User Guide

SPLUNK
Versi 1.0
23 Januari 2017

PT. Global Innovation Technology

Rukan Permata Senayan Blok B - 07
Kebayoran Lama, Jakarta Selatan
DKI Jakarta, 12210
Indonesia
 DAFTAR ISI

DAFTAR ISI ........................................................................................................................................................... i

1. Overview ........................................................................................................................................................ 2
1.1 Prosedure Penambahan Object (Server) ................................................................................................ 2

2. Installasi Splunk Enterprise (Search Head /Indexer) ...................................................................................... 2

2.1 Pemasangan Splunk Enterprise Windows ............................................................................................. 2

2.2 Pemasangan Splunk Enterprise Linux ................................................................................................... 5

3. Installasi Splunk Universal Forwarders (Agent) ............................................................................................ 6

3.1 Pemasangan Splunk Universal Forwarders Windows ........................................................................... 6

3.2 Pemasangan Splunk Universal Forwarders Linux .............................................................................. 10

4. Procedure Mengirimkan Data Performance ................................................................................................. 11

5. Deployment Server....................................................................................................................................... 15
A. Konfigurasi Deployment Client .......................................................................................................... 15

B. Konfigurasi Deployment Server.......................................................................................................... 15

C. Konfigurasi App(config) pada Deployment Server yang akan dikirimkan ke Deployment Client ..... 15

D. Reload Deployment Server ................................................................................................................. 20

E. Refference Data Collect (SNMP) ........................................................................................................ 20

i
1. Overview
1.1 Prosedure Penambahan Object (Server)
Berikut adalah beberapa langkah untuk menambahkan object server yang ingin di monitor:
 Download Splunk Forwarder (Sesuaikan dengan Spesifikasi).
 Install Splunk Forwarder pada target server.
 Pembukaan Port 8089 (Akses Service Splunk) inbound outbound dari target server ke
splunk enterprise (indexer) begitupun sebaliknya.
 Pembukaan Port 9997 (Akses Data) outbound dari target server ke splunk enterprise
(indexer).
 Check Firewall, pastikan tidak terkena block oleh firewall
 Install Add-on for windows / linux

2. Installasi Splunk Enterprise (Search Head /Indexer)

2.1 Pemasangan Splunk Enterprise Windows

Berikut tahap-tahap instalasi Splunk Enterprise pada target server (Windows).

1. Siapkan file installer, sesuaikan dengan versi sistem operasi yang anda miliki. Installer dapat di-
download pada situs [Link]

2
 2. Jalankan file installer yang telah di-download sebelumnya.

3. Klik Install kemudian tunggu hingga proses installasi selesai.

3
4. Untuk installasi pada server windows Splunk akan otomatis membuatkan sebuah service yang
akan menampilkan informasi status Splunk.

4
5. Status Splunk juga dapat dilihat dengan menggunakan Command, jalankan aplikasi Command
Prompt, kemudian masuk pada directory “C:\Program Files\Splunk\bin”. Jalankan perintah
“[Link] status” untuk memastikan status service Splunk telah running.

6. Jika status service Splunk telah Started/ Running, masuk ke console Splunk Search Head/ Indexer
dengan mengakses url [Link] Port> pada browser. Http Port default Splunk Search
Head/ Indexer adalah 8000.

2.2 Pemasangan Splunk Enterprise Linux

Berikut tahap-tahap instalasi Splunk Indexer pada target server Linux/Unix.

1. Siapkan file installer, sesuaikan dengan versi sistem operasi yang anda miliki. Installer dapat di-
download pada situs [Link]

2. Extract file installer yang telah di-download sebelumnya.

3. Jika proses extract berhasil, maka akan dihasilkan folder splunk.

4. Untuk menjalankan service Splunk, masuklah ke folder splunk/bin, kemudian jalankan perintah
“./splunk start”.

5
5. Setujui syarat dan ketentuan yang berlaku.

