It’s not a secret: we at CINQ love to use Cribl products. We’re particularly fond of using Cribl Stream, and we like it so much, we’re even doing workshops on the matter to show people what you can do with Cribl Stream. Cribl itself says Cribl Stream is an Observabilty Pipeline, but before we get lost into what an Observability Pipeline exactly means, what Cribl Stream can do is collect data from any data source, filter out any parts of the data that you don’t need, transform the data in a format of your choosing, and send the data to a data destination. You can get started with Cribl for free in their sandbox environment here.

One of the assignments in our recent Cribl workshop is based on a real life use case from one of our customers, and the few times we’ve given this workshop, participants were struggling a bit with this assignment.

Since there’s not much time available during our workshop to fully get into detail about why you have to do some steps, here’s a little blog post to cover that need.

The National Data Portal for Road Traffic (Nationaal Data Portaal Wegverkeer, or NDW for short) is a Dutch national portal for road traffic data in the Netherlands, both from national roads, provincial roads and from municipal main roads.

In NDW, Dutch governments work together to collect, combine, store and distribute mobility data. This data is used for traffic management.

First, the NDW has a platform available where the traffic data is posted: the Open Data Portal (​​https://opendata.ndw.nu/) 

For the workshop assignment we’re interested in Ongevalideerde_snelheden_en_Intensiteiten.xml.gz, a file which consists of the average speed and intensity of all measure points of all national roads of the country. That’s over 24000 measure points. In a single XML file. Compressed as a gzip file. Updated every single minute.

Let that sink in for a moment and let’s take a closer look at the structure of the XML file itself.

<?xml version="1.0" encoding="UTF-8"?>
<SOAP:Envelope xmlns:SOAP="http://schemas.xmlsoap.org/soap/envelope/">
  <SOAP:Body>
    <ndw:NdwMrm xmlns:ndw="http://schemas.ndw.nu/wsdl/NdwTmisMrm10/">
      <ndw:exchange>
        <subscription>
          <subscriptionState>active</subscriptionState>
          <updateMethod>snapshot</updateMethod>
        </subscription>
      </ndw:exchange>
      <minute_speed_and_flow_events xmlns="http://speed_and_flow.trafficmanagementinfo.publicatie.hwn.rws.nl/1.1">
        <meta>
          <msg_id>
            <uuid>97b3eddf-cf1c-43cc-ae0f-e2e55ab0d22b</uuid>
          </msg_id>
          <selection />
        </meta>
        <event>
          <ts_event>2019-09-19T12:21:27.741Z</ts_event>
          <ts_state>2019-09-19T11:40:53.853Z</ts_state>
          <measuring_point_id>
            <uuid>e9af9383-2d7f-4963-88c9-38aa1d9c33cc</uuid>
          </measuring_point_id>
          <lanelocation>
            <road>A2</road>
            <carriageway>g</carriageway>
            <lane>3</lane>
            <km>64.242</km>
          </lanelocation>
        </event>
        <event>
          <ts_event>2023-08-20T19:05:06.285Z</ts_event>
          <ts_state>2023-08-20T19:05:00Z</ts_state>
          <measuring_point_id>
            <uuid>e9af9383-2d7f-4963-88c9-38aa1d9c33cc</uuid>
          </measuring_point_id>
          <avgspeed>
            <kmph>92</kmph>
          </avgspeed>
        </event>
        <event>
          <ts_event>2023-08-20T19:05:06.286Z</ts_event>
          <ts_state>2023-08-20T19:05:00Z</ts_state>
          <measuring_point_id>
            <uuid>e9af9383-2d7f-4963-88c9-38aa1d9c33cc</uuid>
          </measuring_point_id>
          <flow>
            <count>6</count>
          </flow>
        </event>
        …
        …
        …
      </minute_speed_and_flow_events>
    </ndw:NdwMrm>
  </SOAP:Body>
</SOAP:Envelope>


We can see that the interesting parts are under element event and that the same  measuring_point_id is mentioned 3 times under 3 different event elements.

Event 1: you can identify the measuring_point_id to the physical location of the measuring point on the specified national road. 

Event 2: you can see the average speed for a specific measuring_point_id

Event 3: you can see the number of vehicles for a specific measuring_point_id

So, everything we need is located on a website in a compressed XML file of around 1.6 MB. Decompressed the file is around 18 MB.

What we need in Cribl, is to get to the gzip file, decompress it to get the XML file, and create separate events for every, well, event .

This is the easiest part. Setup a REST API source pointing to the URL of the file. As if it’s nothing, Cribl will get the file and automatically decompress it when the source is run. 

Here comes the catch though. Since the decompressed file is around 18 MB, Cribl won’t be able to break the file into separate events later on in the pipeline you’ll be using, because by default, the maximum number of bytes in an event before it is flushed to the pipelines is set at 51200 bytes. Luckily, you can make custom event breaker rules where you can adjust the maximum size.

Find the Event Breaker Rules (under Processing > Knowledge). Either create a new Ruleset, or make a copy of the existing Ruleset “Cribl - Do Not Break Ruleset”. What we’re interested in is to adjust the Max event bytes size so the XML file in its entirety will be sent to the pipeline for processing.

So choose a value that’s the size of the file in bytes, or go all the way up to the maximum number of bytes an event can be for Cribl to handle (134217728 bytes).

