SolitonNKがいよいよSolitonNK version 4.0.2にバージョンアップされて、大きく変化しました。アプライアンス版に加えてコンテナ版の提供が始まるなど、いくつものトピックスがありますが、技術者向けの本記事では、新たな機能である「キット」の中から「IPFIXキット」に焦点を当てて紹介します。
SolitonNK の「キット」って？
まず、「キット」とはどんなものかという説明が要りそうです。
キットは、SolitonNKの特定の運用に便利な関連アイテム(ダッシュボード、クエリー、スケジュール検索、自動抽出器)を束ねたツール集です。例えば、Netflowデータを分析するためのツールなどがキットとしてまとめられて公式サイトから提供されますし、必要があれば自家醸造装置監視用の便利ツールもユーザがまとめてキット化することもできます。キットとしてまとめられたものは、どのSolitonNKへもごく簡単にインストールすることができ、可搬性があります。（検証できていませんが、gravwellから出されている「KIT」もSolitonNKに導入可能だと思われます）
現在、「IPFIXキット」「Zeekキット」がリリースされており、今後も続々とSolitonNK オリジナルのキットが追加される予定になっています。「IPFIXキット」を使うと、IPFIXトラフィック解析も次の図ように簡単に可視化できるようになります。今回の記事では、「IPFIXキット」の導入方法を紹介します。
IPFIXのインジェスト設定
IPFIXキットを導入する前には、NetFlowインジェスターを設定して、SolitonNKにIPFIXのデータがインデックスされるようにしておかねばなりません。NetFlowインジェスターの設定方法はこちらの記事を参照してください。
SolitonNKへのIPFIXキット（日本語版）の導入
新しいSolitonNKでは、メインメニューの「キット」を選択し、キットのページでキットを運用・管理できます。
キットをインストールするには、キットのページの右上隅にある「キットの管理」ボタンをクリックして、キット管理モードに入ります。初めてキットをインストールする場合、ウェブページは自動的に「使用可能なキット」タブに移動します。（キットを１つ以上インストールした後には、「キットの管理」に入ると、現在インストールされているキットの一覧が表示されます。２つ目以降のキットのインストールするには、画面上部の「使用可能なキット」タブをクリックして、インストールするキットの選択画面に入ってください。）
IPFIXキットのデプロイは、「キットの管理」ページの「使用可能なキット」タブ画面からIPFIXキットをタップし、右上の「デプロイ」ボタンをクリックします。
キットの内容説明が表示されますので、このキットのデプロイによって、何がもたらされるのか確認しましょう。「このキットの内容を確認し、デプロイによるリスクを理解しました。」のチェック欄に印を入れて「次へ＞」ボタンで進みます。
２番目に示されるのは、キットに含まれるモジュール類のライセンスです。IPFIXキットには、IPアドレスと地理的位置の関係づけるデータベースである、MaxMind社のGeoLite2のライセンスが示されますので、これを読んだ上で、「ライセンスの内容を確認し、その条件に合意します。」のチェック欄に印を入れて「次へ＞」ボタンで進みます。
３番目に示されるのはキットに必要なマクロ設定です。IPFIXキットの場合は、タグに関するオプション設定ができますが、ここはデフォルトのまま「次へ＞」ボタンで進みます。
最後に、デプロイ時のオプションが示されます。ここではデフォルトのまま「デプロイ」ボタンで進みます。
「デプロイ」ボタンを押して画面が切り替わったあと、暫く待つと画面右下に「キットIPFIXインストール済」と表示されます。
IPFIXキットを使い方
画面右上の「アセットを閲覧」ボタンを押すと、IPFIXキットを導入したことによって、どのような機能が使えるようになったのかの一覧が表示されます。
例えば、検索文の一覧から、「ASNトラフィックの指向性グラフ」を選び、虫メガネアイコンの検索実行ボタンから「今日」のデータを選ぶと、
tag=ipfix ipfix src as Src dst as Dst bytes as Bytes | geoip -r asn_db Src.ASNOrg as SrcASNOrg Dst.ASNOrg as DstASNOrg | stats sum(Bytes) by SrcASNOrg DstASNOrg | fdg -v sum SrcASNOrg DstASNOrg
が実行されて、ASN間のトラフィックの指向性グラフが表示されます（この図例は「NetFlowインジェスターの導入」の記事で示したサンプルデータを用いています）。
もっともお手軽に、キットの機能の恩恵を大きく享受できるのは、ダッシュボードです。ダッシュボードの一覧から「IPFIXトラフィック概要」を選んでみましょう。
すると最初に示したIPFIXのトラフィック解析のサマリが表示できます。
レファレンス
Soliton NKを試したい人はの下の Soliton NK カスタマーコミュニティに登録の上、コミュニティページから申し込み下さい。
Soliton NK について、今後記事を追加していく予定です。