Logstash - bzw. der ELK-Stack - bietet eine solide Grundlage auf Basis von Open Source Lösungen, um eine zentrale Verwaltung von Logdateien jeder Art zu realisieren und den ganzheitlichen Überblick über die IT-Landschaft sicherzustellen. Der Stack besteht dabei aus ElasticSearch, Logstash und Kibana (ELK) und erlaubt hierdurch eine flexible Skalierung - sowohl in die Breite als auch in die Tiefe. In diesem Webinar wollen wir die Komponenten grundlegend aufzeigen und einige Simple Ansätze zur Integration demonstrieren. Webinare Archiv Link: https://www.netways.de/webinare/archiv/logstash_webinare/elasticstack_grundlagen_der_zentralen_logdatenverwaltung/ Aktuell: https://www.netways.de/webinare/webinare_aktuell/ NETWAYS Konferenzen: https://www.netways.de/events_schulungen/home/ Schulungen: https://www.netways.de/events_schulungen/schulungen/home/ Shop: https://shop.netways.de/ Blog: http://blog.netways.de/ Social Media YouTube: https://www.youtube.com/channel/UC8nIBEFmjzXjXeJV_hkkeIQ Facebook: https://www.facebook.com/netways Google+: https://plus.google.com/+netways/ Twitter: https://twitter.com/netways

1. www.netways.de
ElasticStack: Grundlagen der
zentralen Logdatenverwaltung
Webinar | Christian Stein, Thomas Widhalm | 15.04.2016

2. www.netways.de
• Über NETWAYS
• Überblick über den ElasticStack
• Anwendungsszenarien
• Live Demo
Agenda

3. www.netways.de
• Open Source Dienstleister
• Sitz in Nürnberg
• Aktuell 50 Mitarbeiter
• Spezialisierung in den Bereichen:
• Open Source Systems Management
• Open Source Datacenter
• Individuelle Open Source Lösungen
NETWAYS GmbH

4. www.netways.de
NETWAYS Produkte
GRAPHITE

5. www.netways.de
NETWAYS Schulungen

6. www.netways.de
Überblick über den ElasticStack

7. www.netways.de
• Event – und Logdateien in großen Mengen behandeln
• Analyse der Daten
• Anbindung an Monitoringsysteme
• Dashboards für Visualisierung und Analyse
• Weiterleitung der Daten an Drittsyteme
Ziele

8. www.netways.de
• 91.198.2.65 - - [04/Dec/2013:08:53:10 +0100] "POST /_all/_search HTTP/1.1" 200 6666 "https://logstash.demo.netways.de/"
"Mozilla/5.0 (X11; Linux x86_64; rv:25.0) Gecko/20100101 Firefox/25.0"
• 91.198.2.65 - - [04/Dec/2013:08:53:10 +0100] "POST /_all/_search HTTP/1.1" 200 492955
"https://logstash.demo.netways.de/" "Mozilla/5.0 (X11; Linux x86_64; rv:25.0) Gecko/20100101 Firefox/25.0"
• 91.198.2.65 - logstash [04/Dec/2013:08:53:10 +0100] "GET /app/partials/inspector.html HTTP/1.1" 304 245
"https://logstash.demo.netways.de/" "Mozilla/5.0 (X11; Linux x86_64; rv:25.0) Gecko/20100101 Firefox/25.0"
• 91.198.2.65 - - [04/Dec/2013:08:53:10 +0100] "POST /_all/_search HTTP/1.1" 200 17140 "https://logstash.demo.netways.de/"
"Mozilla/5.0 (X11; Linux x86_64; rv:25.0) Gecko/20100101 Firefox/25.0"
• 91.198.2.65 - - [04/Dec/2013:08:53:10 +0100] "POST /_all/_search HTTP/1.1" 200 498624
"https://logstash.demo.netways.de/" "Mozilla/5.0 (X11; Linux x86_64; rv:25.0) Gecko/20100101 Firefox/25.0"
• 91.198.2.65 - logstash [04/Dec/2013:08:53:11 +0100] "GET /app/panels/table/micropanel.html HTTP/1.1" 304 245
"https://logstash.demo.netways.de/" "Mozilla/5.0 (X11; Linux x86_64; rv:25.0) Gecko/20100101 Firefox/25.0"
• 91.198.2.65 - logstash [04/Dec/2013:08:53:11 +0100] "GET /app/panels/histogram/styleEditor.html HTTP/1.1" 304 245
"https://logstash.demo.netways.de/" "Mozilla/5.0 (X11; Linux x86_64; rv:25.0) Gecko/20100101 Firefox/25.0"
• 91.198.2.65 - logstash [04/Dec/2013:08:53:11 +0100] "GET /app/panels/table/editor.html HTTP/1.1" 304 245
"https://logstash.demo.netways.de/" "Mozilla/5.0 (X11; Linux x86_64; rv:25.0) Gecko/20100101 Firefox/25.0"
• 91.198.2.65 - logstash [04/Dec/2013:08:53:11 +0100] "GET /app/panels/histogram/queriesEditor.html HTTP/1.1" 304 245
"https://logstash.demo.netways.de/" "Mozilla/5.0 (X11; Linux x86_64; rv:25.0) Gecko/20100101 Firefox/25.0"
• 91.198.2.65 - logstash [04/Dec/2013:08:53:11 +0100] "GET /app/panels/histogram/editor.html HTTP/1.1" 304 245
"https://logstash.demo.netways.de/" "Mozilla/5.0 (X11; Linux x86_64; rv:25.0) Gecko/20100101 Firefox/25.0"
• 91.198.2.65 - logstash [04/Dec/2013:08:53:11 +0100] "GET /app/panels/table/pagination.html HTTP/1.1" 304 245
"https://logstash.demo.netways.de/" "Mozilla/5.0 (X11; Linux x86_64; rv:25.0) Gecko/20100101 Firefox/25.0"
Problemstellung (am Beispiel Logfiles)