Use the custom Event Breaker Ruleset in your Data source.

Now we’re able to get the compressed XML file from the website and send it to the pipeline where we’ll do some processing.

In the pipeline we’ll be separating the events we can identify with the event tags from the XML file. We’ll be doing this with the help of the XML Unroll Function. This function accepts a XML event with a set of elements, and converts the elements into individual events.

If we look at the XML file again, we’ll notice that the information we’re interested in in element event  is located as a child element under element minute_speed_and_flow_events which itself is a child element under element ndw:exchange which itself is a child element under element ndw:NdwMrm. And then you have your SOAP body and SOAP envelope.

With this information at hand, we can say that the information we want is located at

SOAP:Envelope\SOAP:Body\ndw:NdwMrm\minute_speed_and_flow_events\event

This is exactly what we’ll be using in the function XML Unroll. Well, we need to change it a little bit because we need to put a Regex expression in the function which describes the path to the array to unroll:

^SOAP:Envelope\.SOAP:Body\.ndw:NdwMrm\.minute_speed_and_flow_events\.event$

The Copy Elements Regex part is empty, because we don’t need anything to be copied into the separate events.

If this is our XML event we put into our pipeline (remember, it’s one big event, so the image is just a sample image)

the XML Unroll Function will make separate XML events and you’ll have something like this (with the Pretty Print option selected)

Each event will have an element measuring_point_id with respectively an element <lanelocation>, <avgspeed> or <flow>.

But we’re not done yet. In our workshop we didn’t want XML events to be sent to our external system, but rather have JSON events, since we were using the data the workshop participants were sending in a dashboard built around data in the JSON format.

Luckily, it’s rather simple to do this in Cribl, since there’s a Cribl expression available that just does that: parse an XML string and returns a JSON object: C.Text.parseXml()

We need to use this expression with the Eval Function to parse XML fields contained in our events.


With this in place the events will be available as JSON objects:

Now, our events are ready to be sent to an external system where the data can be used for whatever purpose.

In our case we used the data to show traffic near our office building:

docs.cribl.io/stream/expressions-text/#parse-xml

In this blog Data consultant Ramond Jaggessar explains how to transform XML data into JSON with Cribl.

Using Cribl to transform XML data to JSON

Het geven van trainingen vind ik een mooi onderdeel van mijn baan. Het is even uit de dagelijkse routine stappen om zo cursisten kennis bij te brengen over mijn vakgebied. Super leuk om over je werk te mogen vertellen, nieuwe mensen te ontmoeten en hen te helpen bij de uitdagingen die binnen hun bedrijf spelen. In deze blog deel ik graag mijn ervaringen met het geven van Splunk-trainingen, inclusief de voorbereiding, het ontwikkelen van oefenopdrachten met AI en natuurlijk het verzorgen van de training zelf.

Voorbereiding Splunk training
Bij CINQ bieden wij trainingen aan op alle niveaus van Splunk. Daarbij leveren wij maatwerk om zo op de behoeften van onze klanten in te spelen. Zodra CINQ een aanvraag ontvangt van onze partner of rechtstreeks van een klant, beginnen wij met het afstemmen van de training op hun specifieke wensen. Hierbij kijken wij niet alleen naar praktische zaken zoals datum en locatie, maar vooral naar de vraag van de klant: wie zijn de deelnemers en wat willen zij precies leren? 

Na het eerste contact starten wij met de voorbereiding van de training. De trainingen zijn meestal verdeeld over 2 tot 3 trainingsdagen, met steeds een week er tussen. Op deze manier krijgen de cursisten de kans om tussen de trainingsdagen door oefeningen te maken en worden zij niet in één dag overladen met theorie. De training zelf bestaat uit een combinatie van theorie en praktijk. Zo leggen wij bijvoorbeeld een Splunk-commando uit en laten de cursisten vervolgens een bijpassende oefenopdracht uitvoeren. Als de training op locatie bij de klant plaatsvindt, kunnen wij in overeenstemming (NDA) ook gebruikmaken van klantdata, hoewel werken met gegenereerde testdata altijd een mogelijkheid is.

Het maken van oefenopdrachten met AI:
Vaak gebruik ik AI-chatbots voor het maken van de oefenopdrachten. Dit bespaart tijd en biedt de mogelijkheid om een test set te personaliseren voor een specifiek bedrijf of branche. De opdrachten worden hierdoor begrijpelijker en leuker voor de cursisten. 

Voor mijn laatste training maakte ik gebruik van ChatGPT, maar Google Gemini of Microsoft CoPilot zouden ook gebruikt kunnen worden. Als voorbeeld moest ik het timechart- en timewrap-commando uitleggen aan een groep die werkzaam is voor een luchthaven. Uiteindelijk kwam ik tot de volgende invoer:

“Maak met SPL en het gentimes commando een testset aan data. Bij gentimes als start-365 als end=0 increment=1d. Doe vervolgens eval _time=starttime. Vervolgens maak met eval statements een ticket_price aan tussen de 200-205 waarbij de ticket_price langzaam afneemt, en geef gebruikmakend van random() 3 airlines. Kies daarna met een where clause 1 luchthaven, vervolgens maak een timechart met de gemiddelde ticket_price per maand en een timewrap per q.”

