Devoでログ検索を最大限に活用する！効果的な分析＆監視のベストプラクティス

Devoのログ検索を「より実践的」に使いこなすには？ただ検索するだけでなく、検索結果をどう活用するかがポイントです。本記事では、 Node Tree、アラート、可視化などの機能を駆使し、Devoを最大限活用する方法をご紹介します。

前回の記事では、Devoを使ったログ検索の方法について解説しました。今回は、その続編として、検索結果をより効果的に活用するベストプラクティスをご紹介します。ログを迅速に抽出した後、それをどのように活用することで業務効率化やセキュリティ向上につなげられるのかを具体的に幾つか見ていきます。

1. Node Treeでデータを分岐し、比較・分析を簡単に！

Node Treeを使えば、検索結果を条件ごとに分類し、異常と正常を簡単に比較できます。例えば、エラーコードやユーザー別にグループ化すれば、トラブルの根本原因を素早く特定できます。

– 正常時と異常時のログを比較
例えば、正常時のアクセスログと異常時のアクセスログを並べて比較することで、異常発生の原因や兆候を特定しやすくなります。
– 複数の条件でログをグループ化
エラーコード別、ユーザー別、サービス別など、さまざまな軸でログを整理し、詳細な分析が可能になります。

メリット
視覚的にデータを整理 → 正常・異常ログを並べるだけで、問題の発生パターンを特定しやすい
異常を素早く発見 → 直感的な比較により、トラブルシューティングを迅速化

ユーザーごとにログを分岐し比較する事で早急な問題解決をサポートします

2. 必要なログを抽出後にアラートを作成

検索結果を一時的な分析だけでなく、継続的な監視に活用するために、 Devoのアラート機能を活用できます。

– 異常検知アラート
例えば、「HTTP 502エラーが一定回数を超えた場合に通知する」などのルールを設定することで、問題の早期検知が可能になります。

– 不審なアクセスの検知
特定のIPアドレスやリクエストパターンを監視し、異常が発生した際にメールやSlack通知を送ることで、迅速な対応が可能になります。

メリット
リアルタイムで異常を検知 → 迅速な対応が可能になり、障害対応の時間を短縮
ログ監視の自動化 → 手動の監視作業を減らし、運用の負担を軽減

アラートを設定するには、検索画面で条件を指定した後、画面上部の「マーク」をクリックし、 Priorityやアラートを発報する条件（1時間に何回等）を設定するだけです。

3. フィールドをカスタマイズしてデータを可視化

Devoでは、検索結果のフィールドをカスタム作成することで、より高度なデータ分析が可能になります。

– Standard
例えば、アクセス元のSource IPアドレスから国名を割り当て、国ごとにトラフィックを分類することで、特定の国からの異常なトラフィックを可視化できます。Devoには、その他にも新しいフィールドを作成するための定義済みの標準操作が用意されています
– Lookups
データテーブル内の値をルックアップテーブル内の対応する値と関連付けることで、生のデータテーブル内の情報を補強するために使用されます。例えば、IPアドレスとその地理的住所を含むルックアップテーブルを使用すると、クエリ実行時にIPアドレスを含むデータテーブルに地理的住所を追加できます。

メリット
データの整理・分類が容易 → より詳細なログ分析が可能
ダッシュボードでリアルタイム監視 → 運用状況を一目で把握