최신이야기 | 브레인즈컴퍼니

주메뉴 바로가기 본문 바로가기

메인 페이지로 이동
블로그
최신이야기

블로그

최신이야기

기술이야기 Filebeat vs Logstash, 대규모 로그 수집 환경에서 더 적합한 선택은?! 기술이야기 Filebeat vs Logstash, 대규모 로그 수집 환경에서 더 적합한 선택은?! 대규모 시스템에서 로그는 단순한 기록이 아니라, 장애 진단과 보안 분석, 운영 자동화를 위한 핵심 데이터 소스입니다. 하지만 로그 수집량이 기하급수적으로 늘어나면 기존 Logstash 기반 아키텍처는 JVM 오버헤드와 자원 점유 문제로 병목이 발생하기 쉽습니다. 이런 한계를 보완하기 위해 주목받는 것이 Filebeat입니다. 경량 Go 기반으로 설계된 Filebeat은 CPU와 메모리 부담을 최소화하고, 수집과 전송에 집중함으로써 분산 환경에서도 안정적으로 동작할 수 있습니다. 이번 글에서는 왜 Logstash 대신 Filebeat을 선택하게 되었는지, 그리고 이를 통해 어떤 운영상의 안정성과 효율성을 확보할 수 있었는지 살펴보겠습니다. 1. 왜 Logstash 대신 Filebeat를 사용하게 되었나? 통합로그관리 시스템 개발 초창기 파일 로그 수집 에이전트로 Logstash를 사용했습니다. 그러나 고객사의 폭발적인 로그 증가와 대규모 환경 요구사항에 효과적으로 대응하고 시스템의 안정성을 위해, 로그 수집 에이전트를 Filebeat로 전환하게 되었습니다. 왜? Logstash 기반 아키텍처를 바꾸었는지, 그리고 Filebeat 도입이 가져온 기술적 이점과 주요 설정은 무엇인지 자세히 살펴보겠습니다. * 수집 에이전트 교체, 무엇이 문제였고 무엇을 얻었나? 수집해야 할 로그 소스(서버, 네트워크 장비, 보안 솔루션 등)가 폭발적으로 증가하면서, 기존의 Logstash 기반 수집 아키텍처는 다음과 같은 근본적인 한계에 직면했습니다. 안정적인 SIEM 운영을 위해서는 수집 에이전트의 경량화, 안정성, 리소스 효율성 확보가 최우선 과제였으며, 그 해답으로 Filebeat를 선택하게 되었습니다. Filebeat는 Logstash의 경량화된 버전으로, 에이전트 수집 역할을 담당합니다. 즉, 로그가 생성되는 서버에 설치되어 로그 파일을 읽고 바로 OpenSearch(이전의 Elasticsearch) 또는 Kafka와 같은 목적지로 전송하는 역할을 합니다. Filebeat는 Go 언어로 개발되어 메모리 사용량이 극히 적고, CPU 부하도 거의 발생시키지 않습니다. Filebeat로 변경은 단순히 도구를 바꾼 것이 아닌, 로그 파이프라인의 효율성과 안정성을 극대화하는 전략적 선택이었습니다. 다음으로는 Logstash에서 Filebeat로 전환함으로써 얻은 주요 장점과 기술적인 이점, 그리고 Filebeat의 주요 설정에 대해 살펴보겠습니다. 2.Filebeat 전환을 통한 구체적인 이점은?! Filebeat로의 전환은 성능 개선을 넘어, 파일 수집 아키텍처를 현대적인 분산 처리 구조로 진화시켜 안정성, 유연성, 개발 효율이라는 세 가지 핵심 이점을 확보했습니다. (How Filebeat works) [1] 데이터 흐름 제어 및 안정성 Filebeat의 가장 중요한 기능 중 하나는 백프레셔(Backpressure) 메커니즘입니다. Filebeat는 데이터를 전송하는 중앙 시스템(Kafka 또는 OpenSearch Ingest Node)에 부하가 걸려 처리 속도가 느려질 경우, 스스로 로그 전송 속도를 늦춥니다. 이 지능적인 흐름 제어 덕분에 중앙 시스템의 과부하를 막고, 데이터 파이프라인이 붕괴되는 것을 방지하여 안정적인 로그 흐름을 보장합니다. [2] 유연한 운영 환경 Filebeat는 탁월한 운영 유연성을 제공합니다. 특히 filebeat.config.inputs 기능을 활용한 동적 설정 관리는 Filebeat 재시작 없이 새로운 로그 소스를 실시간으로 추가/변경할 수 있게 해 운영의 유연성을 극대화합니다. Zenius SIEM 역시 설정 편집 기능을 제공하여 이러한 운영 유연성을 확보하고 있습니다. [3] 메타데이터 사전 분류와 ECS 정규화 fields.* 기능을 이용해 수집 단계에서 로그 유형(mtype) 등을 태깅하여 중앙 시스템의 ECS(Elastic Common Schema) 기반 정규화를 위한 '분류 키' 역할을 합니다. ECS를 통해 모든 로그가 표준화되므로, 상관관계 분석 및 일관된 검색/시각화 효율이 극대화됩니다. *여기서 ECS란?* ECS는 보안 이벤트, 로그 등 모든 데이터를 공통된 필드 이름으로 정의하는 표준 스키마입니다. 서로 다른 로그 소스(예: Apache, Windows 이벤트)에서 수집된 데이터라도 ECS를 적용하면 동일한 표준 필드(source.ip, destination.port 등)를 갖게 되어 검색과 분석이 용이해집니다. 예시) cpu_pct 라는 ECS가 있다면 “cpu > 60” 검색 시 해당 ESC가 적용된 모든 로그를 찾아 로그의 수집,출처 및 내용을보여줄 수 있음 *SIEM에서의 이점 극대화* - 일관성 확보: 모든 로그가 ECS를 기반으로 표준화되므로, 분석가들은 매번 다른 필드 이름을 외울 필요 없이 표준화된 필드로 일관성 있게 검색 및 대시보드를 구축할 수 있습니다. - 분석 효율성 확보: 모든 로그가 공통 스키마를 따르기 때문에 상관관계 분석(Correlation)을 효율적으로 수행하여 보안 위협을 신속하고 정확하게 식별하는 데 큰 도움이 됩니다. 결론적으로, Filebeat의 fields.* 기능은 단순 태깅을 넘어, 데이터를 중앙에서 ECS로 효율적이고 정확하게 정규화하기 위한 SIEM 아키텍처의 필수적인 개발 포인트입니다. 다음 내용에서는 Filebeat의 구체적인 작동 방식을 정의하는 주요 설정들을 살펴보겠습니다. 3.Filebeat 주요 설정 Filebeat를 사용하기 위해서는 filebeat.yml 파일에 주요 설정을 정의해야 합니다. 이 파일에는 어떤 로그 파일을 모니터링할지, 어떤 포맷으로 데이터를 전송할지, 그리고 어떤 목적지로 보낼지에 대한 정보가 포함됩니다. [1] Filebeat 핵심 환경 설정 (Configuration) 로그 파일 수집 자체를 제외한 Filebeat의 실행 환경, 관리 유연성, 데이터 전송 메커니즘, 그리고 운영 안정성을 정의합니다. 이러한 설정은 SIEM 아키텍처의 견고함을 결정하는 핵심 요소입니다. (설정은 환경에 따라 변경 가능하며 아래는 예시로 설정한 부분을 설명 합니다.) [2] filebeat.inputs - 로그 파일 모니터링 정의 (수집) Filebeat가 어떤 로그 파일을 읽고 수집할지 정의하며, 수집된 로그에 메타데이터를 부여하는 핵심 부분입니다. 