ChatGPT is helaas geen SplunkGPT*. Het heeft hulp nodig om een werkende Splunk query te fabriceren. Zo herkent het niet alle Splunk commando's of maakt het verkeerde aannames bij het schrijven ervan, waardoor de geleverde SPL code niet werkt. Daarom geef ik in bovenstaand voorbeeld zeer specifieke instructies, door de vraag zo gedetailleerd mogelijk te formuleren. Zo schrijf ik commando’s uit en geef ik in stappen de volgorde van de commando’s weer. De output van ChatGPT is een query die ik bijna rechtstreeks in Splunk kan gebruiken.

Waar ChatGPT de aanname doet dat comments met een # moeten beginnen is dat bij splunk met 3 backtics. Na deze aanpassing zal de query correct werken.

Door een deel van deze query aan de cursisten te verstrekken, kunnen gebruikers eerst een luchtvaartmaatschappij kiezen, vervolgens een timechart maken en deze uiteindelijk aanpassen naar een timewrap per kwartaal. Daarna kunnen ze onderzoeken wat er is gebeurd met de ticketprijzen in het afgelopen jaar.

*Bovenstaande is gemaakt met de gratis versie van ChatGPT gebaseerd op model 3.5. Met de betaalde versie van ChatGPT, 4.0 kun je ook custom GPT’s gebruiken. Dat zijn Chat GPT extensies, die zijn toegespitst op 1 specifieke functionaliteit. Zo zijn er een aantal Splunk GPT’s te vinden op de markt. Mijn ervaring is dat deze ietwat betere resultaten leveren dan de gratis variant, maar zeker niet perfect werken. De tip blijft om je vraag zo exact mogelijk te formuleren, om zo ruimte voor interpretatie en inbreng door chatGPT te verkleinen.

De training zelf:
Met het slidedeck en de testopdrachten gereed, is het tijd om de training te geven. Voordat de training begint ben ik al aanwezig op locatie om alles gereed te maken. Ik heet de cursisten één voor één welkom en tijdens een gezamenlijke kennismaking vraag ik de cursisten kort te vertellen wie zij zijn en wat zij persoonlijk uit de training willen halen. Zo kan ik een laatste afstemming doen en inschatten waar tijdens de training meer of minder aandacht aan besteed moet worden. 

Op de eerste dag, met name de ochtend van de training, ligt de focus meer op de theorie. Aan het einde van de dag geef ik vaak een huiswerkopdracht mee om de theorie in de praktijk te brengen. Daarnaast vraag ik de cursisten om na te denken over hun verwachtingen voor de volgende dagen. Tussen de trainingsdagen door bel ik meestal met onze contactpersoon om feedback te verzamelen die ik kan gebruiken voor de laatste trainingsdagen. 

Op de tweede en/of laatste dag wordt er meer aandacht besteed aan praktische toepassingen. Vaak staat er een praktijkopdracht op het programma en is er extra ruimte voor vragen en specifieke situaties van de klant. 
We sluiten gezamenlijk af met een evaluatie en de cursisten ontvangen een certificaat van deelname.

Komende maand schrijf ik nog een blog over hoe je Splunk Dashboards kan maken met ChatGPT en hoe je bestaande classic XML-dashboards mooier kan maken. Houdt de blogs van CINQ dan ook in de gaten.

Tom verteld over het geven van trainingen via CINQ ICT

Trainingen geven

With the release of Splunk 9.2 there are some new features that we would like to share with you. If you upgrade please use version 9.2.0.1 since it solves a bug with config validation check that’s blocks config push. 

Starting with version 9.2 it will be possible to create a deployment server cluster to make it high available. Using a load balancer and 2 or 3 deployment servers you are able to create the cluster, the configuration will be placed on a shared mount.

Besides this new ability the logging will also be sent to the following new indexes:

If you do not see any data in the forwarder management UI, have a look at the following Splunk docs article for possible issues.
https://docs.splunk.com/Documentation/Splunk/9.2.0/Updating/Upgradepre-9.2deploymentservers#Possible_issues_with_upgrade

There are a number of improvements to the dashboard studio dashboards in Splunk. 

If you convert an XML dashboard to a Dashboard Studio dashboard it will show you a report which details what need to be manually changed.

You will now be able to configure drilldowns to custom searches or to reports.

A highly requested feature is the ability to use trellis, in this case you are able to use it with single values. We have seen a number of customers holding out on switching to Dashboard Studio because they had no trellis option. You can do this now!

3. Support for OS certificate trust store and certificate management API 

Instead of uploading additional CA certificates you are now able to integrate with a OS trust/certificate store. This makes it easier for companies to use their own CA’s without having to upload it to each Splunk instance.

4. Abort a rolling restart of an indexer cluster 

You are now able to abort a user-initiated rolling restart of an indexer cluster, you cannot abort a rolling restart that happens with a bundle push because that would leave the cluster in an inconsistent state. 

Although 9.2 does not introduce new functionality it does fix three bugs that could crash the forwarder. If you upgrade from 9.0.x please note that the default user changes from splunk to splunkfwd which can create issues reading logfiles/winventlog on your systems!

