About CurryPan

CurryPan · ‎06-12-2017

Splunk をバージョン 6.6.x にアップグレードしたところ、ダッシュボード等にアクセスすると "Loading" と表示されてしまい、正しく内容を表示することができなくなりました。Internet Explorer (IE) ver.11 は互換モードを有効にしていますが、アップグレード前のバージョン 6.5.x では正常に動作していました。原因と回避策をご教示ください。

CurryPan · ‎04-26-2017

As of today, Splunk does not be designed for Python log rotation since to support python log rotation some design level changes are required and that cannot be done in maintenance releases. If you force to configure it, SplunkWed won't start correctly once you restart Splunk instance. Also you will see following error in web_services.log. 2017-04-04 15:56:02,928 ERROR [58e34382a0701d2955c0] root:814 - 'module' object has no attribute '10' Traceback (most recent call last): File "C:\Program Files\Splunk\Python-2.7\Lib\site-packages\splunk\appserver\mrsparkle\root.py", line 90, in <module> splunk.setupSplunkLogger(logger, LOGGING_DEFAULT_CONFIG_FILE, LOGGING_LOCAL_CONFIG_FILE, LOGGING_STANZA_NAME) File "C:\Program Files\Splunk\Python-2.7\Lib\site-packages\splunk\__init__.py", line 154, in setupSplunkLogger logging.getLogger(loggerName).setLevel(getattr(logging, level)) AttributeError: 'module' object has no attribute '10' If you need this feature, you can open a new support case as an Enhancement Request.

CurryPan · ‎04-26-2017

Splunkでは、Python ログのローテーションを設定することはサポート対象外となり、設定すると SplunkWebが正常に起動されなくなります。なお、SplunkWebが起動できなくなる問題につきましては、Splunk ver.6.5.4 にて修正されます。

CurryPan · ‎04-26-2017

下記のように log.cfg の [python] スタンザを変更し、pythonログのローテーションサイズと個数を変更しました。 [python] appender.python.maxBackupIndex = 10 appender.python.maxFileSize = 500 変更を反映するために、Splunkを再起動したところ、SplunkWebがスタートできずハングしたようになります。web_services.log を確認したところ、下記のエラーメッセージが表示されていました。 2017-04-04 15:56:02,928 ERROR [58e34382a0701d2955c0] root:814 - 'module' object has no attribute '10' Traceback (most recent call last): File "C:\Program Files\Splunk\Python-2.7\Lib\site-packages\splunk\appserver\mrsparkle\root.py", line 90, in <module> splunk.setupSplunkLogger(logger, LOGGING_DEFAULT_CONFIG_FILE, LOGGING_LOCAL_CONFIG_FILE, LOGGING_STANZA_NAME) File "C:\Program Files\Splunk\Python-2.7\Lib\site-packages\splunk\__init__.py", line 154, in setupSplunkLogger logging.getLogger(loggerName).setLevel(getattr(logging, level)) AttributeError: 'module' object has no attribute '10' pythonログのローテーション設定はできないのでしょうか。

CurryPan · ‎04-23-2017

本件、Splunk Enterprise ver.6.5.x より rename コマンドの扱いが変更された影響により、"Anomalous System Uptime" が正しく表示されなくなる製品の不具合となります。rename コマンドの詳細につきましては、下記のマニュアルをご参照ください。 http://docs.splunk.com/Documentation/Splunk/6.5.3/SearchReference/Rename#Renaming_a_field_that_does_not_exist 解決策としては、デフォルトSPLから下記のとおり rename コマンドを取り除くことで、対象のレポートが正しく表示されます。 | `assets` | join type=outer asset_id [| tstats `summariesonly` count,latest(All_Performance.OS.Uptime.uptime) as uptime,max(_time) as time from datamodel=Performance.All_Performance where nodename=All_Performance.OS.Uptime by All_Performance.dest | `drop_dm_object_name(All_Performance)` | `get_asset(dest)` | `unprepend_assets(dest)` | search (`get_category(pci)`) () | fields time uptime asset_id] | search (`get_category(pci)`) () uptime>2592000 | `uptime2string(uptime,uptime)` | `uitime(time)` | sort – uptime なお、本不具合は、ver.3.3.0 および ver.3.3.1 で報告され、ver. 3.4.0 にて修正されております。

