干货分享 | Splunk—让数据引领行动

由于Splunk的数据存储方式不是传统的结构化数据库，而是文件系统，所以无需对数据做转换清洗，加上强大的数据处理和计算能力，使得Splunk能够以实时的速度采集数据并展现。

国内银行 利用Splunk实时监控应用性能指标以及业务指标（包括交易量、响应时间、成功率、返回码、交易类别、交易渠道等等），同时使用历史数据建立基线分析变化趋势，可快速响应应用系统故障和数据分析需求。

Splunk不限制用户的使用场景，同一份数据可以在多个场景之间复用，从而最大化Splunk的平台价值。

国内交易所 利用Splunk一套平台，同时实现了CMDB、全场 景分析、跨岗位数据关联分析、交易系统性能分析以及DevOps监控等使用场景，将Splunk作为企业的数据中台， 利用同一份数据开发出了多个Use Case，让机器数据发挥了它最大的价值。

Splunk不需要在数据接入前固定数据字段，模型的建立是在查询的那一刻发生的，由此赋予了对数据灵活使用以及将不同数据源关联分析的能力 。

囯内外资汽车制造商 利用Splunk建立了安全运营中心（SOC），实现系统常态化运营，通过集中管理各种安全设备日志、应用日志规范事件告警和分析，全面展现安全运营状态。利用Splunk读时建模的特性，他们可以很轻松的将不同数据源的日志做标准化模型映射，进而通过关联规则从海量数据中发现高级威胁。

简单易用（Agile Reporting & Analytics）

Splunk的SPL（Search Processor Language）是一种具有自然语义的数据查询、分析语言，它的功能类似SQL但比SQL更加简单，可以很轻松的实现数据 的统计、排序、对比等功能。

全球最大直销企业 开始于国内试水通过直播进行产品推销， 业务部门想了解观看直播的观众分类属性，比如：来源是 APP还是微信？有没有进行分享？有没有观众是通过分享加入观看活动？观看者是美容顾问还是消费者？美容顾问有在利用转发或是分享来挖掘新客户吗？IT部门按照业务需求在Splunk上只花了三个小时就创建好了监控页面，很好的回答了业务的问题。

灵活扩展（Scales from Desktop to Enterprise）

通过配置Splunk集群，可以将Splunk从桌面级实例扩展到企业级实例，从而 支持处理更大的数据量，目前Splunk客户中最大的日增长数据量是4PB/day 。

囯内领先电信设备制造商 的数据中心有上百种不同的技术和设备，它们分层交织在一起，其中的机器数据体量巨大、增长迅速并且具有高度多变性和多样性 Splunk强大的架构横向扩展能力帮助客户将近10TB的数据实 时接入分析，从一个中央界面获得虚拟化、私有云和基础设施端到端的运维可见性。

您不需要考虑平台如何搭建，性能如何调优，解析规则如何配置等问题，您可以在1分钟内完成Splunk的安装部署，数据无需配置解析规则即可 接入Splunk，简单易用的SPL能够帮助你快速从数据中获得价值。

囯内保险企业 使用Splunk作为应用日志分析平台，实现寿险、团险、银保通等核心应用系统的日志收集和监控，将各个节点 的日志相互关联，串成业务流，消除了数据孤岛。这些数据分 析能力有效帮助运维人员排查和追踪问题并及时响应他们需求，在开门红等重大活动中快速生成业务分析报表，支撑了业务的高速发展。

AI/机器学习（AI / Machine Learning）

机器学习能够实现动态异常告警、预测分析以及告警归类等高级分析功能， Splunk实现机器学习的方式有两种，一种是封装在高级解决方案App中的，另 一种是利用Machine Learning Tool Kit（MLTK）自定义的机器学习 。

自从部署Splunk进行实时监控以来，国内线上支付平台供应商 可以快速跟踪系统异常，利用机器学习，实现了告警自动消噪，在1~2秒内轻松检测出交易延迟、系统挂起或支付转 账失败等问题，这种主动的系统监控使他们能够有效发现系 统故障的根因，成功率超过98%，保障了服务的“永远在线”。

内容更新（Content Update）

Splunk会定期更新内置的安全关联规则，这些更新的关联规则是根据真实发 生的入侵事件编写，从而让用户持续获得最新的安全分析能力。

囯内主要互联网企业 内部安全团队原来使用ELK作为安全事件分析平台，但ELK并没有内置的关联规则，这使得安全团队得依靠自己的经验和知识积累在开源平台上开发和优化关 联规则，但随着团队核心骨干的离职，这套平台和规则变得 无以为继，于是他们选择Splunk做为安全分析中枢，开箱即用和持续更新的内容使整个团队可以集中精力分析安全事件， 而无需花太多时间在规则的编写和维护。

Splunk生态系统包括 Splunkbase（应用商店），Splunk Answer（问答社区）以及 Splunk Dev（开发者社区），Splunk base中包含超过3000个可以直接安装在Splunk Enterprise上的App，其中大部分App是由第三方厂商开发维护。70%的Splunk使用问题都可以从Splunk Answer中找到答案。开发者可以从Splunk Dev中找到Splunk的接口信息以及文档。