We have seen multiple companies that thought their upgrade went smoothly only to find out that some of their logging was no longer going to Splunk. You can check your environment with the following search:

index=_internal sourcetype=splunkd cannot_open  

Splunk Enterprise Release notes:
https://docs.splunk.com/Documentation/Splunk/latest/ReleaseNotes

Deployment server scalability:
https://docs.splunk.com/Documentation/Splunk/9.2.0/Updating/Implementascalabledeploymentserversolution
https://docs.splunk.com/Documentation/Splunk/9.2.0/Updating/Upgradepre-9.2deploymentservers

Dashboard studio:
https://docs.splunk.com/Documentation/Splunk/latest/DashStudio/WhatNew
http://docs.splunk.com/Documentation/Splunk/9.2.0/DashStudio/ConvertSXML
http://docs.splunk.com/Documentation/Splunk/9.2.0/DashStudio/linkURL
http://docs.splunk.com/Documentation/Splunk/9.2.0/DashStudio/trellisLayout

Abort rolling restart:
https://docs.splunk.com/Documentation/Splunk/9.2.0/Indexer/Userollingrestart#Abort_a_rolling_restart_of_an_indexer_cluster

In this blog you will read 5 things you should know before you decide to upgrade to Splunk 9.2.

5 things to know before you upgrade to Splunk 9.2

De CTO's van onze drie units - Data, DevOps en Development - vormen samen met de CTO van CINQ een denktank: de CINQTank. Zij houden zich bezig met het “voorspellen” van de toekomst. Samen met de mensen uit de units kijken zij in de verschillende vakgebieden naar de ontwikkeling van technieken en tools. Hiermee wordt een technische visie gecreëerd. Deze wordt onder andere gebruikt om richting te geven aan de opleiding van medewerkers. Tevens wordt het gebruikt als input voor de jaarplannen van elke afdeling. Tot slot is het natuurlijk ook gewoon leuk om na te denken hoe de toekomst eruit zou kunnen zien. Hieronder lees je onze verwachtingen op het gebied van Data in 2024.

In het verleden lag de nadruk binnen de Data Unit vooral op het opzetten, onderhouden en effectief benutten van Splunk voor onze klanten. Het afgelopen jaar heeft de unit haar expertise uitgebreid en hebben wij nieuwe consultants met diverse specialismen mogen verwelkomen, waaronder data ops en data engineers. Onze consultants hebben gemeen dat zij met data werken en hebben dan ook overeenkomsten in de werkzaamheden Toch zijn er ook duidelijke verschillen. Onze DataOps consultants houden zich primair bezig met de optimalisaties van gegevensbeheer, de focus van onze data engineers ligt meer op de gegevensverwerking en onze data consultants zijn voornamelijk met tools bezig om met data te werken. De focus is hiermee dan ook verbreed naar andere tools en binnen de unit wordt er meer en actiever samengewerkt. De unit is nu georganiseerd in verschillende teams, zowel per klant als per specialisme. Een nieuwe ontwikkeling is ook het werken op projectbasis, soms samen met consultants uit de andere units. Dit zorgt niet alleen voor interessante uitdagingen, maar ook voor een waardevolle uitwisseling van kennis tussen vakgebieden. Onderling kunnen wij binnen de unit de uitdagingen en oplossingen van onze klanten met elkaar uitwisselen, mede tijdens één van de vele data sessies op kantoor. Zowel onze klanten als onze collega's profiteren van deze samenwerking. 

Komend jaar leggen we nog meer nadruk op samenwerking binnen de unit en komt er meer focus op het vaststellen van "CINQ best practices". Onze data architecten zijn verantwoordelijk voor installaties, updates en configuratiewijzigingen in klantomgevingen. Aangezien ze vaak vergelijkbare taken op verschillende klantsystemen uitvoeren, rijst de vraag naar wat de meest optimale aanpak voor deze werkzaamheden is. 

Hiervoor komen onze architecten regelmatig bijeen om ervaringen uit te wisselen en gezamenlijk de beste aanpak te bepalen voor veelvoorkomende taken. Op deze manier streven we naar een uniforme werkwijze. Dit resulteert in hoogwaardige dienstverlening en een verhoogd volwassenheidsniveau van onze klanten op het gebied van data en monitoring.

Waar voorheen bij bedrijven vooral de focus lag op het verzamelen van data, verwachten wij een verschuiving naar het beheren van de (hoeveelheid) data en data governance. Wij voorzien een sterke opkomst van “observability pipelines” die de flexibiliteit bieden om gegevens te verzamelen, te verkleinen, te verrijken en/of te normaliseren en te routeren van elke bron naar elke bestemming. Dit zorgt ervoor dat er geen vendor lock-in plaatsvindt bij onze klanten en zij flexibeler met hun monitoring platform om kunnen gaan. Dat is in deze dynamische markt steeds vaker een vereiste.

De Data unit heeft Cribl omarmd als de tool voor het opzetten van observability pipelines. CINQ is één van de eerste Nederlandse partners van Cribl. Een groot deel van onze consultants zijn inmiddels Cribl Certified Consultants waarmee we onze positie in de markt versterken.