CurryPan · ‎04-23-2017

Splunk App for PCI Compliance の "Anomalous System Uptime" レポートを表示させたところ、対象イベントが存在するにも関わらずデータが何も表示されません。解決策を教えてください。

CurryPan · ‎04-23-2017

本件、Splunk Enterprise ver.6.5.x より rename コマンドの扱いが変更された影響により、"Service Details" が正しく表示されなくなる製品の不具合となります。renameコマンドの詳細につきましては、下記のマニュアルをご参照ください。 http://docs.splunk.com/Documentation/Splunk/6.5.3/SearchReference/Rename#Renaming_a_field_that_does_not_exist 解決策としては、デフォルトSPLから下記のとおり rename コマンドを取り除くことで、対象のレポートが正しく表示されます。 | `localprocesses_tracker` | `get_interesting_processes_by_pci_domain` | `services_tracker` | `get_interesting_services_by_pci_domain` | `listeningports_tracker` | `get_interesting_ports_by_pci_domain` | `unprepend_assets(dest)` | search $asset$ $category$ $pci_domain$ $prohibited_only$ $insecure_only$ $service$ | `get_transport_dest_port` | where isnotnull(asset_id) AND asset_id!="da39a3ee5e6b4b0d3255bfef95601890afd80709" | eventstats values(process) as process,values(service) as service,values(transport_dest_port) as port,values(note) as note by asset_id | eval port=mvfilter(NOT match(port,"unknown/0")) | eval service=mvfilter(NOT match(service,"unknown")) | dedup asset_id | sort - process,service,port なお、本不具合は、ver.3.3.0 および ver.3.3.1 で報告され、ver. 3.4.0 にて修正されております。

CurryPan · ‎04-23-2017

Splunk App for PCI Compliance の "Service Details" レポートを表示させたところ、対象イベントが存在するにも関わらずデータが何も表示されません。解決策を教えてください。

CurryPan · ‎02-27-2017

本事象は、DBX-3871として報告されている既知の製品不具合です。アップグレード時にチェックポイントのファイルが大文字で作成してしまうことが原因で、DBX が DB input の情報を正しく認識できずに DB input の実行に失敗します。本不具合は、Splunk app for DB Connect バージョン 3.0.1 にて改修されます。修正パッチ提供までの Workaround としては、$SPLUNK_HOME/var/lib/splunk/modinputs/server/splunk_app_db_connect 配下のファイル名を全て大文字から小文字に変更することでエラーの出力を止めることが可能です。なお、本不具合は *nix 環境でのみ発生します。Windows 環境では問題は再現しません。

CurryPan · ‎02-27-2017

Splunk app for DB Connect をバージョン 2.4.0 からバージョン 3.0.0 へとアップグレードを行い、アップグレードは成功したように見えました。しかしながら、その後、DB input の実行を確認したところ splunk_app_db_connect_server.log に、下記のエラーメッセージが出力されており DB inputに失敗してしまいます。 2017-02-27 11:58:44.459 -0700 [QuartzScheduler_Worker-3] ERROR org.easybatch.core.job.BatchJob - Unable to open record reader com.splunk.dbx.exception.TechnicalException: java.io.FileNotFoundException: File /opt/splunk/var/lib/splunk/modinputs/server/splunk_app_db_connect/mssql_local_vm2008_table does not exist at com.splunk.dbx.server.dbinput.task.DbInputCheckpointManager.load(DbInputCheckpointManager.java:139) at com.splunk.dbx.server.dbinput.task.DbInputTask.loadCheckpoint(DbInputTask.java:88) at com.splunk.dbx.server.dbinput.recordreader.DbInputRecordReader.open(DbInputRecordReader.java:57) at org.easybatch.core.job.BatchJob.openReader(BatchJob.java:117) at org.easybatch.core.job.BatchJob.call(BatchJob.java:74) at org.easybatch.extensions.quartz.Job.execute(Job.java:59) at org.quartz.core.JobRunShell.run(JobRunShell.java:202) at org.quartz.simpl.SimpleThreadPool$WorkerThread.run(SimpleThreadPool.java:573) Caused by: java.io.FileNotFoundException: File /opt/splunk/var/lib/splunk/modinputs/server/splunk_app_db_connect/mssql_local_vm2008_table does not exist at com.splunk.dbx.server.dbinput.task.DbInputCheckpointManager.loadImpl(DbInputCheckpointManager.java:260) at com.splunk.dbx.server.dbinput.task.DbInputCheckpointManager.load(DbInputCheckpointManager.java:132) ... 7 common frames omitted 2017-02-27 11:58:44.459 -0700 [QuartzScheduler_Worker-3] INFO org.easybatch.core.job.BatchJob - Job 'MSSQL_local_VM2008_Table' finished with status: FAILED 原因と対策を教えてください。

