Ahogy láttátok a szerdai Splunk User Group rendezvényen, próbálunk mindig újabb és újabb, Splunk-hoz kapcsolódó szlogent rakatni a pólókra. De most eszünkbe jutott, hogy kitalálhatnánk akár Magyarországhoz köthető, specifikus, vicces feliratokat is.
Ilyen ötletek már beestek a postaládába:
Log ez a póló rajtam
Szemmel greppelés helyett
Kilog a lóláb
Amália detektor
LLMez helyetted
O11y lyó keresni vele
k…
Természetesen ezek a Universal Forwarder-ek a GUI-n látszódnak (Deployment Server / Settings / Forwarder Management / Forwarder tab), de néha jobb, vagy egyszerűbb egy query-ből lekérdezni ezt. Itt segíthet a REST API felület.
Egy példa query látható alul, ebben az esetben azokat az UF-eket listázza a query, melyek több, mint 60 perce nem jelentkeztek be a Server-re:
...
| rest /services/deployment/…
see moreA Splunk AI Assistant for SPL kétirányú fordítást kínál a természetes nyelv (natural language) és a Splunk Search Processing Language (SPL) között, amely teljes mértékben személyre szabható az egyedi környezethez és adatokhoz.
Az Agentic Response Generation segítségével minden funkció zökkenőmentesen integrálódik egyetlen chat ablakba. Az app fejlett érveléssel és tool használattal dolgozza fel a …
see moreA Federated Search for Amazon S3 keresése lehetővé teszi az Amazon S3-ban található adatok közvetlen keresését Splunk Cloud Platform-ból, természetesen a megfelelő beállítások és jogosultságok megadása után (részletek).
Mindez most ki is próbálható, további kültségek nélkül, de természetesen vannak előfeltételek:
- Splunk Cloud Platform 10.1.2507.x, vagy újabb verziójú Splunk instance
- Splunk manag…
see moreA Splunk POD egy szabványosított, részben automatizált telepítési megoldás, amely integrálja a Splunk Enterprise szoftvert a Cisco UCS hardverrel. Egyszerűsíti a telepítést azáltal, hogy a szoftvert és a hardvert egy csomagban kínálja, így gyorsabban hozhatók ki a Splunk előnyei, és csökken a több gyártótól származó környezetek kezelésének bonyolultsága.
Azok az ügyfelek, akik először telepítik a …
see moreA Cisco Security Cloud természetesen integrálható a Splunk Cloud megoldásával. Azonban hiába állítjuk be a cisco:ftd:syslog logforrást megfelelően a props.conf file-ban, a logokat nem tudja parse-olni a Splunk. A hiba itt is a formátummal lehet, hiába tűnik ftd formátúmunak a log, az tulajdonképpen asa formátum. Viszont szerencsére ez könnyen átállítható a Cisco oldalán, azaz az eredeti asa formá…
see moreBárki használhat lookup table-ket a Splunk környezetben. De hol és hogyan lehet megnézni, hogy ki is használja ténylegesen adott táblát? Elsőre lehet keresni az audit logok között, hiszen ott látható lesz, ha valamelyik keresésben szerepelt a tábla neve:
...
index=_audit action=search info=completed search="*your_lookup_table_name*"
...
Ám a helyzet (sajnos) ennél kicsit bonyolultabb. Hiszen nem csak…
see moreHa olyan adatokat, logokat is gyűjt a Splunk környezetünk, amelyek érzékeny adatok (pl. jelszavak, kártyaszámok, ID-k, egyéb személyes adatok), akkor szükség lehet ezek maszkolására.
Erre több módszer is van a Splunk-ban. Lehetséges duplikált logtárolással, role alapú mask-olással, vagy akár egy még viszonylag új módszerrel a Field Filter-el is. Mindegyik megoldásnak vannak előnyei és hátrányai (d…
see moreAzon ügyfelek, akik használnak Enterprise Security-t (és annak is a 8.x-es verzióját) azok természetesen a modul mellé kapnak folyatamos frissítéseket is. Ezeket ESCU-nak (Enterprise Security Content Update) hívják. Ezeket természetesen testre is lehet szabni, azaz akár minden egyes szabályt az ügyfél igényeknek megfelelően módosítani lehet. Azonban fontos, hogy össze lehessen hasonlítani az ügyf…
see moreIgen, természetesen a Splunk ezt is tudja. Nem a legideálisabb ugyan a search time field extraction, de ha nincs más út, akkor a rex parancs használható itt is. A rex utasítás így néz ki:
| rex field=<field_name> "beforepattern(?P<extract_name>field_match)afterpattern"
A <field_name>-el tudjuk megmondani, hogy melyik field-ben keressen.