Log Monitoring als los product komt steeds minder vaak voor in de markt. Logging functies zijn veelal ondergebracht in de verschillende Observability platformen of vervangen door Open Telemetry (OTEL). De term "Applicatie Performance Monitoring" (APM) is nog steeds zichtbaar in de markt, maar is nauw verweven en soms zelfs verward met "Digital Experience Monitoring" (DEM).  Bedrijven hebben steeds meer door dat het niet meer gaat om het monitoren van de applicatie, maar om het meten van de gebruikerservaring bij een applicatie. 

Technische kennis is steeds schaarser op de markt en voor organisaties wordt het lastiger om dit in huis op te lossen. In sommige gevallen worden externen ingehuurd, maar we zien een stijgende lijn in de hoeveelheid SaaS oplossingen, waarbij de klant wordt ontzorgd van technisch beheer en onderhoud. De on-premise oplossing gaat hiermee meer naar de achtergrond en daarmee ook de behoefte aan de technische kennis van onze consultants omtrent het platform.

De wijzigingen in de markt zijn in onderstaande Hype Cycle schematisch weergegeven.

Afbeelding 1: CINQ - Gartner Hype Cycle met betrekking tot monitoring

Waar termen als AiOps en Machine Learning in de data wereld al langer bekend zijn voor slimme automatisering en voorspellende analyses, is dit jaar AI onmisbaar geworden op onze hype cycle (zie Afbeelding 1). Met de explosieve groei van AI krijgen we er de komende jaren een overvloed aan integratiemogelijkheden bij. Denk alleen al aan geautomatiseerd code schrijven, maar ook het valideren en zelfs becommentariëren van code. Ook wordt het mogelijk om vragen in natuurlijke taal aan systemen te stellen, zonder complexe programmeertalen te gebruiken. Waar de mogelijkheden eindeloos zijn, is het aan de markt, maar ook aan bedrijven en onze consultants om voorzichtig met AI om te gaan en deze op een juiste wijze toe te passen.

Bedrijven verzamelen steeds meer data. De verwachte jaarlijkse samengestelde groei aan data is maar liefst 23%. (bron) De toenemende hoeveelheid data vormt een uitdaging voor bedrijven. De roep om de hoeveelheid data (stromen) beheer(s)baar te houden zal dan ook sterk toenemen dit jaar en wij verwachten op dit vlak dan ook meer werkzaamheden voor onze consultants, alsmede de inzet van Cribl bij onze klanten.

De verwachte groei aan data zien de leveranciers uiteraard ook. Voorzichtig worden licentiemodellen geïntroduceerd die niet meer op ingestion - de inname van data - werken, maar op gebruik (pay-per-use). Bij pay-per-use wordt software als SaaS aangeboden door de leverancier, maar veelal in samenwerking met bekende cloud providers zoals Azure en Amazon. Je betaalt praktisch gezien voor de servercapaciteit, rekenkracht en gebruikte software modules. Achterliggende rekenmodellen genereren de maandelijkse factuur. Het voordeel voor de klant is dat je alleen betaalt voor wat je daadwerkelijk gebruikt, en niet voor ongebruikte modules. Dit verandert ook de marketing dynamiek, omdat software modules in principe gratis zijn voor de klant. Klanten worden nieuwsgierig en gaan meer modules gebruiken, wat de leverancier uiteindelijk zijn verdienmodel oplevert.

Bij SaaS oplossingen wordt zowel de installatie als het beheer grotendeels door de leverancier verzorgd. Consultants voeren doorgaans nog configuraties uit. Het is essentieel voor bedrijven om nauwkeurig te beoordelen welke aspecten zij wel en niet zelf kunnen beheren.

De overstap van On Premise naar SaaS wordt door leveranciers gestimuleerd en soms zelfs afgedwongen door nieuwe features exclusief voor de cloud uit te brengen. Ons advies aan klanten is om grondig onderzoek te blijven doen en een goede afweging te maken tussen kosten, mogelijkheden en rekening te houden met lokale en al dan niet Europese wet- en regelgeving. De cloud is zeker een goede oplossing, maar niet altijd de juiste. De trend naar hybride oplossingen tussen On Premise en de Cloud zal toenemen en de volledig zelfbeheerde On Premise installaties zullen ook in de komende jaren relevant blijven.

Waar observability vaak nog als marking-buzzword wordt gebruikt, wordt het inmiddels steeds meer in de praktijk toegepast. Observability combineert logs, metrics en traces, waardoor tools zich uitbreiden naar deze drie aspecten en de overlap tussen verschillende tools groeit. OpenTelemetry (OTEL) is een open source observability framework, wat als groot pluspunt heeft dat het snel uitgerold kan worden over verschillende applicaties. In plaats van op 1 applicatieserver meerdere agents te moeten installeren met alle specifieke doeleinden, kan je gaan naar 1 uniforme agent voor alle applicaties. De overhead in de klantomgeving wordt op deze manier minder. Onze consultants streven voortdurend naar een balans tussen waarde maximaliseren voor de klant en het kiezen van de meest geschikte tool. De samenwerking in teamverband binnen de Data unit zal hierbij verder helpen.

Binnen de Data Unit ligt een van onze focusgebieden op Data Engineering / Data Ops. Hierbij zijn onze consultants verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van data-infrastructuur en -processen in organisaties. Ze zijn gericht op het efficiënt beheren, integreren en analyseren van gegevens om waardevolle inzichten te genereren en daarnaast organisaties te ondersteunen bij datagestuurde besluitvorming. 