CurryPan · ‎02-15-2017

iso-2022-jp を含む iso-2022シリーズのキャラクターセットの使用は、サポート対象外となりますのでインデックスすることはできません。なお、SPL-136289 にて将来のリリースに対する機能拡張要求が出されておりますが、その対応については未定です。

CurryPan · ‎02-15-2017

iso-2022-jp でエンコードされた電子メールを Splunk で Index しようと props.conf に下記の設定をしました。 [sample_mail] CHARSET = ISO-2022-JP その後、インデックスされたデータを確認するとその内容は文字化けしており、splunkd.log には下記のエラーが出力されていました。 01-26-2017 14:14:59.932 +0800 ERROR UTF8Processor - Unable to convert character set 'ISO-2022-JP' to UTF8, using existing content as is - data_source="/var/log/test/1487225670.xxxmail-bk.splunk.local", data_host="ben", data_sourcetype="sample_mail"<br/> 01-26-2017 14:14:59.932 +0800 ERROR UTF8Processor - Could not get character conversion specification, discarding incoming data - data_source="/var/log/test/1487225670.xxxmail-bk.splunk.local", data_host="ben", data_sourcetype="sample_mail" また、電子メールの内容が、インデックスされないデータもありました。 iso-2022-jp でエンコードされたデータをインデックスする方法をご教示ください。

CurryPan · ‎01-24-2017

Windows SplunkWeb の仕様として、UPD ポートの availability を確認するロジックが存在するため１つの UDPポートしか設定することはできません。本件は、SPL-133199 として報告されており、バージョン 6.3.10 にて修正されます。回避策としては、inputs.conf を直接修正していただくことで複数の UDP インプットの指定が可能です。

CurryPan · ‎01-24-2017

SplunkWeb にログインし、Data inputsから１つのUDP port 514 インプットを設定することはできます。しかし、追加でもう一つ UDP port 514 インプットを設定すると下記のエラーが出てしまい設定することができません。 Parameter name: UDP port 514 is not available. 確認したところ、*nix 環境では複数の UPD port 514 インプットが設定できました。Windows 環境では、SplunkWeb から複数の UDP port の設定をすることはできないのでしょうか。

CurryPan · ‎01-24-2017

There is a hard limit of 65535 imposed by PCRE2 library: There is no limit to the number of parenthesized subpatterns, but there can be no more than 65535 capturing subpatterns. (http://www.pcre.org/current/doc/html/pcre2limits.html)

CurryPan · ‎01-24-2017

Hello, the FORMAT option in transforms.conf can use $n to specify the output of each REGEX match. (https://docs.splunk.com/Documentation/Splunk/latest/Admin/Transformsconf) FORMAT = <string> (* snip *) * FORMAT for index-time extractions: * Use $n (for example $1, $2, etc) to specify the output of each REGE match. Is there a hard limit on the maximum number of attribute $n in transforms.conf?