6. Kemudian tunggu hingga proses starting selesai.

7. Jalankan perintah “./splunk status” pada folder splunk/bin untuk memastikan status service
Splunk telah running.

8. Jika status service Splunk telah running, masuk ke console Splunk Search Head/ Indexer dengan
mengakses url <IP_ADDRESS>:8000 pada browser.

3. Installasi Splunk Universal Forwarders (Agent)

3.1 Pemasangan Splunk Universal Forwarders Windows

Langkah-langkah installasi Splunk forwarder pada Windows 32 Bit dan 64 Bit adalah sama, tetapi yang
membedakannya hanya file installasi yang digunakan, untuk Windows 32 bit gunakan installer Splunk
forwarder Windows 32 bit, untuk Windows 64 bit gunakan installer Splunk forwarder Windows 64 Bit.
Berikut cara yang harus dilakukan untuk melakukan pemasangan forwarder pada Windows:
1. Copy source installer (sumber file instalasi) yang sudah di unduh ke server target yang ingin di
instal forwarder, untuk cara melakukan copy dapat menggunakan Remote Dekstop Connection.

6
 Sebagai contoh remote ke target server kemudian copy file installasi splunkforwarder-6.3.2-
aaff59bb082c-x64-release ke target server.
2. Double klik pada file installer Splunk Forwarder, cek untuk menyetujui syarat dan ketentuan yang
berlaku kemudian pilih Next.

3. Kemudian akan muncul setting Deployment Server, isi kolom HOSTNAME OR IP dengan IP Indexer,
dan isi kolom portnya 8089, next.

7
4. Kemudian muncul Receving indexer, kosongkan dan kemudian next

5. Kemudian klik Install

8
6. Untuk installasi pada server windows Splunk forwarders akan otomatis membuatkan sebuah
service yang akan menampilkan informasi status Splunk.

9
3.2 Pemasangan Splunk Universal Forwarders Linux

Langkah-langkah installasi Splunk forwarder pada Linux 32 Bit dan 64 Bit, 64 Bit Amd
adalah sama, tetapi yang membedakannya hanya file installasi yang digunakan, untuk Linux
32 bit gunakan installer Splunk forwarder Linux 32 bit, untuk Linux 64 bit gunakan installer
Splunk forwarder Linux 64 Bit, sedangkan untuk Linux 64 Bit Amd gunakan installer Splunk
forwarder 64 Bit Amd.
Berikut cara yang harus dilakukan untuk melakukan pemasangan forwarder pada Linux.
1. Copy source installer (sumber file instalasi) ke server target yang ingin di instal forwarder,
untuk cara melakukan copy dapat menggunakan command “scp”, sebagai contoh, “scp
splunkforwarder-6.3.2-aaff59bb082c-Linux-x86_64.tgz linux-00pr:/opt”

2. Ekstract file installasi sesuai versi Linux yang digunakan pada target server, sebagai
contoh pada Linux 64 Bit, command yang digunakan adalah,
“tar –zxvf splunkforwarder-6.3.2-aaff59bb082c-Linux-x86_64.tgz”

3. Setujui syarat dan ketentuan yang berlaku.

4. Jalankan service Splunk dengan menggunakan command,

“ ./splunk start”

10
5. Setting Splunk forwader agar otomatis jalan ketika server baru dinyalakan, command yang
digunakan adalah
“./splunk enable boot-start”

6. lakukan pengecekan akhir dengan menjalankan command “./splunk status” pastikan

tidak ada error saat proses pengecekan tersebut.

4. Procedure Mengirimkan Data Performance

Berikut adalah beberapa langkah untuk setting konfigurasi Server Linux dan Windows.

Linux:

 Download Add-on for Unix and Linux pada link URL [Link]
 Install Add-on dengan cara Extract File Add-on dibawah direktori $SPLUNK_HOME/etc/apps/.