가장 일반적인 설정은 paths를 사용하여 로그 파일의 경로를 지정하는 것입니다. 위 설정은 /var/log/secure/ 파일을 읽도록 Filebeat에 지시합니다. fields를 사용하여 로그에 메타데이터를 추가할 수 있습니다. [3] Processors - 경량 데이터 가공 로그를 목적지로 전송하기 직전에 간단한 가공을 수행하여 중앙 시스템의 부하를 줄이고 필수 메타데이터를 추가할 수 있습니다. (메타데이터 추가 예시) (Drop 설정 예시, (ex)Linux audit log 수집 시 특정 경로의 로그 제외 설정) [4] Output - 데이터 전송 목적지 정의 로그 수집 및 가공을 마친 데이터를 전송할 최종 목적지를 정의합니다. 아래 예시에서는 Kafka를 목적지로 사용하여 대규모 로그 처리 및 부하 분산의 이점을 확보합니다. Filebeat의 filebeat.yml에 있는 다양한 설정 옵션들은 로그 수집의 안정성과 효율성을 결정하는 핵심적인 요소입니다. 이러한 주요 설정 기능들을 적절히 활용한다면, 대규모 환경에서도 안정적이고 효율적인 수집 체계를 성공적으로 구축할 수 있습니다. 이제 마지막으로, Zenius SIEM에서 이러한 Filebeat 설정 기능들이 실제로 어떻게 활용되었는지 살펴보겠습니다. 4. Zenius SIEM의 Filebeat 활용 (중앙 집중식 Filebeat 관리) Zenius SIEM 솔루션은 Filebeat의 기술적 장점을 실제 운영 환경에서 활용 할 수 있도록 YML 설정 편집 및 중앙 집중식 관리 기능을 제공합니다. 이는 대규모 에이전트 환경의 운영 부담을 획기적으로 줄여주며, 고객이 Filebeat의 세밀한 기술적 기능을 직접 제어하고 커스터마이징할 수 있게 합니다. - GUI 기반 YML 편집기 및 전용 설정 기능 Zenius SIEM은 운영자가 Filebeat의 설정을 세밀하게 제어하고 편리하게 관리할 수 있도록 GUI 기반 YML 편집기를 제공합니다. 운영자는 이 환경에서 Filebeat의 모든 YML 설정 (Inputs, Processors, Output 등)을 직접 수정하고 커스터마이징 할 수 있습니다. 특히 로그 수집 안정성에 필수적인 핵심 기능, 예를 들어, 멀티라인 패턴, negate, match, tail files, 동시 수집 파일 수, include lines, exclude lines은 별도의 전용 인터페이스를 통해 더욱 편리하게 설정할 수 있도록 지원하여, 복잡한 설정도 쉽게 관리할 수 있습니다. - 중앙 집중식 설정 수백 대의 서버에 설치된 Filebeat 에이전트의 설정을 관리하고 설정과 동시에 Filebeat의 동적 설정 기능 (filebeat.config.inputs 등)을 활용하여 에이전트 재시작 없이 즉시 변경 사항을 반영한다는 것입니다. 이는 서비스 중단 없이 운영 환경을 유지할 수 있게 해줍니다. - 에이전트 제어 및 상태 모니터링 분산된 로그 수집 환경을 통합적으로 관리하기 위해, Zenius SIEM은 에이전트 제어 및 상태 모니터링 기능을 제공합니다. 각 에이전트의 실행 상태 확인, 원격 재시작, 버전 관리 등의 제어 기능을 단일 시스템에서 제공하여, 운영자가 분산된 에이전트 환경을 쉽게 관리하고 장애 발생 시 신속하게 대응할 수 있도록 돕습니다. (수집 상태 모니터링 기능) (에이전트 관리 기능) 5. 마치며 지금까지 Logstash에서 Filebeat로의 전환 배경과 그 이유, Filebeat의 주요 기능과 설정, 그리고 Zenius SIEM 환경에서의 실제 활용 사례를 중심으로 살펴보았습니다. 이번 전환은 단순한 에이전트 교체를 넘어, 대규모 환경의 요구사항에 보다 적합한 아키텍처를 구축하기 위한 전략적인 선택이었습니다. Filebeat 도입을 통해 Zenius SIEM은 다음과 같은 측면에서 운영 기반을 한층 강화할 수 있었습니다: -경량화 및 안정성 향상 Go 언어 기반의 경량 구조로 서버 자원 사용을 최소화하고, 백프레셔(Backpressure) 및 레지스트리(Registry) 기능을 통해 로그 유실 없는 안정적인 수집 환경을 구현했습니다. -운영 유연성과 분석 효율성 확보 동적 설정 관리 기능을 통해 다양한 환경에서 유연하게 운영할 수 있었으며, ECS 필드 구조(fields.*)를 적극 활용해 로그 분석과 데이터 정규화를 보다 체계적으로 수행할 수 있게 되었습니다. Zenius SIEM은 이러한 Filebeat를 중앙 집중식 관리 시스템과 통합하여, 고객 환경에 최적화된 안정적이고 효율적인 로그 수집 서비스를 제공하고 있습니다. 지금까지 Logstash에서 Filebeat로의 전환을 통해 어떤 기술적 변화가 있었고, 그것이 실제 운영 환경에 어떻게 적용되었는지를 정리해 보았습니다. 변화하는 IT 환경 속에서 로그 수집 방식 또한 지속적으로 진화하고 있으며, 앞으로도 이에 대한 다양한 시도와 고민은 계속될 것입니다. 2025.10.21
기술이야기 Fluentd vs Logstash vs Filebeat, 어떤 로그 수집기를 선택할까? 기술이야기 Fluentd vs Logstash vs Filebeat, 어떤 로그 수집기를 선택할까? 이전 시간에는 Fluentd라는 로그 수집기에 대해 자세히 알아보았습니다(이전 글 보기). 이와 더불어 Logstash, Filebeat가 로그 데이터를 수집하고 처리하는 도구로 많이 쓰이고 있는데요. 이번 시간에는 이 세 가지 도구가 어떤 점에서 비슷하고, 어떤 점에서 다른지 살펴보겠습니다. │Fluentd vs Logstash, Filebeat 로그 데이터 수집 및 처리 Fluentd, Logstash, Filebeat는 모두 다양한 소스에서 로그 데이터를 수집하고 처리하는데요. 파일, 데이터베이스, 네트워크 프로토콜, 메세지 큐 등 다양한 입력 소스를 지원합니다. 수집된 로그 데이터를 분석하기 좋은 형태로 변환하고 필터링해주죠. 처리된 로그 데이터는 Elasticsearch, Kafka, HDFS, S3 같은 다양한 저장소와 분석 시스템으로 전송할 수 있습니다. ▷ Fluentd는 JSON 형식을 주로 사용해서 데이터를 처리합니다. 다양한 소스에서 데이터를 수집하고 변환할 수 있으며, 특히 쿠버네티스 같은 클라우드 네이티브 환경에서 최적화되어 있습니다. 또한 다양한 컨테이너와 마이크로서비스로부터 로그를 모아서 중앙에서 관리하죠. ▷ Logstash는 Elashtic Stack에서 로그 데이터를 수집, 변환, 전송하는데 주로 사용됩니다. 