Newsgroup: it.comp.os.linux.sys
Titolo: Log analysis

Qualcuno ha esperienza nell'uso di prodotti tipo Splunk?
Il fatto e', i manager vogliono introdurre "uno strumento tipo Splunk" 
(testuale) cosi' possono avere tante belle finestrelle colorate con grafici 
e quant'altro, e quindi "qualcuno" deve installare "qualcosa" cosi' loro 
possono giocarci. Ho seri dubbi che si rendano conto di cosa stanno 
parlando, ma ad ogni modo hanno visto la parola "Splunk" in qualche rivista 
o sito, e quindi adesso vogliono Splunk.
Devo ammettere che sono abbastanza confuso dopo avere letto la 
documentazione.
Le mie domande sono:
- serve veramente o e' fuffa 2.0?
- qualcuno che lo usa ha qualche esperienza da raccontare?
- ci sono alternative? Cercando in rete ho trovato LogLogic e Snare, che 
pero' sono molto piu' costosi.
-- 
Cio' che si vede, e'.

 sono molto piu' costosi.
Dei colleghi stanno smanacciando con OSSIM e dicono che sia una roba
interessante.

 - serve veramente o e' fuffa 2.0?
Come tutte le cose � utilissima se la usi ed inutile se non la usi. La 
raccolta dei log e la loro manipolazione � sempre utile se la si f� con 
cognizione di causa. Questo significa che nel 99% dei casi � totalmente inutile.
-- 
Flavio Visentin
Ubuntu in Zulu significa "Non so usare Debian". (cit. CtRiX)

 Davide
Mi sembra che sia chiaro. I manager che vogliono splunk, quello e` il
suo problema. La domanda e` come lo si puo` risolvere? O forse ancor
meglio, perche' i manager vogliono splunk?
Andrea

 Per fare che? Quale e' il tuo problema?
E' questo il problema! Per fare che? 
Quelli secondo me hanno visto qualche screenshot e pensano che sia un 
qualche giochino per fare business intelligence, performance management, 
predictive minchiology o qualche altra di quelle che piacciono a loro 
(peraltro non mi stupirei se nella letteratura del venditore il prodotto 
venisse descritto proprio cosi' o in modo simile).
Io, non conoscendolo, non ho potuto fare altro che dire "leggo la 
documentazione e cerco di capire cosa fa".
Da quel (poco) che ho capito dalla documentazione e qui, invece, e' 
innanzitutto un qualcosa che richiede un sacco di configurazione prima di 
poter tirare fuori qualcosa di significativo ("significativo" per chi, e' da 
vedere), ed e' comunque piuttosto tecnico, destinato ad un uso orientato al 
troubleshooting o al limite qualche report sul traffico etc., quindi gli 
utilizzatori potenziali sono comunque tecnici.
L'ho installato comunque e ho provato l'applicazione *nix. La mia 
impressione su cio' che e' disponibile "out of the box" (da cui le mia 
considerazione sulla quantita' di configurazione da fare) e' che se si 
cercano cose troppo generiche, vengono trovate montagne di dati provenienti 
da sorgenti che nulla hanno a che vedere l'una con l'altra, e d'altro canto 
raffinare la ricerca fino ad avere un qualcosa di comprensibile richiede 
tempo e sapere interpretare cio' che viene restituito, da cui il "per 
tecnici, non per manager".
Mi sbaglio?


 Omdat ze stom zijn.
Anche se vero, non la riterrebbero probabilmente una risposta
soddisfacente.

 interessante.
Grazie, gli do un'occhiata.


 inutile.
Parole sante.


 A me pare che di default trovi "troppa" roba, e bisogna filtrare.
It's up to you. ;-)
Se tu assegni come data input di splunk solo quella FIFO, beh, puoi
già realizzare un filtraggio a priori a livello di syslog-ng
Esempio: vogliamo analizzare tutti e soli gli eventi di tipo auth con
Splunk.
filter f_auth { facility(auth); };
destination splunk {
pipe("/var/log/splunk_fifo");
};
log {
source(s_all);
filter(f_auth);
destination(splunk);
};