CurryPan · ‎12-22-2016

Windows イベントログについては、Windows OSにインストールされた Indexer でインデックス処理されることを想定しているため、Linux OS にインストールされた Indexer でインデックス処理をすると一部のフィールドの内容が正しくインデックスできません。本件は、製品の不具合ではなく製品仕様です。下記の設定を $SPLUNK_HOME/etc/system/local/props.conf に追加することで、Linux OS にインストールされた Indexer でも正しくインデックスすることができます。 [source::....(?i)(evt|evtx)(.\d+)?] sourcetype = preprocess-winevt NO_BINARY_CHECK = true SHOULD_LINEMERGE = false MAX_TIMESTAMP_LOOKAHEAD=30 LINE_BREAKER = ([\r\n](?=\d{2}/\d{2}/\d{4} \d{2}:\d{2}:\d{2} [aApPmM]{2})) REPORT-MESSAGE = wel-message, wel-eq-kv, wel-col-kv

CurryPan · ‎12-22-2016

Windows OSにインストールされた Universal Forwarder から、Linux OSにインストールされた Indexer へ Windows セキュリティ・イベントログを転送しました。インデックスされたデータを検索したところ、メッセージフィールドの内容が１行目しか表示されません。全ての内容をインデックスするためにはどうしたら良いのでしょうか。

CurryPan · ‎07-25-2016

DB Connect ver. 2.2.0 では、表示可能な Index の個数が 30個と制限されており、本件は不具合ではなく、製品仕様となります。なお、DB Connect ver. 2.3.0 では、お客様の要望にお応えし、表示可能な Index の制限を取り除き無制限としております。

CurryPan · ‎07-25-2016

DB Connect ver.2.2.0 を使用して DB inputを作成する際に、Metadata の Index 項目で 30個の Index しか表示されません。本件は、不具合でしょうか。

CurryPan · ‎07-17-2016

Windows PowerShell の初期設定では、実行ポリシーが "Restricted" に設定されており ".ps1" を含むスクリプトの実行ができません。そのため、上記のエラーが返されます。下記のコマンドを使用して、一旦、実行ポリシーを変更し、証明書更新用のスクリプトを実行してください。 PS C:\Program Files\Splunk\etc\auth> Set-ExecutionPolicy RemoteSigned なお、実行ポリシーを変更することは、セキュリティ上の危険にさらされる可能性があるので、証明書の更新が終了後は、元の設定に戻していただくことをお勧めします。

CurryPan · ‎07-17-2016

Windows OS の PowerShell より証明書更新用のスクリプト s-renewcerts.ps1 を実行すると下記のようにエラーメッセージが表示されてしまい、証明書の更新をすることができません。 PS C:\Program Files\Splunk\etc\auth> s-renewcerts.ps1 -defaultCA -liveCA -serverCert 用語 's-renewcerts.ps1' は、コマンドレット、関数、スクリプトファイル、または操作可能なプログラムの名前として認識されません。名前が正しく記述されていることを確認し、パスが含まれている場合はそのパスが正しいことを確認してから、再試行してください。発生場所行:1 文字:17 + s-renewcerts.ps1 <<<< -defaultCA -liveCA -serverCert + CategoryInfo : ObjectNotFound: (s-renewcerts.ps1:String) []、CommandNotFoundException + FullyQualifiedErrorId : CommandNotFoundException s-renewcerts.ps1 を PowerShell より実行する方法をご教示ください。

CurryPan · ‎07-11-2016

JDBC ドライバーのバージョンが "ojdbc6.jar" の場合には、既知の不具合に該当している可能性があり、うまく Oracle データベースからデータが抽出ができません。(DBX-1786) 回避策としては、"ojdbc6.jar" ではなく、"ojdbc7.jar" を使用して Oracle データベースよりデータを抽出してください。