복잡한 데이터 변환과 필터링을 위한 강력한 기능을 제공하고 다양한형식으로 로그 데이터를 변환할 수 있죠. Elasticsearch와 Kibana와의 통합 덕분에 강력한 검색과 시각화 기능을 사용할 수 있습니다. ▷ Filebeat는 경량의 로그 수집기로 설계되어 있고, 주로 로그 파일을 모니터링하고 수집하는 데 최적화되어 있습니다. 서버 리소스를 거의 사용하지 않으면서도 효율적으로 로그 데이터를 수집할 수 있죠. 주로 Logstash나 Elasticsearch로 데이터를 전송해서 중앙에서 분석할 수 있게 해줍니다. 플러그인 시스템 Fluentd와 Logstash는 플러그인 시스템을 통해 기능을 확장할 수 있는데요. 다양한 입력, 필터, 출력, 플러그인을 제공해서 필요에 따라 시스템을 유연하게 구성할 수 있습니다. ▷ Fluentd는 500개 이상의 플러그인을 통해 다양한 데이터 소스와 목적지에 대한 통합을 지원합니다. 그래서 사용자는 다양한 요구에 맞춰 시스템을 쉽게 구성할 수 있죠. ▷ Logstash도 200개 이상의 플러그인을 통해, 다양한 입력 소스와 출력 목적지에 맞춤형 데이터 파이프라인을 구성할 수 있는데요. 복잡한 데이터 처리와 분석 요구 사항을 충족할 수 있습니다. ▷ Filebeat는 모듈 기반 아키텍처를 통해 특정 로그 파일 형식에 맞춘 구성을 제공합니다. 설정이 간단하고 빠르게 배포할 수 있는 것이 장점이죠. 플러그인 대신 모듈을 통해 다양한 로그 형식에 대응할 수 있습니다. 실시간 데이터 처리 세 도구 모두 실시간으로 로그 데이터를 수집하고 처리할 수 있습니다. 이는 급변하는 환경에서 로그 데이터를 즉시 분석하고 대응하는 데 매우 중요하죠. ▷ Fluentd와 Logstash는 실시간으로 수집된 데이터를 변환하고 필터링해서, 필요한 데이터를 즉시 사용할 수 있는 형태로 만들어줍니다. 이를 통해 실시간 모니터링 시스템에서 발생하는 로그 데이터를 빠르게 처리하고 문제를 신속히 해결할 수 있습니다. ▷ Filebeat는 경량화된 설계 덕분에 실시간 로그 수집에 최적화되어 있는데요. 서버 리소스를 최소화하면서도 안정적으로 데이터를 전송할 수 있습니다. 어떤 로그 수집기를 선택하면 좋을까요? 그렇다면 Fluentd, Logstash, Filebeat 중 우리 기업에 맞는 로그 수집기는 무엇인지 핵심만 정리한다면 다음과 같습니다. Fluentd ✔️ 다양한 소스에서 데이터를 수집하고 통합하는 경우 ✔️ 특히 클라우드 네이티브 환경에서 운영되는 경우 ✔️ 유연성과 확장성이 중요하고, 다양한 플러그인을 통해 쉽게 확장할 수 있는 도구가 필요한 경우 ✔️ 쿠버네티스와 같은 컨테이너화된 환경에서 로그를 수집하는 경우 Logstash ✔️ Elastic Stack을 사용해서 강력한 검색 및 시각화 기능을 필요한 경우 ✔️ 복잡한 데이터 변환과 필터링이 필요한 환경에서 로그 데이터를 처리하는 경우 ✔️ 다양한 입력 소스와 출력 목적지에 맞춤형 데이터 파이프라인을 구성하는 경우 Filebeat ✔️ 경량의 로그 수집기가 필요한 경우 ✔️ 서버 리소스를 최소화하면서 로그 데이터를 수집하고 전송해야 하는 경우 ✔️ 설치와 설정이 간단하고 빠르게 배포할 수 있는 도구가 필요한 경우 ✔️ 주로 로그 파일을 모니터링하고 수집하는 작업이 주된 경우 이처럼 각 도구는 기업 또는 사용자의 환경과 요구 사항에 맞춰, 적절한 도구를 선택하는 것이 중요한데요. 브레인즈컴퍼니의 경우는 높은 성능과 유연한 로그 데이처 처리를 위해 Logstash와 Filebeat를 사용하고 있습니다. 이번 시간에 살펴본 내용처럼 Fluentd와 Logstash, Filebeat는 모두 로그 데이터를 효과적으로 수집하는 강력한 도구입니다. 하지만 로그는 수집에서 끝나는 것이 아닌, 어떻게 안정적으로 관리하느냐도 중요합니다. 이때 로그를 수집부터 관리까지 할 수 있는 통합로그관리가 필요한데요. Zenius SIEM과 같은 솔루션을 통해 로그를 수집부터 관리까지 할 수 있고, 보안 위협에 대비하는 것이 정말 중요합니다. 데이터의 중요성이 더욱더 커지는 상황에서, 효과적인 로그 수집 및 관리를 통해 비즈니스 경쟁력을 높이시길 바랍니다. ?더보기 Zenius SIEM 더 자세히 보기 ?함께 읽으면 더 좋아요 • 로그 수집기 Fluentd에 대해 알아야 할 5가지! 2024.07.28
기술이야기 로그 수집기 Fluentd에 대해 알아야 할 5가지! 기술이야기 로그 수집기 Fluentd에 대해 알아야 할 5가지! IT 환경의 변화가 점점 빨라지면서 기업들은 매일 쏟아지는 데이터를 관리해야 합니다. 특히 로그 데이터는 시스템 상태를 모니터링하고 문제를 사전에 발견하는 데 필수적이죠. 이때 다양한 장치와 프로그램에서 생성되는 로그를 제대로 수집하지 못하면 혼란이 커질 수 있습니다. 따라서 로그 관리를 위한 도구들이 주목을 받고 있는데요, 그 중 하나가 오늘 살펴 볼 Fluentd입니다. Fluentd는 여러 소스에서 발생할 수 있는 로그 데이터를 한 곳에 모아, 일관된 형식으로 변환하고 중앙에서 효율적으로 수집해주는 오픈소스 데이터 수집기인데요. 이번 시간에는 Fluentd가 어떤 방식으로 로그 수집을 하고 효율성을 높이는지, 함께 자세히 살펴보겠습니다. │Fluentd란 무엇일까요? Treasure Data가 게작하고 후원 한, Fluentd는 다양한 소스에서 발생하는 로그 데이터를 한 곳에 모아 수집합니다. 강력한 플러그인 시스템을 갖추어 있어 여러 상황에 유연하게 대처할 수 있죠. Fluentd는 데이터를 주로 *JSON 형식으로 처리하여 기계가 쉽게 읽고 분석할 수 있도록 하는데요. 주로 *Ruby로 개발되었고, 일부 성능 향상을 위해 C언어로 작성된 컴포넌트도 포함되어 있습니다. 대규모 환경에서도 잘 작동하여, 현재는 5만 개 이상의 시스템에서 로그를 수집하고 있는 사용자도 있죠. *JSON: JavaScript Object Notaion 약어로, 데이터를 교환하기 위한 경량 데이터 형식 *Ruby: 간결한 문법을 가진 객체 지향 프로그래밍 언어 이러한 성능과 효율성 덕분에 라인(Line), 아틀라시안(Atlassian), 아마존 웹서비스(AWS) 등과 같은 주요 기업들이 Fluentd를 사용하고 있습니다. │Fluentd가 필요해진 이유 앞에서도 간략히 설명했지만, Fluentd가 필요한 대표적인 이유는 다음과 같은데요. 데이터 통합과 관리의 필요성 증가 첫 번째 이유는 데이터 통합과 관리의 필요성이 증가하고 있다는 점입니다. 디지털 전환이 가속화되면서 기업들은 다양한 소스에서 엄청난 양의 데이터를 수집하고 관리해야 합니다. 