.png">