CurryPan · ‎07-11-2016

DB Connect ver.2 にて、Oracle データベース用の connection 及び input を設定したが、dbx2.log に下記のエラーが出力されしまい、データベースからデータを抽出することができません。 2016-05-18T11:27:26+0900 [CRITICAL] [ws.py], line 399: [DBInput Service] Exception encountered for entity-name = mi_input://MCORE_TSOL and type = input with error = ERROR: java.sql.SQLException: 文の処理が実行されません: getMetaData.. 2016-05-18T11:27:26+0900 [ERROR] [websocket.py], line 854: ERROR: java.sql.SQLException: 文の処理が実行されません: getMetaData. 2016-05-18T11:27:26+0900 [CRITICAL] [mi_input.py], line 57 : action=loading_input_data_failed input_mode=tail dbinput="mi_input://MCORE_TSOL" error="ERROR: java.sql.SQLException: 文の処理が実行されません: getMetaData." 2016-05-18T11:27:26+0900 [WARNING] [health_logger.py], line 149: ERROR: java.sql.SQLException: 文の処理が実行されません: getMetaData. Traceback (most recent call last): 正しく Oracle データベースからデータを抽出するには、どうしたら良いのでしょうか。

CurryPan · ‎07-11-2016

下記のように、query内で soucetype 毎に合計を算出し、統計に対して round関数を適用することで小数点第二位まで表示することができます。 <query>index=* | stats count by sourcetype | eventstats sum(count) as total | eval percent=round((count/total)*100,2) | eval sourcetype=sourcetype.", ".percent."%"</query> この場合、 <option name="charting.chart.showPercent">1</option> は sampleXML に追加する必要はありません。

Posts	84
Solutions	14
Karma Given	32
Karma Received	27
Member Since	‎12-25-2014

Online Status	Offline
Date Last Visited	‎06-05-2020 02:04 AM

Splunk IT Service Intelligence 製品のリリース日について

Splunk Enterprise Security 製品のリリース日について

Splunk DB Connect バージョン2.x とバージョン3.x の違いについて

Splunk DB Connect のSplunk Support への問い合わせについて

Premium apps について

過去のSplunk Enterprise 製品のリリース日について

diag を生成しても、デフォルトで lookup ファイルが含まれない

スタンドアローンのSHにインストールしたITSIをSHC上にマイグレーションする方法

ITSIをインストールした後、Could not find object id=dummy_coll...

"Enable summary indexing" オプションがバージョン 6.6.0で無効になる

Splunk をバージョン 6.6.x にアップグレード後、Internet Explorer ve...

Re: Enabling python log rollover in splunk

Re: python ログのローテーションの設定を変更すると SplunkWeb がハングする

python ログのローテーションの設定を変更すると SplunkWeb がハングする

Re: PCI Compliance app で "Anomalous System Uptime"...

PCI Compliance app で "Anomalous System Uptime" が正し...

Re: PCI Compliance app で "Service Details" が正しく表示さ...

PCI Compliance app で "Service Details" が正しく表示されません

Re: DBX ver.2.4.0 から ver.3.0.0 へアップグレード後に DB input...

DBX ver.2.4.0 から ver.3.0.0 へアップグレード後に DB input の実行...

Re: iso-2022-jp でエンコードされたデータがインデクスされない

iso-2022-jp でエンコードされたデータがインデクスされない

Re: Windows 環境で SplunkWeb の Data inputs から複数の UDP ...

Windows 環境で SplunkWeb の Data inputs から複数の UDP inpu...

Re: Maximum number of attribute $n in transforms.c...

Maximum number of attribute $n in transforms.conf

Re: Windows セキュリティイベントログのメッセージフィールドが１行目しか表示されない

Windows セキュリティイベントログのメッセージフィールドが１行目しか表示されない

Re: DB Connect ver.2.2.0 の DB input 画面でインデックスが30個し...

DB Connect ver.2.2.0 の DB input 画面でインデックスが30個しか表示で...

Re: Windows で s-renewcerts.ps1 をPowerShell で実行すると ...

Windows で s-renewcerts.ps1 をPowerShell で実行すると Comm...

Re: DBX ver.2 で "ERROR: java.sql.SQLException: 文の処...

DBX ver.2 で "ERROR: java.sql.SQLException: 文の処理が実行...

Re: Pie チャートで小数点第二位まで表示する方法

Are you a member of the Splunk Community?