이 과정에서 로그 데이터의 통합과 처리가 중요한 과제가 되었는데요. Fluentd가 다양한 로그 데이터를 중앙에서 효율적으로 수집하고 통합하는 데 최적화해 줍니다. 또한 데이터를 일관된 형식으로 변환하여, 다양한 시스템과 쉽게 연동할 수 있게 도와주죠. 클라우드 네이티브 환경에서의 유연한 확장성 두 번째 이유는 클라우드 네이티브 환경에서 쉽게 확장할 수 있다는 점입니다. 클라우드 네이티브 환경이 표준이 되면서, 애플리케이션과 서비스들이 분산된 환경에서 운영되고 있는데요. 이런 환경에서는 로그 수집과 관리가 더욱 까다로워집니다. Fluentd는 가볍과 확장 가능한 구조를 가지고 있어, 클라우드 환경에 최적화되어 있습니다. 특히 쿠버네티스(K8s, Kubernetes)와 같은 오케스트레이션 플랫폼과 잘 통합되어, 로그 데이터를 효율적으로 수집하고 처리할 수 있죠. 이러한 유연한 확장성과 클라우드 친화적인 특성 덕분에 Fluentd가 꾸준히 활용되고 있습니다. │Fluentd의 5가지 특징 Fluentd는 다양한 환경에서 효율적이고 안정적으로 로그 데이터를 수집할 수 있는데요. 대표적인 특장점을 살펴본다면 다음과 같습니다. 다양한 플러그인 지원 500개가 넘는 커뮤니티에서 만든 플러그인을 통해, 다양한 데이터 소스와 출력을 연결할 수 있습니다. 특정 로그 형식을 처리하거나 여러 데이터베이스와 연동할 수 있도록, 필요한 플러그인을 쉽게 추하여 기능을 확장할 수 있죠. 이 덕분에 사용자는 다양한 요구에 맞춰 시스템을 유연하게 구성할 수 있습니다. 효율적인 자원 사용 메모리 사용량이 적고(30-40mb) 높은 성능을 발휘합니다. 이는 시스템 리소스를 절약하면서도 많은 양의 로그 데이터를 빠르게 처리할 수 있게 하죠. 또한 대규모 서버 환경에서도 원활하게 동작하며, 리소스를 효율적으로 운영할 수 있습니다. 안정적인 로그 수집 Fluentd의 메모리와 파일 기반의 버퍼링 옵션을 제공하여, 데이터 손실을 방지합니다. 네트워크 장애가 발생해도 로그 데이터가 손실되지 않도록 보장하죠. 또한 장애 조치 구성과 고가용성(HA, High Availability) 설정을 통해 안정적으로 로그를 수집하고 처리할 수 있습니다. 클라우드 네이티브 친화성 Fluentd는 쿠버네티스와 같은 클라우드 네이티브 환경에서 원활하게 동작하도록 최적화되어 있는데요. 이러한 최적화는 현대적인 인프라에서 로그 수집을 용이하게 하며, 클라우드 기반 애플리케이션의 로그를 효과적으로 전송하고 관리할 수 있습니다. │Fluentd의 주요 구성요소 Fluentd는 로그 데이터를 효율적으로 수집하고 처리할 수 있도록, 8가지 주요 구성 요소로 이루어져 있습니다. 아래 내용을 통해 좀 더 자세히 살펴볼게요. Input Plugins : 로그를 수집 우선 서버나 애플리케이션에서 발생하는 다양한 형식의 데이터를 수집합니다. 대표적인 플러그인으로 tail, forward, http 등이 있는데요. 예를 들어 tail 플러그인은 리눅스의 tail 명령어처럼 파일의 끝부분을 지속적으로 읽습니다. 상황에 맞는 플러그인을 선택하여, 데이터를 중앙에서 효율적으로 수집할 수 있죠. Parser : 로그를 이해할 수 있는 형식으로 변환 Input 플러그인을 통해 들어온 여러 형태의 로그 데이터를 표준화된 형식으로 변환합니다. JSON, 정규 표현식, *Apache 로그 형식 등 다양한 포맷을 지원하여 로그 데이터를 구조화하고 분석에 적합한 형태로 바꿀 수 있습니다. 이를 통해 로그 데이터를 일관성 있게 처리할 수 있죠. *Apache 로그 형식: 웹 서버에서 생성하는 로그 파일의 형식으로, 주로 정보를 기록하는 구조화된 로그 형식 Engine : 로그 처리의 중심 Fluentd의 중앙 처리 장치입니다. Input에서 수집한 데이터를 처리하고, Filter와 Formatter를 거쳐 Output으로 전송합니다. 사용자 설정에 따라 Parser, Buffer, Filter, Formatter를 추가하거나 제외할 수도 있죠. 이를 통해 데이터 흐름을 유연하게 관리하고, 다양한 요구사항에 맞게 로그 처리를 최적화할 수 있습니다. Filter Plugins : 로그 필터링 로그 데이터를 변환하거나 특정 조건에 따라 필터링합니다. 불필요한 데이터를 제거하고 필요한 데이터만 추출할 수 있습니다. 예를 들어 특정 키워드가 포함된 로그만을 추출하거나, 민감한 정보를 마스킹하여 보안성을 높일 수 있습니다. 어렇게 하면 로그 데이터의 품질이 향상되고, 분석과 저장 효율성이 개선됩니다. Buffering : 로그 임시 저장 Input 플러그인에서 들어온 데이터를 바로 Output으로 보내지 않고, 중간에 Buffer에 임시 저장합니다. 데이터를 임시 저장하기 때문에 안정적으로 전달하고, 손실을 최소화하며, 로그 트래픽을 조절할 수 있습니다. Output Plugins : 로그 저장 수집한 로그 데이터를 최종 목적지로 전달하는 플러그인입니다. HDFS, AWS S3, Elasticsearch(엘라스틱서치)와 같은 다양한 저장소뿐만 아니라, Kafka와 같은 대규모 데이터 스트리밍 플랫폼에도 로그 데이터를 효율적으로 보낼 수 있습니다. 이를 통해 여러 저장소와 분석 도구에 로그 데이터를 통합하고, 실시간으로 처리하거나, 일정 시간마다 모아서 한꺼번에 처리하는 방식으로 워크플로우를 구성할 수 있죠. Formatter : 로그를 최종 형식으로 변환 데이터를 목적지에 맞는 형식으로 변환하는 플러그인입니다. 이를 통해 최종목적지에서 데이터를 쉽게 처리할 수 있도록 도와줍니다. 예를 들어 JSON 형식으로 변환해서 Elasticsearch에 저장하면, Elasticsearch가 데이터를 쉽게 검색하고 분석할 수 있습니다. 또는 데이터를 *CSV 형식으로 변환해서 데이터 분석 도구에 전달할 수도 있습니다. *CSV: 쉼표로 구분된 값들로 이루어진 간단한 텍스트 파일 형식 Routing and Tagging : 로그 데이터의 흐름 제어 로그를 수집하고 처리하는 과정에서 각 데이터의 태그를 붙여 분류합니다. 이 태그를 이용해 로그 데이터를 특정 조건에 따라 다양한 목적지로 보냅니다. 이렇게 하면 로그 데이터를 효율적으로 관리하고, 분석 및 모니터링 요구사항에 맞게 데이터를 나눌 수 있습니다. 예를 들어 에러 로그는 즉시 실시간 모니터링 시스템으로 보내고, 일반 정보 로그는 장기 저장소에 보관하는 등 다양한 방식으로 데이터를 처리할 수 있죠. 이렇게 Fluentd는 주요 구성을 통해 로그 수집과 전송 과정을 효과적으로 처리할 수 있습니다. 이 덕분에 로그 관리가 한결 쉬워지고, 수집된 로그 데이터는 다양한 분석 작업에 유용하게 활용될 수 있습니다. 이번 시간에는 Fluentd가 왜 필요해졌는지, 주요 특징과 어떤 주요 구성 요소로 이루어져 있는지 자세히 알아보았습니다. 내용에서도 살펴보았듯이 데이터 통합과 관리의 필요성이 증가하면서 다양한 소스에서 발생하는 로그 데이터를 중앙에서 효율적으로 수집하고 일관된 형식으로 변환할 수 있는, Fluentd의 중요성이 더욱 커지고 있습니다. 특히, 클라우드 네이티브 환경에 최적화된 유연한 확장성과 다양한 플러그인 지원, 안정적인 로그 수집, 효율적인 자원 사용 등으로 AWS, Atlassian 등 주요 기업들이 Fluentd를 채택하고 있죠. 다음 시간에는 Fluentd와 유사한 로그 수집기인 Logstash와 Filebeat에 대해 살펴보겠습니다. 2024.07.28