 Buat Folder dengan nama “local” dalam direktori $SPLUNK_HOME/etc/apps/ Splunk_TA_nix/

untuk mengatur data apa yang ingin dikirimkan dari target server.
 Copy File “[Link]” dari direktori $SPLUNK_HOME/etc/apps/ Splunk_TA_nix/default/
kedalam folder “local” yang sudah di buat.
 Aktifkan data input yang ada pada direktori
$SPLUNK_HOME/etc/apps/Splunk_TA_nix/local/[Link] sesuai dengan kebutuhan dengan
cara:
1. Ubah “disabled = 1” menjadi “0” atau “disabled = true” menjadi “False”
2. Atur Interval sesuai kebutuhan (dalam satuan detik)
3. Atur Nama Index sesuai nama index yang sudah di buat pada server Splunk indexer.
4. Contoh Enable CPU, Memory, Disk, Bandwidth.

CPU

11
 Memory

Disk

Network Usage

 Buat file dengan nama “[Link]” sebagai pengturan data yang akan di kirimkan, yaitu ke
splunk Indexer. Berikut konfigurasi nya:

[tcpout]
defaultGroup = indexer

[tcpout:indexer]
server = ip_indexer:9997

 Rubah hak akses menjadi execute pada semua file berekstensi “.sh” dibawah direktori
$SPLUNK_HOME/etc/apps/Splunk_TA_nix/bin/.
 Restart Splunk Universal Forwarder dengan cara ketik command “splunk restart” pada
command line dalam direktori $SPLUNK_HOME/bin/.

Windows:
 Download Splunk Add-on for Microsoft Windows pada link URL
[Link]
 Install Add-on dengan cara Extract File Add-on dibawah direktori $SPLUNK_HOME/etc/apps/.
 Buat Folder dengan nama “local” dalam direktori $SPLUNK_HOME/etc/apps/
Splunk_TA_windows/ untuk mengatur data apa yang ingin dikirimkan dari target server.
 Copy File “[Link]” dari direktori $SPLUNK_HOME/etc/apps/
Splunk_TA_windows/default/ kedalam folder “local” yang sudah di buat.
 Aktifkan data input yang ada pada direktori $SPLUNK_HOME/etc/apps/
Splunk_TA_windows/local/[Link] sesuai dengan kebutuhan dengan cara:

12
1. Ubah “disabled = 1” menjadi “0” atau “disabled = true” menjadi “False”
2. Atur Interval sesuai kebutuhan.
3. Atur Nama Index sesuai nama index yang sudah di buat pada server Splunk indexer.
4. Contoh Enable CPU, Memory, Disk, Bandwidth.

CPU

Memory

13
 Disk

Network Usage

 Buat file dengan nama “[Link]” sebagai pengturan data yang akan di kirimkan, yaitu ke
splunk Indexer. Berikut konfigurasi nya:

[tcpout]
defaultGroup = indexer

[tcpout:indexer]
server = ip_indexer:9997

 Restart Splunk Universal Forwarder dengan cara ketik command “splunk restart” pada
command line dalam direktori $SPLUNK_HOME/bin/.

14
5. Deployment Server

Seluruh konfigurasi pada Deployment Server Menggunakan Splunk Command Line Interface (CLI),
yang dijalankan melalui folder $SPLUNK_FORWARDER\bin untuk Splunk Forwarder dan
$SPLUNK_HOME\bin untuk Splunk Search Head/ Indexer.
A. Konfigurasi Deployment Client
 Daftarkan setiap server yang akan dijadikan client menggunakan Command:
Windows:
[Link] set deploy-poll <deployment-server>:<mgmtPort> -auth <user>:<password>
Linux:
./splunk set deploy-poll <deployment-server>:<mgmtPort> -auth <user>:<password>
 Restart splunk service menggunakan Command:
[Link] restart

B. Konfigurasi Deployment Server

 Aktifkan fitur Deployment Server pada salah satu server yang telah diinstall Splunk Enterprise
menggunakan Command:
Windows :
[Link] enable deploy-server -auth <user>:<password>
Linux :
./splunk enable deploy-server -auth <user>:<password>

 Restart splunk service menggunakan Command:

[Link] restart

C. Konfigurasi App(config) pada Deployment Server yang akan dikirimkan ke Deployment

Client
 Buatlah sebuah app (config) pada folder $SPLUNK_HOME\etc\deployment-apps, yang
menyimpan konfigurasi data yang akan dimonitor, dengan struktur sebagai berikut:

