みなさん、こんにちは。

これまで「はじめてのSplunk」と題してSplunkの基本的な使い方についてお伝えさせていただきました。
※過去の記事についてはこちらでご紹介しております！

本記事では、Splunkをより活用するにあたりとても重要なポイントになる「CIM(Common Information Model)」についてご紹介したいと思います。

CIMとは？

CIMを利用するメリット

ログはデータソースによりフォーマットや形式が異なります。

例えば異なるデータソースAとデータソースBがあり、AもBも「送信元IPアドレス」の情報を含んでいるとします。
このとき、データソースAはIPアドレスを"src_ip"というフォーマットで定義、データソースBは"client_ip"で定義している場合、フィールドの名前が異なってしまいデータサーチに手間がかかるケースがあります。

こういったときに便利なのがCIMです。

CIMのデータ定義により、簡単かつ効率よくデータサーチを行うことができ、異なる製品（＝データソースA/B）のログデータの相関検索も可能になります。
Splunkは「テキストデータ」で「タイムスタンプがついている」データであればどんな形式のログも取り込むことができそのログを正規化することに強みを持つ製品なので、取り込んだデータを共通化し相関的に分析できるようにしてくれるCIMは、Splunkを使ったデータ活用に欠かせないものといっても過言ではありません！

CIMってどうやって使うの？

"CIM"と言われてもなかなかイメージしづらいかと思いますので、もう少し詳しくご紹介したいと思います。

CIM自体はSplunkBaseにてSplunk社から無償提供されています。

このCIMをSplunkにインストールすることで「CIMにより定義されたデータモデル」が利用できるようになります。
（上部のスクリーンショット右側がCIMによりインストールされたデータモデルの一部です！）
CIMには予め25個のデータモデルが定義されており、「NetworkTraffic」や「Email」「Authentication」などのデータのカテゴリ別に用意されています。
※メーカーからCIMに関する情報や25個のデータモデル定義についての詳細なドキュメントも公開されておりますのでこちらもぜひご参照ください。　

CIMの全体像

このようにCIMはデータモデルの集合体のようなイメージです。
そしてその中に25個のデータモデルが存在し、データモデルにはデータの大分類とCIM向けに定義されているフィールドのまとまりがあります。

CIMとAdd-onの関係

まとめ

本記事ではCIMの全体像やデータモデルの関係性などについて触れながらご紹介させていただきました。
CIMはなかなか理解するのが難しい概念なので、少しでもみなさまに役立つ情報となっていれば幸いです。

最後までお読みくださりありがとうございました。