기술이야기 옵저버빌리티(Observability) vs APM, 우리 기업에 맞는 솔루션은?! 기술이야기 옵저버빌리티(Observability) vs APM, 우리 기업에 맞는 솔루션은?! 지난 글을 통해 웹 애플리케이션을 전반적으로 모니터링하고 관리하기 위한 좋은 도구인, APM의 핵심요소와 기능에 대해서 알아봤습니다(지난 글 보기). APM은 분명 좋은 도구이지만 문제 원인이 애플리케이션, 웹, WAS, DB가 아닌 특정한 시스템 오류이거나 클라우드 네이티브 환경에서의 장애일 경우 문제 발생 원인을 명확히 밝히기 어려울 수 있습니다. 따라서 이번 시간에는 APM의 한계성은 무엇이고, 이를 보완하기 위한 방법은 무엇인지 자세히 살펴보겠습니다. │APM 한계성 불과 얼마 전까지만 해도 예상치 못한 장애를 탐지하고 분석하는 것은, 기존 APM만으로 충분했었습니다. 기존에는 모놀리식 구조로 되어있어 애플리케이션이 적은 수로 구성되어 있었고, Web-WAS-DB가 모두 단일 구조로 구성되어 있었기 때문입니다. 하지만 현재 대다수 기업들은 MSA 환경에서 서비스를 구축하고, DevOps 구조로 업무를 진행하는 경우가 많습니다. 즉 클라우드 네이티브 환경에서는 기존 모놀리식 구조의 APM의 한계가 하나둘씩 보이기 시작한 것이죠. 이러한 이유로 클라우드 네이티브 방식에는 서비스 장애 원인을 분석하기 위한 새로운 모니터링 툴이 필요했습니다. 이때 등장하는 것이 바로 옵저버빌리티(Observability)입니다. │Observability란? 그렇다면 Observability란 무엇일까요? 옵저버빌리티는 IT 인프라에 대한 근본적인 장애 원인을 분석하기 위한 방법론입니다. 관찰 가능성이라고 표현되기도 하죠. Obsevability는 비교적 최근에 사용한 용어이지만, 옵저버빌리티를 위한 고민은 오래전부터 지속되어왔습니다. 시스템이 내가 의도한 대로 작동하고 있을까? 예상치 못한 장애 탐지와 장애 근본 원인은 어떻게 분석할 수 있을까? IT 인프라 운영 환경에 문제가 발생했을 때, 문제 식별을 위해 필요한 객관적인 지표는 어떻게 도출할 수 있을까? 하지만 소프트웨어 애플리케이션에서 Observability는, 위와 같은 고민이 발생하거나 겪어보지 못했던 현상이 생길 때 이를 이해하고 설명할 수 있는 지표를 분석해 줍니다. │Obsevability의 등장배경 및 필요성 앞에서 옵저버빌리티가 무엇인지 살펴봤는데요. 이어서 Observability가 등장하게 된 이유와 필요성에 대해 자세히 살펴보겠습니다. MSA 전환에 따른 복잡성 증가 옵저버빌리티가 등장하게 된 첫 번째 이유는, 모놀리식 아키텍처에서 MSA 환경으로 전환함에 따라 복잡성이 증가했기 때문입니다. 우선 그림을 통해 자세히 살펴보겠습니다. [그림(왼)]은 모놀리식 아키텍처를 나타내는데요. 애플리케이션의 모든 구성 요소가 하나의 인프라로 통합되어 있는 형태입니다. 배포가 간단하며, 확장성이 쉽고, E2E 테스트가 용이하다는 장점이 있습니다. 하지만 조그마한 수정 사항이 있으면, 다시 구성 환경을 빌드하고 배포해야 한다는 단점이 있습니다. 또한 일부 오류가 전체 아키텍처에 영향을 미친다는 치명적인 단점도 존재하죠. 반면 [그림(오)]에 해당하는 MSA(Micro Service Architecture)는 하나의 큰 애플리케이션을 여러 개의 작은 애플리케이션으로 쪼개어, 변경과 조합이 가능합니다. 작은 서비스의 독립적 배포라는 강력한 장점을 앞세워 Netflix, PAYCO와 같은 다양한 기업들이 앞다투어 MSA를 받아들였습니다. 여기서 문제는 MSA로 변화함에 따라 통합 테스트나 E2E 테스트 검증이 필요해졌는데요. 이처럼 여러 서비스의 API를 검증해야 하므로, 복잡성이 증가하고 많은 시간과 비용이 소모되었습니다. 무엇보다 각 서비스 별로 자체적인 데이터베이스가 있어, 트랜잭션에 대한 파악이 어려워지기도 했죠. 따라서 기존 APM이 담당하는 트랜잭션 모니터링의 복잡성은 더욱 증가했고, Observability의 필요성이 대두되었습니다. DevOps와 클라우드 네이티브 환경으로서의 전환 옵저버빌리티가 등장하게 된 두 번째 이유는, DevOps와 클라우드 네이티브 환경으로 전환하기 위해 필요한 도구이기 때문입니다. DevOps의 핵심은 소프트웨어의 개발(Deployment)과 운영(Operation)을 분리하는 것이 아닌, 하나로 통합된 업무 처리 방식으로 진행됩니다. 이때 관리하는 서비스 전반에 대한 가시성이 충분히 확보되지 않으면, DevOps 조직은 근본적인 원인을 찾는 데 어려움을 겪게 됩니다. 이러한 어려움을 해결하기 위해서는 서비스를 구성하는 아키텍처부터 트랜잭션까지 가시성이 확보되어야 합니다. 이를 통해 DevOps의 목표인 지속적인 개발과 운영의 통합을 만들어낼 수 있죠. 또한 Observability는 클라우드 네이티브 환경으로 전환하기 위한 필수 조건입니다. 기업에서 운영 중인 서비스/IT 인프라가 클라우드 네이티브 환경으로 전환되면서, 이전에 발생하지 않았던 모든 장애 가능성에 대한 인지를 위해 Observability가 선행되어야 합니다. │Observability와 Monitoring 차이점 그렇다면 기존의 모니터링(Monitoring)과 옵저버벌리티(Observability)의 차이점은 무엇일까요? 기존의 모니터링 역할은 IT 인프라의 '정상 작동 확인'을 위한 도구 역할에 초점이 맞춰져 있었습니다. 모니터링 구성 요소인 대시보드와 사용자 알람을 통해 가시성을 확보하고, 장애를 쉽게 감지할 수 있었죠. 