Met onze consultants hebben we een sterk team, met veel ervaring, vaardigheden en passie om klanten volledig te kunnen ontzorgen. We willen ons steeds meer richten op dienstverlening in plaats van afrekening op uurbasis. We hopen door een combinatie van projecten flexibeler tijd te kunnen besteden aan onze klanten en daardoor meer klanten te kunnen ontzorgen.

Het monitoring platform beweegt mee met de applicaties/omgevingen die het monitort. We zien vanuit de Data unit een toenemende betrokkenheid bij de cloud, waarbij het opzetten en onderhouden van omgevingen via pipelines en repositories plaatsvindt. We zijn een nieuwe weg ingeslagen door de expertise van de DevOps unit te benutten. Zij helpen bij het configureren en onderhouden van Splunk-omgevingen via CI/CD-pipelines. Vanuit de Data Unit groeit de wens om samen te werken en te leren van de DevOps unit, met een geplande pipeline-training voor het komende jaar. 

Ook van de Development Unit valt veel te leren. Met onze verbreding van tools en technieken komen we meer in aanraking met programmeren en vooral met Python. Afgelopen jaar heeft een Python training plaatsgevonden en zijn er verschillende apps in Splunk voor onze klanten opgeleverd. Naast het leren programmeren van de Development unit, kan synergie ontstaan door samen te werken aan logging best practices bij het ontwikkelen van nieuwe applicaties. Developers en data specialisten hebben een verschillende kijk op het loggen van informatie. Door onze krachten te bundelen, kan efficiënt en volledig worden gelogd, waardoor zowel development als monitoring maximaal waarde uit de applicatie halen.

We zijn bezig met de vernieuwing van ons Data Maturity Model, dat eerst gericht was op de volwassenheid van Splunk-omgevingen. Nu komt het in bredere context terug en is de focus verlegd op de datakwaliteit in klantomgevingen zelf. Ons doel is om klanten bewust te maken van het volwassenheidsniveau van hun omgeving en hen vervolgens de nodige ondersteuning en begeleiding te bieden om naar het volgende niveau te groeien. Op deze manier dragen we bij aan waardemaximalisatie en professionalisering van hun omgeving. Het model is nog volop in ontwikkeling en zal bestaan uit een quickscan, interviews met diverse stakeholders en/of een technische scan waarbij onderzoek wordt gedaan naar de processen.

In dit artikel lees je wat onze verwachtingen zijn op het gebied van data in 2024. We beschrijven trends in de markt en ontwikkelingen binnen de CINQ Data unit.

Onze visie op data in 2024

Have you ever been curious to know how to use streaming data with anomaly detection algorithms to check if the system you care about is doing anything peculiar? 

This could be detecting fraud in your banking software, disease detection in healthcare, maintenance of industrial hardware… Well in this instance one of our Data Engineers, James Twose, will take you through an anomaly detection project using mock voltage data taken from a fictional smart meter. 

What technology can be used to do this, (Kafka, Trino, PostgreSQL, River, sklearn, Streamlit)

How all of the different parts interact with each other (mainly focussing on the use of Trino as a semantic layer between everything)

What the idea of anomaly detection is, and will lightly touch on how it works and,

How you could run this locally on your own computer, with an in depth demo of the system

Power anomaly detection Trino demo

We hope that what you learned from this was useful, and that it shone a light on the possibilities of real time anomaly detection. We are curious what use cases you come up with, and fingers crossed, that this is a good starting point for your projects.

Find the full repository on GitHub: https://github.com/jameshtwose/power-anomaly-detection/blob/main/README.md

This video explains how to use streaming data with anomaly detection algorithms to check if the system you care about is doing anything peculiar.

Realtime anomaly detection with Trino

In het jaar 2025 bevinden we ons te midden van een ongekende datarevolutie. Data wordt net zo waardevol gezien als olie en daarom is het essentieel om het maximale potentieel ervan te benutten. Ondanks de groeiende inzet van bedrijven om deze schat aan informatie te gebruiken blijven de verscheidenheid, het volume en de complexiteit van data een uitdaging.  En laten we niet vergeten: de toekomst belooft een forse toename van data. Het is hoog tijd om de controle over deze data-explosie te nemen en te behouden!  Tijdens deze sessie geeft Bas een aantal direct toepasbare tips om de data-explosie te bedwingen.

Bekijk hier de presentatie van Bas op de CINQ.Conferentie 2023.

Tips om de data-explosie te bedwingen - Bas Bakkenes @ CINQ.Conf 2023

Bekijk de video van de presentatie van Bas Bakkenes tijdens CINQ.Conferentie 2023: Tips om de data-explosie te bedwingen.

Tips om de data-explosie te bedwingen

In this blog we will state some of the changes and challenges you might face when you upgrade to Splunk 9.1. After reading this blog and checking the latest release notes you should have a better understanding of the upcoming changes when you upgrade to Splunk 9.1.

Preserve search history across search heads

A well know complaint of any Splunk user is that if the Splunk Search heads are in a cluster, they lose their search history. This is because the history of the users is stored locally per Search Head. Starting from Splunk 9.1 the search history is replicated to the other cluster nodes by using a kvstore. This was one highly upvoted Splunk Ideas item and its great to see that Splunk listened to the feedback and implemented it.