9. www.netways.de
• Regex Magic
^([d.]+) (S+) (S+) [([w:/]+s[+-]d{4})]
"(.+?)" (d{3}) (d+) "([^"]+)" "([^"]+)"
• Pro Logformat eine eigene Regex
• Aufwendig und zeitintensiv
• Nur für technisch Versierte
• Schlecht für die Teamarbeit
Vorgehen ohne Logmanagement

10. www.netways.de
• Vorher
• 192.168.1.10 – guest [04/Dec/2013:08:54:23 +0100] "POST /icinga-web/web/api/json HTTP/1.1" 200 788 "https://icinga-
private.demo.netways.de/icinga-web/modules/web/portal" "Mozilla/5.0 (X11; Linux x86_64; rv:22.0) Gecko/20100101
Firefox/22.0"
• Nachher
• "http_clientip": "192.168.1.10",
• "http_ident": "-",
• "http_auth": "guest",
• "timestamp": "04/Dec/2013:08:54:23 +0100",
• "http_verb": "POST",
• "http_request": "/icinga-web/web/api/json",
• "http_httpversion": "1.1",
• "http_response": "200",
• "http_bytes": "788",
• "http_referrer": "https://icinga-private.demo.netways.de/icinga-web/modules/web/portal",
• "http_agent": "Mozilla/5.0 (X11; Linux x86_64; rv:22.0) Gecko/20100101 Firefox/22.0"
• Pattern
• "%{COMBINEDAPACHELOG}"
Filterung der Daten mit Logstash

11. www.netways.de
ElasticStack Architektur
Server
Switch
Webapplikation
• Input
• Output
• Key-Value
Store
• Puffer
• Input
• Filter
• Output
• Index
• Queries

12. www.netways.de
• Key-Value Store
• Einfache Installation
• Eingebaute Replikation
• Sehr schnell und stabil
• Schreibt auf die Festplatte, wenn der Speicher voll ist
• Einträge werden nach Abholung gelöscht
Redis

13. www.netways.de
• Effizientes Speichern von Daten
• Automatische Indexes
• RESTful API
• Hochverfügbar
• Clusterfähig (Nodes, Shards, Replika)
• Realtime Analyse der Daten
• Basiert auf Apache Lucene
• Empfohlener Output
Elasticsearch

14. www.netways.de
• Integration in nahezu jede Umgebungen
• Syslog
• TCP / UDP
• Lumberjack
• fertige Pattern
• Elasticsearch
• Beats
• Skalierbarkeit
• Auslagerung auf dedizierte Server
• Multiple Redis-Server
• Mehrere Logstash-Indexer möglich
• Auch Elasticsearch ist clusterfähig (Nodes, Shards, Replika)
Logstash

15. www.netways.de
• Integriert in Logstash
• Benötigt Elastic Search als Backend
• Javascript
• Alles wird vom Browser ausgeführt
• Queries direkt an Elasticsearch
• Visuelle Darstellung
Kibana Webinterface

16. www.netways.de
Anwendungsszenarien

17. www.netways.de
• Systemlogs (Problemanalyse)
• Webserver Access- und Errorlogs
• Logs der eigenen Applikation (Profiling)
• Alerts via Icinga, E-Mail, XMPP, …
• Statistiken (Graphite)
Anwendungsmöglichkeiten

18. www.netways.de
Live Demo

19. www.netways.de
Fragen und Antworten

20. www.netways.de
netways
netways
netways
www.netways.de
blog.netways.de
www.netways.org
Kontaktdaten