스플렁크 튜토리얼 4부 / splunk tutorial chapter 4 / 보고서(report) 생성

스플렁크 튜토리얼 4부 진행해 보겠습니다.!

Table of Contents

보고서 / Report

내가 분석한 내용을 빠르게 살펴 볼 수 있게 검색을 보고서로 저장해 보겠습니다.
splunk web -> 앱 -> search & reporting -> 쿼리 검색

index=tutorial source="*access*" status=200 action=purchase      [ search index=tutorial source="*access*" status=200 action=purchase      | top clientip limit=1      | table clientip ]  | stats count as "Total Purchased", distinct_count(product_name) as "Total Products", values(product_name) as "Product Names" by clientip | rename clientip as "VIP Customer"

이 검색은 기존에 했던 “가장 자주 쇼핑하는 고객을 찾아, 그 고객이 무엇을 구매했는지 알아보기” 쿼리에서 productId를 자동 룩업으로 생성한 product_name으로 변경한 쿼리입니다.

검색 -> 다른 이름으로 저장 -> 보고서 -> 저장 -> 보기

검색이 저장된 것을 확인할 수 있습니다. 검색을 저장해서 데이터를 빠르게 확인 할 수 있습니다.

내가 생성한 보고서는 앱 search & reporting -> 보고서 -> 검색 에서 확인할 수 있습니다. 종종 커스텀 앱에서는 보고서 메뉴가 없기 때문에 search & reporting에서 확인할 수 있다는걸 기억해 두시면 좋습니다.

튜토리얼 3부에서 룩업을 저장하면서 권한을 설정했습니다. 그 때 모든 지식 객체(knowledge objects)에 권한을 설정한다는 이야기를 했습니다. 보고서 또한 마찬가지입니다.

권한 편집에서 공유하고 싶은 앱과 역할을 선택해 줍니다. 만약 내가 아직 권한에 대해서 잘 모르겠다 하시면 아래처럼 설정해서 사용하시는 걸 추천드립니다.

표시, 앱 : 모든 앱
역할
- 읽기 – 모두
- 쓰기 – admin

물로 내가 특정 역할에 속할 경우에는 해당 역할을 눌러주시면 됩니다. 위처럼 권한을 설정하면 생성한 리포트를 모든 사람들과 모든 앱에서 공유해서 읽을 수 있고 admin 권한을 가진 사람이 수정할 수 있게 됩니다.

이렇게 검색을 저장해서 빠르게 확인할 수 있습니다.

기본 차트 생성 / Create a basic chart

보고서를 차트(그래프)로 만들어 저장할 수 있습니다. 쿼리 결과를 transforms command로 만들면 시각화를 할 수 있습니다. (splunk에는 몇 가지 command type이 있습니다.)

이 예제는 제품 별로 고객의 행동에 대해서 비교해 봅니다.

Views : 각 제품이 조회된 횟수
Adds To Cart : 각 제품이 장바구니에 추가되는 횟수
Purchases : 각 상품 구매 횟수

splunk web -> 앱 -> search & reporting -> 쿼리 검색

index=tutorial sourcetype="access_*"  | chart count AS views count(eval(action="addtocart")) AS addtocart count(eval(action="purchase")) AS purchases by product_name | rename productName AS "Product Name", views AS "Views", addtocart AS "Adds to Cart", purchases AS "Purchases"

시간 – 전체 기간
(쿼리 정렬 : ctrl + \)

검색 -> 시각화

각 제품 별로 조회수, 장바구니에 추가한 수, 구매한 수를 확인할 수 있는 차트를 볼 수 있습니다.

오버레이 차트 생성 / Create an overlay chart

이번 예시에서는 위 그래프 내용에서 구매 전환 비율을 추가해서 차트를 만들어 보겠습니다. 하나의 차트에서 두 가지 주제를 표현합니다.

주제 1

Views : 각 제품이 조회된 횟수
Adds To Cart : 각 제품이 장바구니에 추가되는 횟수
Purchases : 각 상품 구매 횟수

주제 2

viewsToPurchases : 조회수에서 구매로 전환되는 비율
cartToPurchases : 장바구니에서 구매로 전환되는 비율

하나의 차트에 만들기 때문에 하나의 쿼리문에 모든 결과를 포함하고 있어야 합니다.
splunk web -> 앱 -> search & reporting -> 쿼리 검색

index=tutorial sourcetype="access_*"  | stats count AS views count(eval(action="addtocart")) AS addtocart count(eval(action="purchase")) AS purchases by product_name | eval viewsToPurchases=(purchases/views)*100  | eval cartToPurchases=(purchases/addtocart)*100  | table productName views addtocart purchases viewsToPurchases cartToPurchases  | rename productName AS "Product Name", views AS "Views", addtocart as "Adds To Cart", purchases AS "Purchases"

시간 – 전체 기간
(쿼리 정렬 : ctrl + \)

검색 -> 시각화