For critical Splunk environments the ability to renew the TLS certificate for outputs/server or web without having to restart splunkd is a very welcome change. This helps administrators to minimize downtime of their Splunk environment. 

Starting with Splunk 9.1 it is possible to fill the Dashboards Trusted Domains List with domains/urls that provide content for their dashboards. This will prevent warnings for your user that external content is loaded when they open the dashboard. A other helpful feature is that if you link to external website like your ticket management system you no longer have to click allow if the url is added to the Dashboards Trusted Domains List.

There are a number of improvements to the dashboard studio dashboards in Splunk. 

Export the data results of any visualization to a CSV

If a search does not provide any results you can now hide the panel when you are using a absolute layout dashboard. This is not the exact same functionality as the depends option in simple xml dashboard but this does help. 

You can now export each result to a csv, instead of opening each search and having to export the data there.

Instead of having the inputs in the top left corner it is now possible to place them closer to the panel they affect. This makes it easier for user to “get” how the dashboard is impacted by changes inputs.

After reading the description we tried to find more documentation and ask on slack what the impact of this change will have on searches. The answer from Splunk is as follows:

stats v2 is an "under-the-covers" change that we're telling customers about just as an fyi; it's not anything for you to be concerned about.

You have to specifically edit conf files to have stayed in stats v1 so realistically almost all customers are already using stats v2.

If your organization has a Splunk unlimited license you can now create a high availability cluster of license managers behind a loadbalancer. Unfortunately there is no mention of users that do not have an unlimited license, you could still build a solution yourself but Splunk does not support it out of the box.

When installing the Splunk Universal Forwarder 9.1.x on a fresh machine using the RPM/DEB installer it now creates a splunkfwd account instead of a splunk account. This could cause some problems if you added the Splunk user to certain groups that have access to log files. The new splunkfwd will not have the same rights and you will might not see all the logs that you would expect.  If you are upgrading from an older version you might want to change the default user so that you have 1 standard user across your environment. Admin’s should really check the impact/test the upgrade to make sure you do not run into any issues when upgrading your production environment.  

https://docs.splunk.com/Documentation/Splunk/latest/ReleaseNotes

https://docs.splunk.com/Documentation/Splunk/latest/DashStudio/WhatNew

In this blog we will state some of the changes and challenges you might face when you upgrade to Splunk 9.1. After reading this blog and checking the latest release notes you should have a better understanding of the upcoming changes when you upgrade to Splunk 9.1

Read this before upgrading to Splunk 9.1

Lately, a lot of people have been asking me about how to deploy web apps using Docker, Inc for their hobby projects. So to help people I threw this quick tutorial about how to deploy an R Shiny web app on Render using their free tier. 


In this tutorial, we are creating a simple R Shiny web app, running it locally, hosting it locally via Docker (desktop), and deploying via Docker and render.com. Sounds fun, right? Let's have a look! 

Deploying R Shiny App via Render Tutorial

Clone this repo
git clone git@github.com:jameshtwose/rshiny-docker-render.git

Open the app in your browser
http://localhost:5000

Build the Docker image
docker build -t rshiny-docker-render .

Run the Docker image
docker run -d -p 5000:5000 rshiny-docker-render

The GitHub repo can be found here: https://github.com/jameshtwose/rshiny-docker-render
And the live demo can be found here: https://rshiny-docker-render.onrender.com/ 

This video tuturial shows you how to deploy an R Shiny webapp, using Docker on Render's free tier.

How to deploy a webapp with Docker on Render

How to deploy an R Shiny webapp with Docker on Render

Our clients are often asking us what is the best technology stack/ architecture to use for their businesses. So today one of our Data Engineers, James Twose, will take us through a comparison of a paid technology stack and an open source technology stack to create, deploy and maintain an MLOps solution. Specifically, a web application that attempts to predict the amount of time the trains in the Netherlands will be disrupted (in minutes) based on the weather conditions on the day (temperature, rain amount).

The following is a presentation of the technology stack comparisons, their learning curves, their pro’s and con’s, and their corresponding prices:

Paid vs open source MLops solution: Introduction

As mentioned in the previous video, here is the setup and demo of the open source, Kubernetes, version of the project:

Paid vs open source MLops solution: Open source version with Kubernetes

And finally, the paid, Databricks, version of the MLOps solution:

Paid vs open source MLops solution: Paid version with Databricks

We hope you found this post enlightening and that what you learned helps you to make decisions for your company, and provided some insights into the process of using these different approaches.  

The GitHub repository for this project, including the presentation, can be found here - https://github.com/cinqict/paid-vs-opensource.

Our clients are often asking us what is the best technology stack/ architecture to use for their businesses. In this video tutorial one of our Data Engineers, James Twose, will take us through a comparison of a paid technology stack and an open source technology stack to create, deploy and maintain an MLOps solution

Paid vs open-source MLops solution

Comparing a paid vs open-source MLops solution

CINQ ICT lanceert deze maand een nieuwe dienst: de KubeScan. Dat doet de Kubernetes Certified Service Provider op KubeCon in de RAI Amsterdam. De KubeScan is specifiek ontwikkeld voor bedrijven die de eerste stap willen zetten naar containerisatie met Kubernetes.