15
 app_monitor

local

[Link] [Link]

16
Isi file [Link]
[monitor://lokasi_file_yang_ingin_dimonitor]
sourcetype = [nama sourcetype]
index = [index penyipanan data]

contoh;
[monitor://C:\log\www1\[Link]]
sourcetype = access_combined
index = index_baru

Isi file [Link]

[tcpout]
defaultGroup = [nama group]

[tcpout:nama_group]
server = [IP Indexer]:[port receiving]

contoh:
[tcpout]
defaultGroup = splunkindexer_9997

[tcpout:splunkindexer_9997]
server = [Link]:9997

17
 Pastikan app sudah berhasil tersimpan, pada halaman utama Deployment Server klik “Settings
- Forwarder management”

 Klik tab Apps, pastikan app yang dibuat sudah terdaftar.

 Klik “New Server Class” pada tab “Server Classes” untuk membuat classes yang berisi
Deployment Client mana saja yang akan menerima app yang berisi konfigurasi.

18
 Kemudian klik “Add Apps” untuk menambahkan app yang telah dibuat.

 Klik “Add Clients” untuk menambahkan client yang akan menerima app, masukan IP/
Hostname client pada kolom Include, kemudian klik “Save”.

19
  Tunggu beberapa saat hingga app berhasil di-Download oleh client. Kemudian pastikan data
telah berhasil diterima oleh Splunk Indexer.

D. Reload Deployment Server

Reload Deployment Server adalah perintah command yang berguna untuk mengepush
kembali konfigurasi yang sudah dirubah, diedit, ditambahkan, atau di hapus pada app yang ada
app pada setiap classnnya. Seluruh konfigurasi pada Deployment Server Menggunakan Splunk
Command Line Interface (CLI), yang dijalankan melalui folder $SPLUNK_FORWARDER\bin untuk
Splunk Forwarder dan $SPLUNK_HOME\bin untuk Splunk Search Head/ Indexer.

Command Reload Deploy Server sebagai berikut:

Windows:
[Link] reload deploy-server “Nama Class Deployment Server”

Linux:
./Splunk reload deploy-server “Nama Class Deployment Server”

E. Refference Data Collect (SNMP)

1. Kita sudah memasang SNMP-Modular inputs, untuk menggunakannya dapat melihat
reference link seperti berikut :
[Link]

2. Apabila sudah membuat satu Inputs, pastikan cek manual dengan net-snmp yang sudah
di install di server splunk, untuk command SNMP, dapat di lihat di link berikut:
[Link]

20
3. Apabila ingin menggunakan custom Script, Refference yang kita buat adalah seperti
berikut:
 Buat folder dengan nama “snmp_get”
 Buat 2 folder didalam “snmp_get” dengan nama “local” dan “bin”
 Buat Script [Link] dan list_bandwidth.txt dan simpan pada folder
“bin”.
NOTE: apabila sudah menemukan oid dari setiap value (bytes in, bytes out, info)
maka menggunakan snmpget, dan buat script menjadi rangkap 3 ex:
snmpbandwidth_bytes_in.sh, etc. Custom script ini default untuk mengambil root
mib interface jadi hanya satu script.

[Link]

#!/bin/sh
path=/appdata/splunk/etc/apps/snmp_get/bin/
while read p; do
<snmpwalk/snmpget> -v 2c -c <community> -m ALL $p <OID> >
$path/bandwidth_result
while read line; do
echo "`date -u` hostname=$p $line"
done <$path/bandwidth
done </appdata/splunk/etc/apps/snmp_get/bin/list_bandwidth.txt

list_bandwidth.txt

[Link]
[Link]
<Ip_address_lainnya>

 Buat file [Link] dan disimpan pada folder “local”

[script://./bin/[Link]]
index = snmp
sourcetype = bandwidth
interval = 60
disabled = 0

 Taro apps “snmp_get” yang sudah dibuat dalam folder “$SPLUNK_HOME/etc/apps/”

 Kemudian restart server splunk.

21
1