Splunkはサーバー・ネットワーク機器・アプリケーション・セキュリティ機器などから出力される膨大なログ（マシンデータ）をリアルタイムで取り込み・索引付け・検索・可視化する商用ログ管理プラットフォームの代表格です。2003年にカリフォルニアでMichael Baum、Rob Das、Erik Swanの3名が「データの洞窟（splunking）」をもじって創業し、2012年4月にNASDAQ上場、2024年3月にCisco Systemsが約280億ドル（過去最大級のITM&A）で買収を完了しました。セキュリティ運用（SIEM）と運用監視（ITOps）の両分野でフォーチュン100の大半が採用する、ログ分析市場の事実上の標準です。
この記事の目次
- Forwarder・Indexer・Search Headの三層
- 創業20年とCisco買収
- セキュリティとITOpsの二大用途
- Elastic・Datadog・OSSとの比較
- まとめ
Forwarder・Indexer・Search Headの三層
Splunkのアーキテクチャは「Forwarder」「Indexer」「Search Head」の三層構成です。対象サーバーに常駐するUniversal ForwarderがログをIndexerへ転送し、IndexerはSpunkの独自フォーマットで時系列インデックスを作成して保存します。ユーザーはSearch Head（Webコンソール）からSPL（Search Processing Language）と呼ばれるパイプ記法のクエリを叩き、「過去24時間で5xxエラーが急増しているURL Top10」のような問い合わせをほぼリアルタイムで取得できます。
SPLは UNIX のパイプを意識した記法で、index=web status>=500 | stats count by uri | sort -count のように検索→集計→ソートを連結します。アラート機能と組み合わせれば「Top10のうち1位が10倍に跳ねたらSlackに通知」のような閾値運用も自然に組めます。後発の柔軟性とは別軸で、巨大環境でも秒単位で結果が返るインデックス性能と、運用十数年の安定性が、企業がSplunkを手放しにくい理由となっています。
創業20年とCisco買収
Splunkは2003年、Michael Baum・Rob Das・Erik Swanがサンフランシスコで創業しました。「マシンデータの中には宝物がある」という思想を掲げ、半構造化ログを横断検索できるエンジンを商用化していきました。創業当初はオンプレライセンスが主体でしたが、データ量が増えるほどライセンス費用がかさむ価格体系が一部ユーザーから批判を浴び、後に取り込み量ベース・ワークロードベース・SVC（Splunk Virtual Compute）など複数の価格モデルへ多様化させていきます。
2012年4月にNASDAQ上場（ティッカーSPLK）し、その後Splunk Cloud Platformへの転換を進めました。2023年9月、ネットワーク機器大手のCisco Systemsが約280億ドルで買収すると発表し、2024年3月に完了。Ciscoのネットワーク基盤×Splunkのデータ分析という組み合わせで、可観測性とセキュリティの統合スイートを目指す戦略が打ち出され、シスコの2024年度業績にもSplunkが大きく寄与しました。CEOは現在Gary Steeleが務めています。
セキュリティとITOpsの二大用途
Splunkの最大ユースケースはセキュリティ運用です。Splunk Enterprise Security（ES）と呼ばれるSIEMアドオンを乗せれば、ファイアウォール・IDS／IPS・Active Directory・エンドポイントログを横断相関し、不審なログイン試行や横展開（lateral movement）を検知できます。MITRE ATT&CKフレームワークとマッピングされたコンテンツが豊富で、SOC（Security Operations Center）の標準ツールとして長年使われてきました。近年はSOARツール「Splunk SOAR」と組み合わせて、検知から自動対応までを一気通貫で行う運用が広がっています。
もう一方の柱はITOps（運用監視）で、Webサーバーやアプリログの統合分析、障害時のドリルダウン調査に活用されます。金融機関では数年間の取引ログを監査用に長期保持し、規制対応の証跡として使うパターンが定番です。「とりあえずSplunkに突っ込んでおけば、後から何でも検索できる」という安心感が現場でのデファクト感を支えており、代替を検討するときも「同じSPL資産をどう移すか」が大きな移行障壁になります。それほど深く業務に食い込んでいるツールです。
Elastic・Datadog・OSSとの比較
競合のElastic（Elasticsearch + Kibana）はOSS発で柔軟性とコスト面で支持され、特に開発組織やスタートアップでの採用が多い選択肢です。Datadog Logsは可観測性プラットフォームの一機能としてログを扱い、APM・インフラ・トレースとシームレスに連携する設計が魅力です。Sumo Logicは「Splunkの対抗SaaS」として登場し、クラウドネイティブな課金体系で差別化を図っています。Grafana Lokiは「ログをラベルだけでインデックスする」軽量設計のOSS新興勢力です。
それでもSplunkがフォーチュン100の大半に残り続けるのは、20年蓄積されたSPLクエリ資産、業界別のTechnology Add-on、SOCチームの運用ノウハウなど、「データだけでは語れない人的資産」が分厚いためです。Cisco買収後はThousandEyesやMerakiとのデータ連携が強化されており、ネットワーク機器メーカーとして圧倒的なシェアを持つCiscoの販路と組み合わせて、可観測性とセキュリティの巨大スイートを完成させようとしています。
まとめ
Splunkは2003年創業のログ分析の巨人で、SPLによる柔軟な検索とSIEMでの圧倒的実績を武器に企業のセキュリティ・運用基盤を支えてきました。2024年のCisco買収により可観測性スイートの中核へと位置付け直され、コスト面でElasticやDatadogの追い上げを受けながらも、20年積み重ねたデータ資産と運用ノウハウで業界標準としての地位を維持し続けています。
※本記事はIT用語辞典の手書きドラフトです。公開前に最新情報・出典を確認のうえ加筆修正してください。
コメント