즉 모니터링은 인프라 성능 지표, 구성 관리, 사용자 알람에 주 목적을 둔 IT 운영 담당자에 포커스를 맞춘 도구입니다. Observability는 기존 모니터링이 맡는 알람(Alerting), 메트릭(Metric) 외에도 로그(시스템, 애플리케이션), 트레이스, 디버깅과 같은 작업이 가능합니다. 이를 통해 앞으로 발생할 수 있는 장애를 미리 예측하고, 발생한 장애에 대한 근본적인 원인을 찾아내는 데 초점이 맞춰져 있습니다. │Observability 확보를 위한 핵심 구성 요소 옵저버빌리티는 앞서 언급했듯이 메트릭(Metric), 로깅(Logging), 트레이싱(Tracing) 등 작업이 가능한데요. 좀 더 자세히 살펴보겠습니다. Metric 모니터링 분야에서 Metric(메트릭)이란, 인프라 혹은 서비스 성능과 상태를 나타내는 지표입니다. 여기서 중요한 점은 단순히 현재 상태를 보기 쉽게 표현하는 것에서 더 나아가 '시계열 데이터' 형태로 변화하는 데이터를 보여줘야 합니다. 예를 들어 CPU 사용률, 메모리 사용률, 스레드 사용률과 같이 시간이 지남에 따라 어떻게 변화하는지 효율적으로 보여줄 수 있어야 하죠. 또한 메트릭은 여러 AI 분석툴과 오픈소스와 결합하여, 직관적인 파라미터를 통해 시계열 데이터의 다양한 패턴을 자동 감지할 수 있어야 합니다. 운영자와 개발자에게 필요한 리소스를 선택할 수 있도록 성능 예측하는 지표도 필요합니다. Logging Logging(로깅)은 운영 중인 시스템과 애플리케이션에서 발생하는 다양한 이벤트와 에러 등을 기록하는 과정입니다. Observability는 여기서 더 나아가 클라우드 시스템의 모든 로그를 수집하여, 해당 로그를 통해 문제 원인을 식별할 수 있어야 합니다. 물론 각 로그 스트림은 단일 인스턴스에 대한 이벤트를 알려주기 때문에, 마이크로 서비스 환경에서 전체적인 문제 원인을 파악하기 어려울 수 있습니다. 하지만 중앙 집중식 로깅을 사용하면, 애플리케이션 로그를 한곳에 저장할 수 있습니다. 이를 통해 여러 서비스로 구성된 MSA 환경에서 로그를 효과적으로 검색하고 모니터링할 수 있죠. 이러한 작업을 하기 위해서 ELK Stack1 과 같은 로그 수집 활용 도구가 필요한데요. 이 도구는 로그 관리를 단순화화여, 전체 시스템 문제를 더 쉽게 분석할 수 있도록 도와줍니다. *ELK Stack1: Elastic Search. Logstash, Kibana의 약자로 데이터를 수집하고 분석하는 도구 모음 Tracing 트레이싱은 애플리케이션 실행 정보를 기록하는 '특별한 로깅' 방식을 의미합니다. 사실 로깅과 트레이싱을 구분하는 것에 큰 의미는 없습니다. 하지만 Observability 관점에서 트레이싱은, 전체 로그 중 문제를 일으키는 특정 로그들을 시각화하고 이를 선택적으로 관찰하는데 의미가 있습니다. Debugging Observability에서 말하는 디버깅은, 시스템과 서비스 성능을 확인하고 검사할 수 있는 다양한 도구입니다. 장애 원인을 찾을 경우 그 장애 원인뿐만 아니라, 연관관계를 가진 여러 인프라와 애플리케이션을 함께 보여줄 수 있어야 하죠. RUM RUM은 Real User Monitoring 약자로, 사용자의 인터랙션을 추적하여 웹사이트나 애플리케이션 성능을 실시간으로 모니터링하는 기술입니다. 옵저버빌리티는 앞서 언급했듯, 더 이상 IT 인프라 운영자를 위한 도구가 아닙니다. DevOps를 위한 통합적인 가시성을 제공하는 도구이죠. 따라서 운영자와 개발자를 위한 '실제 사용자 관점'에서 모니터링을 제공해야 합니다. 이처럼 옵저버빌리티 시스템은 애플리케이션의 전체적인 상태를 깊이 있게 파악하고, 문제 원인을 분석하는 데 중점을 두는 접근 방식입니다. 그렇다면 애플리케이션 성능 관리 시스템인 APM 도구와는 어떤 차이점이 있을까요? │APM과 Observability 차이점 어떻게 보면 APM과 Observability는 비슷해 보이지만, 문제 원인과 인프라를 분석하는 시각에 따라서 다양한 차이점을 지니고 있습니다. 우선 첫 번째 차이점으로는 모니터링 목적 대상에 따른 차이가 있습니다. APM은 E2E(End-to-End) 성능 구간에 주목합니다. WEB-WAS-DB에 걸친 이 과정을 실제 서비스 사용자의 *액티브 서비스2에 초점을 맞춰, 애플리케이션 성능을 분석하고 모니터링하죠. *액티브 서비스: 현재 시점에서 사용자에게 제공되고 있는 상태 Observability는 APM에서 주목하는 E2E보다, 더 많은 범위를 모니터링합니다. 시스템 인프라, WAS, DB에 대한 정밀 성능 분석과 장애 감지는 물론. 운영 중인 인프라와 서비스를 통합하여 문제 원인을 찾는 데 집중합니다. [그림] Zenius-APM 사용자 정의 실시간 모니터링 상황판 따라서 두 번째 차이점으로는, 측정하는 지표에도 많은 차이가 있는데요. APM은 사용자 요청에 따른 응답 시간과 응답 분포, 액티브 서비스 상태, 트랜잭션 처리율, 이슈 중심으로 '사용자 요청' 관점에 따라 주요 지표를 확인할 수 있습니다. Observability는 사용자의 요청 관점이 아닌, 발생할 수 있는 '모든 이벤트 지표'에 주목합니다. 보다 더 전방위적인 모니터링이 가능하죠. 또한 옵저버빌리티는 기존 APM에서 발생하는 주요 장애 원인뿐 아니라, 예측하지 못한 장애를 객관적인 지표로 보여줍니다. 정리한다면 인프라와 서비스를 분석하고 장애를 탐지한다는 점에서 APM과 Observability는 동일한 역할을 갖지만, 결국 사용자가 무엇을 더 초점에 맞추느냐에 따라 사용 목적은 아래와 같이 달라질 수 있습니다. 우리 기업은 Observability가 맞을까, APM가 맞을까? APM Type Observability Type 애플리케이션 성능 최적화가 필요한 경우 애플리케이션 코드 내의 문제를 식별하고 해결하는 데 중점을 둘 경우 MSA 환경이 아닌 모놀리식 아키텍처에서 서비스를 구성하고 있는 경우 MSA 환경에서의 분산 시스템을 통해 서비스를 구성하는 경우 단순한 애플리케이션 성능을 넘어 전체 IT 인프라 환경에 대한 통찰력 확보가 필요한 경우 인프라 운영자, 개발자, 보안담당자 모두가 통합 모니터링 환경이 필요한 경우 이번 글에서는 옵저버빌리티의 중요성과 APM의 차이점을 자세히 살펴보았습니다. 결론적으로 옵저버빌리티와 APM 중 어느 하나를 더 좋다고 할 수 없으며, 각 조직의 요구사항과 사용 편의성에 맞춰 선택해야 합니다. 그러나 점점 복잡해지는 IT 환경을 고려한다면, 옵저버빌리티를 기반으로 한 Zenius-APM과 같은 도구를 활용하여 좀 더 효율적으로 웹 애플리케이션을 관리해 보는 것은 어떨까요? ?더보기 Zenius APM 더 자세히 보기 ?함께 읽으면 더 좋아요 • APM에서 꼭 관리해야 할 주요 지표는?! • APM의 핵심요소와 주요기능은?! 2024.07.24
