Splunk som syslog-server

[MontBlanc]

Er det noen som har erfaring med å bruke Splunk, spesielt til syslog-server?

 

Eventuelt erfaring med noe annet til Syslog?

[sk0yern]

Splunk fungerer utmerket til dette, se f.eks http://docs.splunk.com/Documentation/Splunk/6.0/Data/SyslogUDP

Merk at du må inn med litt iptables-magic dersom du ikke kjører splunk som root, for å kunne ta i mot data på standard syslog port (514).

Når det er sagt, legg merke til at når man gjør endringer i splunk, trengs det ofte en restart. Du vil da miste syslogmeldinger i den perioden splunk er nede.

[MontBlanc]

Ja, har sett at man da mister de meldingene som kommer inn imens man rebooter, vi du da anbefale å bruke en relay-server i tillegg?

[sk0yern]

Det avhenger litt av størrelsen på miljøet ditt, og hvor kritisk det er å ikke miste meldinger.

Dersom du har mulighet ville jeg kjørt en eller flere virtuelle maskiner med en standard syslogserver. På samme maskiner kjører du en splunkforwarder som sender dataene videre til Splunk.