Splunk для Solaris - мечта сисадмина

Установка довольна проста, если у вас Solaris x86, качаем wget'om c www.splunk.com пакет splunk-2.2.3-18173-solaris-10-intel.pkg.Z (для sparc релиз тоже есть), устанавливаем и запускаем:

# uncompress splunk-2.2.3-18173-solaris-10-intel.pkg.Z
# pkgadd -d splunk-2.2.3-18173-solaris-10-intel.pkg
# /opt/splunk/bin/splunk start

Можно конечно создать и smf-службу, как - читайте пример здесь.
После чего заходим броузером на localhost:8000 и начинаем знакомиться с поисковой системой.
Для начала заходим в администраторский раздел, выбираем "Data inputs", затем "add input" для "Files & Directories". В поле "Full path on server" прописываем, скажем, "/var/log". Жмем "Add". Я на своей машине, например первым делом прописал директории /var/log, /var/adm и /var/svc/log. Если у вас сервер, смотрите сами, в каких директориях вы хотели бы, чтобы splunk искал информацию. Splunk произведет индексацию, после чего можно уже в строке поиска и набрать что-нибудь:





Как видите, splunk умеет выводить и красивый график по времени появления в логах искомой информации.
Вообще, запросы в splunk можно задавать довольно сложные, используя boolean-овские AND, OR, NOT, маски и так далее. Система может просеивать данные из самых разных источников, включая лог-файлы, FiFO, udp/tcp порты, определяемые пользователем скрипты. На знакомство и изучение этой замечательной системы может уйти немало времени, но после этого вы уже не сможете без нее обойтись!