기술이야기 옵저버빌리티 확보를 위한 대표 정보 소스 3가지 기술이야기 옵저버빌리티 확보를 위한 대표 정보 소스 3가지 지난 블로그에서는 옵저버빌리티가 기존 모니터링과 어떻게 다른지 비교해봤습니다. 간략히 되짚어보면, 옵저버빌리티란 IT 환경이 다양해지고 기업의 서비스가 점점 복잡해짐에 따라 빠르게 문제를 찾아 해결하기 위해 서비스의 내부 상태와 동작을 이해하는 능력입니다. 옵저버빌리티는 IT 인프라별로 어떤 것이 문제라는 기준을 중심으로 모니터링하는 기존 방식에서 벗어나 모든 데이터를 실시간으로 수집하고 분석하여 IT시스템의 근본 원인에 접근하고, IT 운영 전문가의 노하우를 바탕으로 각 메트릭별 상관관계를 분석해 미래의 장애를 예측하는 인사이트를 강조합니다. 이번 블로그에서는 옵저버빌리티 확보에 가장 기본이자 중요한 정보 소스인 로깅, 메트릭, 트레이싱을 중심으로 알아보겠습니다. 이 세가지 소스는 시스템의 정확한 모니터링을 보장하고, 문제가 발생할 때 무엇이 잘못됐는지 근본원인을 추적하고, 전체 기능을 개선하는 데 도움이 되는 방법들입니다. 물론 이 세가지 방법만으로 옵저버빌리티가 확보됐다고 할 수는 없습니다. 옵저버빌리티 확보를 위해서는 로깅, 메트릭, 트레이싱을 통합해 이벤트의 상관관계를 분석하고, 데이터 시각화로 사용자에게 인사이트를 제공하는 능력이 추가돼야 합니다. l Logging : 시스템 내에서 발생하는 이벤트를 인지하고 향후 분석을 위해 저장하는 프로세스 l Metric : 응답 시간 또는 오류율과 같은 시스템 성능을 설명하는 숫자 값 l Tracing: 개발자가 병목 현상과 성능 문제를 식별할 수 있도록 서비스 호출 경로와 시간을 추적하는 프로세스 Logging 로깅은 로그를 남기는 것으로 로그를 수집하고, 저장하는 프로세스입니다. 로깅은 시스템 동작을 이해하고 문제를 진단하는 데 필요한 것으로, 향후 분석을 위해 저장하는 데이터인 만큼 올바른 세부 기준에 따라 의미가 있는 로그를 추출하는 것이 필요합니다. 그리고 예를 들어 웹 애플리케이션에 문제가 발생한 경우 로그를 남기는데, 메트릭을 통해서는 이 문제를 발견할 수 없으므로 그래서 로그는 중요합니다. 로그의 수집은 간단한 텍스트 파일에서 ELK(Elasticsearch, Logstash, Kibana)처럼 정교한 프레임워크에 이르기까지 다양한 형태를 취할 수 있습니다. 그래서 로그는 정형화하기 어렵고 그 양이 방대함으로 로그를 수집, 저장하고 분석할 때 다음과 같은 사항을 유의해야 합니다. l 과도한 로깅은 스토리지 비용을 증가시키고 로그의 검색 효율을 떨어뜨릴 수 있습니다. 따라서 어떤 데이터를 기록하고, 어떤 데이터를 기록하지 않을지 필터링하는 것이 중요합니다. l 장기간 보관할 필요가 없는 로그 효율적인 로깅 시스템을 위한 로그 보관 정책이 필요합니다. l 로그에는 인사이트를 제공할 수 있는 모든 컨텍스트 정보가 포함돼야 합니다. l 로깅은 다른 프로세스에 영향을 미치지 않도록 비동기 방식이어야 합니다. l 민감한 데이터가 로그에 남겨지지 않도록 마스킹을 해야 합니다. 그럼 로그 분석을 통해 알 수 있는 정보는 무엇이 있을까요? l 시스템의 상태: 로그에는 어떤 액션을 수행했는지, 어떤 데이터가 처리됐는지, 또 어떤 오류가 발생했는지 등의 정보가 담겨 있으므로 이러한 정보를 분석해 시스템의 상태를 파악할 수 있습니다. l 이슈 파악: 로그에는 어떤 오류가 발생했고, 어떤 요청이 실패했는지, 어떤 리소스가 부족한지 등의 정보가 담겨 있으므로 이러한 정보를 분석해 이슈를 파악하고, 빠르게 대응할 수 있습니다. l 보안성 강화: 로그에는 로그인 시도, 권한 부여, 보안 이벤트 발생 등의 정보가 담겨 있으므로 이러한 정보를 분석해 보안 이슈를 파악하고, 보안성을 강화할 수 있습니다. Metric 로그가 텍스트라면 메트릭은 단순한 수치입니다. 메트릭은 시스템의 상태를 측정하고, 모니터링하는데 사용되는 숫자 측정값입니다. 조금 더 자세히 설명하면, 메트릭은 측정 항목을 정의하고 해당 항목을 수치로 측정해, 그 결과를 보고하고 시스템이 정상적으로 동작하는지 확인하거나 장애를 빠르게 감지하기 위한 소스입니다. 메트릭의 측정 대상은 CPU 사용률, 메모리 사용률, 네트워크 트래픽 등 인프라의 성능이나 초당 수신하는 요청수, 응답에 걸린 시간, 사용자에게 오류를 다시 보낸 응답 수 등 애플리케이션의 상태와 관련돼 있습니다. 메트릭을 통한 수집 가능한 범위는 모니터링 도구 사용 여부에 따라 달라집니다. 일반적인 방식은 에이전트를 이용해 모니터링 대상으로부터 데이터를 수집하는 것으로, 수집할 메트릭을 정의하기가 유연하고 성능이나 안정성 등의 이슈에 대한 정보도 수집할 수 있는 장점이 있습니다. 에이전트를 사용하지 않고 운영 체제나 애플리케이션에서 제공하는 메트릭 수집 API를 사용하는 방식도 있는데, 수집하는 메트릭이 비교적 제한적입니다. 단순히 메트릭을 수집하는 것만으로 시스템을 모니터링하기에 충분하지 않습니다. 메트릭 데이터를 잘 활용하기 위해서는 분석 방법이 중요한데, 분석을 위해서는 몇가지 단계를 거쳐야 합니다. l 먼저, 데이터를 시각화하여 쉽게 이해할 수 있는 형태로 변환해야 합니다. 차트나 그래프, 대시보드 등을 통해 데이터의 패턴과 추세를 파악할 수 있으며, 시스템의 상태를 실시간으로 모니터링할 수 있습니다. l 다음으로, 데이터를 분석하여 시스템의 문제를 식별합니다. 예를 들어, 응답 시간이 지연되는 경우, 이를 발생시키는 주요 요인을 파악하여 시스템을 개선해야 합니다. 이를 위해 데이터를 세분화하여 요소를 파악하고, 문제를 식별하는 데 도움이 되는 경향성을 찾아야 합니다. l 마지막으로 이전 데이터와 비교하고 평가에 활용합니다. Metric 데이터를 분석할 때는 이전 데이터와 비교하여 시스템의 개선 정도를 파악하는 것이 중요하고, 이를 통해 시스템의 성능 개선 여부를 판단하고, 추가적인 개선 방안을 모색할 수 있습니다. Tracing 트레이싱은 분산 시스템에서의 서비스 호출 경로와 시간을 추적하는 기술입니다. 즉, 서비스 간의 호출 관계와 시간 정보를 추적해 각 서비스의 응답 시간을 파악하고, 이를 시각화해 병목 현상을 파악할 수 있습니다. 트레이싱은 크게 세 가지 구성 요소로 이뤄져 있습니다. l Trace: Trace는 서비스 간의 호출 경로와 시간 정보를 담고 있는 데이터 레코드입니다. Trace는 Span과 Trace ID, Parent Span ID 등의 정보를 가지며, 각 Span은 서비스 내부에서의 호출 관계와 시간 정보를 담고 있습니다. l Span: 분산 추적에서 가장 기본이 되는 논리 단위로 여러 개의 span 이 모여 trace를 완성한다는 개념입니다. 