Veel organisaties moderniseren hun IT-landschap door naar de cloud te migreren en door hun softwareproducten in containers te verpakken. De vervolgstap is container-orkestratie door Kubernetes. Dit complexe proces vereist specifieke expertise. Voor bedrijven die op zoek zijn naar schaalbaarheid en flexibiliteit voor hun digitale producten, is de KubeScan van CINQ ICT de oplossing.

“Sommige bedrijven hebben al ideeën over hoe ze met Kubernetes willen werken en vragen om een second opinion, terwijl anderen nog moeten starten met een plan”, vertelt Stefan Koppelaar, commercieel directeur bij CINQ ICT. “De KubeScan biedt in beide gevallen een uitgebreid advies en plan van aanpak. Eventueel gevolgd door de implementatie van de oplossing en training in Kubernetes. Zo beginnen bedrijven met een betrouwbaar en kostenefficiënt fundament aan hun migratie naar de cloud.”

CINQ ICT heeft de KubeScan al bij diverse bedrijven mogen uitvoeren. Zo ontdekten een uitgeverij, een bedrijf dat payroll software maakt, en een softwarebedrijf voor banken en verzekeraars, al het potentieel van Kubernetes voor hun organisatie. 

“Bedrijven die software ontwikkelen, zijn voortdurend op zoek naar manieren om de werking hiervan te verbeteren”, vervolgt Koppelaar. “Ook omdat ze te maken hebben met verschillende IT-omgevingen bij hun klanten. Kubernetes is een populaire oplossing om op een gestandaardiseerde manier software sneller naar een werkende productieomgeving te brengen.”

CINQ ICT is van 19 tot en met 21 april te vinden op KubeCon + CloudNativeCon Europe 2023 bij stand S76.  

CINQ ICT lanceert deze maand zijn KubeScan tijdens KubeCon in de RAI Amsterdam. De KubeScan is specifiek ontwikkeld voor bedrijven die de eerste stap willen zetten naar containerisatie met Kubernetes. Lees hier meer.

CINQ ICT lanceert KubeScan op KubeCon Amsterdam

After a few years as a Splunk Administrator it was finally time for me to get my Splunk Enterprise Architect certification. In this blog I will share my journey through the different courses and what I did to prepare myself for the practical and theoretical exams.

Before starting your Splunk architect courses you should have the following certifications:

Make sure these certifications are still valid since they expire  3 years after obtaining them. You can still follow the courses for Splunk Enterprise Architect if they have expired, but you will not be able to take the last exam at Pearson VUE until you renew them both.

These are the three courses you have to follow:

Architecting Splunk Enterprise Deployments 

During two of the three required courses you will have access to lab environments, use the time you have left after completing the assignment to look at the assignments and make notes on the commands you used.

Make sure you make notes during the courses about best practices and things like search factor/replication factor and site settings, these notes will help you out when you take the practical lab.

Since you are required to do a practical lab to obtain the Enterprise Architect certification I highly recommend building your own Splunk environment lab. If you have a pc or laptop with 16 GB you could use a couple of VM’s with minimal cpu/memory (1/1GB) to build your own Splunk clusters.  For a cluster you could build something like the following set up:

A virtual machine for the license manager, manager node and deployment server role.

2 virtual machines for an indexer cluster

A single search or if you really have some resources left you could make 3 virtual machines as a search head cluster and use the license/manager node as a deployer.

For a license you could request a developer license at:

https://dev.splunk.com/enterprise/dev_license/

That way you really get some experience with setting up a Splunk environment.

For the practical lab you have a Webex call the first 4 hours with one of the Splunk trainers.

Use these 4 hours to make sure that you understand what you should be building. Don’t start at the beginning without looking at all the steps that you should be going through.

Once you have all the information you need to build a Splunk environment you can start but make sure you take notes during the configuration.

You will get 24 hours to complete the environment and sent a mail to the trainer, if you have built Splunk environments in the past then you could finish in 4 to 6 hours. If you have never build a Splunk environment then it will likely take about 10 hours so make sure you have enough time allocated in your calendar to focus on the practical lab.

Once you have passed the practical lab you will get access to the exam at Pearson VUE if you have the power and admin certification, this one is just like any other Splunk exam. Make sure you read through all the provided documents and your notes from the courses  and you should be able to pass this exam and become an official Splunk Enterprise Architect.

https://www.splunk.com/en_us/pdfs/training/splunk-enterprise-certified-architect-track.pdf

Prepare yourself for your Splunk Enterprise Certified Architect exam with tips and tricks from our Splunk consultant.

How to prepare for the Splunk Enterprise Certified Architect exam

Vakmensen, dat zijn we. En wat we doen op het gebied van informatie- en communicatietechnologie helpt organisaties slim verder. Effectief en meetbaar bovendien. Aangenaam, CINQ. Specialisten in Data, DevOps en Development. Wij geloven in specialisten, vandaar de driedeling Data, DevOps en Development binnen ons bedrijf. Zo zorgen we dat jij excelleert, want je werkt het best waar je je het meest thuis voelt. Logisch, toch?

cinq_logo.png

cinq_logo_square.png

CINQ ICT

We delen graag onze kennis over Data, DevOps en Development met je. Op ons blog lees je tips en tricks over bijvoorbeeld Splunk, Docker, Kubernetes en Java.

Onze laatste blogs over Data