각각의 Span은 작업이름, 시작 시간과 종료 시간, key value 형태의 tags 와 Logs, span contexts를 가지고 있습니다. Span contexts는 분산추적을 하기위해 Trace 구간에서 종속된 Span을 구별할 수 있는 Span id와 Trace id를 말합니다. l Collector: Collector는 Trace 정보를 수집하고 저장하는 역할로, Trace 정보를 수집하기 위한 에이전트와 수집된 Trace 정보를 저장하고 분석하기 위한 Backend로 이뤄져 있습니다. (출처: [MSA] OpenTracing, 분산추적(Distributed Tracing) 과 Span context, KSR의 저장소) 이렇게 옵저버빌리티를 구현하기 위한 로깅, 매트릭, 트레이싱 등 세 가지의 중요한 정보 소스들을 다루기 위해서는 여러가지 기술들이 조합되어야 합니다. 다음 블로그에서는 그와 같은 정보 소스들을 다루어 옵저버빌리티를 구현하기 위해서 널리 사용되는 대표적인 오픈 소스들을 알아보고 Zenius-EMS에서는 옵저버빌리티 향상을 위해서 어떤 기능들을 제공하고 있는지 살펴보겠습니다. 2023.04.19
기술이야기 [통합로그관리] Filebeat에서 안정적으로 하드웨어 자원 사용하기 기술이야기 [통합로그관리] Filebeat에서 안정적으로 하드웨어 자원 사용하기 Filebeat는 Elastic Stack에서 사용하는 경량(light-weight) 데이터 수집기로 logstash 대비 상대적으로 리소스(CPU와 RAM)를 상당히 적게 소모한다는 장점이 있습니다. 또, Filebeat는 간단한 필터 기능도 제공합니다. 하지만 말 그대로 간단한 필터 기능이라 한번에 대용량의 파일을 관리해야 하는 경우 호스트 서버에 부담이 갈 정도로 많은 리소스를 사용할 수 있습니다. 따라서 브레인즈컴퍼니가 운영하는 통합로그관리 에이전트는 호스트의 서버 환경에 따라 filebeat 에이전트의 설정 파일을 수정해서 안정성을 제공하고 있습니다. 본 내용은 Filebeat 리소스 점유율이 높을 때 트러블슈팅 관련 설정 수정사항입니다. 수정에 필요한 기본 파일 위치 linux : /etc/filebeat/filebeat.yml docker: /usr/share/filebeat/filebeat.yml filebeat 프로세스 메모리 확인하는 방법 top -d 1 | egrep "PID|filebeat" 수정에 앞서 filebeat의 메인 컴포넌트인 harvester의 개념을 간략하게 설명하겠습니다. 하나의 harvester는 하나의 파일을 읽어드립니다. harvester가 실행 중인 경우 파일을 한 줄씩 읽습니다. 각 파일 당 하나의 harvester가 실행됩니다. 상단의 이미지를 보면 filebeat의 컴포넌트인 input과 harvester가 보입니다. 또한 filebeat이 harvester를 관리하며 어느 파일을 읽을지 관리하는걸 알 수 있습니다. harvester가 실행 중인 경우 파일 설명자(File Descriptor) 열린 상태로 유지됩니다. 이는 파일이 삭제되거나 파일명이 변경된다 하더라도 파일을 계속 읽게 해줍니다. 하지만 파일 설명자는 harvester가 닫힐 때까지 디스크 공간을 예약합니다. 1. filebeat.inputs: 2. - type: filestream 3. id: my-filestream-id 4. paths: 5. - /var/log/system.log 6. - /var/log/wifi.log 7. - type: filestream 8. id: apache-filestream-id 9. paths: 10. - "/var/log/apache2/*" 11. fields: 12. apache: true 13. fields_under_root: true <filebeat에서 제공하는 input example> 1. scan_frequency 파일비트가 설정된 filebeat_inputs의 path에 있는 파일들의 갱신 여부를 체크하는 주기입니다. 너무 길게 설정하면 한번에 많은 파일들을 수집하게 됩니다. 반대로 너무 짧게 설정하면 스캔을 너무 잦게 해서 CPU점유율이 올라갑니다. 적당한 조절이 필요합니다. 기본값은 10초입니다. Scan_frequeny가 동작하는 방식은 아래와 같습니다. harvester 읽기 종료 또는 파일 삭제 → scan_frequency 만큼 대기 → 파일 갱신 확인 → 파일 갱신 시 새 harvester 시작 2. backoff Backoff 옵션은 파일비트가 얼마나 더 적극적으로 크롤링 하는지 지정합니다. 기본값은 1인데 1일 경우 새 줄이 추가될 경우 1초마다 확인한다는 의미입니다. Backoff가 동작하는 방식은 아래와 같습니다. harvester 읽기 종료 또는 파일 삭제 → scan_frequency만큼 대기 → 파일 갱신 확인 → 파일 갱신 시 새 harvester 시작 → 파일 갱신 시 Backoff 시간 마다 다시 확인 3. max_procs 파일비트에서 동시에 사용 가능한 최대의 cpu코어의 숫자를 설정합니다. 예를 들어32 CPU코어 시스템에서 max_procs를 1로 설정한다면 cpu사용률은 3.2%(1/32)를 넘지 않습니다. max_procs 설정돼 있으면 harvester가 아무리 많이 생성돼도 cpu의 코어 수만큼 CPU를 점유합니다. 4. harvester_limit harvester의 수가 OS가 감당할 수 있는 파일 핸들러 개수를 초과할 때 사용합니다. 한 input마다 설정되므로 inputs이 5개 선언돼 있으면 해당 input 컴퍼넌트의 harvester 개수 최대치는 5개입니다. 기본값은 0인데, 0일 경우 harvester가 무제한으로 생성 가능합니다. 리소스 관리 최적화에도 유용한데 예를 들어, input1이 input2보다 파일 개수가 3배 많고 중요성이 높을 때 3배 높은 값을 설정하는 것이 좋습니다. 5. close_eof harvester에 의해 파일이 수집되고 있을 때, EOF(End of File)에 도달하는 즉시 파일을 닫습니다. 파일이 계속 갱신된다면 데이터가 유실될 수 있는 여지가 있습니다. [참조] https://www.elastic.co/guide/en/beats/filebeat/current/filebeat-input-log.html 2022.11.17

1