A beforepattern-el tudjuk definiálni, hogy mi…
see moreVan, amikor a túl bonyolult jelszavak okoznak gondot. A Splunk-ot természetesen lehet használni clusterezett környezetben is. Előfordulhat azonban egy érdekes hibaüzenet ha app-okat, vagy add-onokat szeretnénk kiküldeni a Search Head node-okra cluster környezetben a deployment szerverről:
...
Error in pre-deploy check, uri=https://x.x.x.x8089/services/shcluster/captain/kvstore-upgrade/status, statu…
see moreHa például van egyetlen Universal Forwarder-ünk, de azt szeretnénk, hogy sourcetype alapon továbbítsa a logokat különböző Indexer megoldások felé:
- sourcetype: IIS logs -> destination = Indexer1
- sourcetype: Event Viewer data -> destination = Indexer2
akkor is jól használható a _TCP_ROUTING az inputs.conf file-ban, hogy beállítsuk a különböző sourcetype-okhoz a különböző cél címeket.
Részlete…
see moreJó tudni, hogy a "KV Store initialization has not been completed yet" üzenet mögött sokféle hibalehetőség lehet (mostanában sokan szembesültek ezzel a mongoDB nem frissülő adatbázis verziója miatt), de például a cikkben a tanúsítvány lejárata okozott hibát.
A hibakeresésben első körben a kvstore logjainak elemzése segíthet a Search Head (cluster)-en:
| rest /services/kvstore/status
| fields splunk_s…
see moreJó hangulat, teltház, remek sörök ... és tartalmas szakmai beszélgetések!
Bolondok napján az Arrow ECS Hungary társszervezője volt az első magyarországi Splunk User Group Meetup-nak a Kandalló Craft Beer & Burger Pub-ban. Célunk az volt, hogy segítsünk összehozni a Splunk rajongókat, IT szakembereket és iparági szakértőket egy tanulással, kapcsolatépítéssel és szórakozással teli estére. A rem…
see moreSokan ezeket a kifejezéseket egymás szinonimájaként használják, pedig vannak köztük funkcionális eltérések. A különbségek ráadásul elég fontosak, hiszen ezek döntik el, hogy egy adott use case-nél melyik gyártó, melyik megoldása az optimális az ügyfélnél.
A "data platform" egy átfogó, teljeskörű megoldás az összes adat számára. Egy valódi adatplatform képes a szervezeten belüli összes rendszer és…
see moreA keresések végrehajtásához a Splunk saját nyelvet, az SPL-t (Search Processing Language) használja. Az SPL parancsok több típusba sorolhatók az általuk végzett feldolgozástól függően. Különösen egy olyan elosztott környezetben, ahol a Splunk rendszer több szerverből áll, az SPL típusától függően más-más modulok végeznek nagyobb munkát, sajnos könnyű nem optimalizált kereséseket létrehozni. A cik…
see moreElőfordulhat, hogy szükség van a Splunk-ba beérkező napi eseményszám (log, trace, metrics) megjelenítésére. Ezt több módszerrel is meg lehet tenni... Lehet akár timechart utasítást is használni, annak azonban az az óriási hátránya, hogy ténylegesen beolvassa az összes eseményt adott időszakra, amire itt semmi szükség, cserébe sok memóriát használ. Sokkal célravezetőbb a tstats utasítás, mely pont…
see moreMár nagyon régóta érdeklődnek az ügyfelek az Enterprise Security multi-tenant képességeiről, de sajnos még mindig nincs hivatalos dátum, hogy mikor lesz ez az opció is elérhető.
see moreHiába van megfelelően konfigurált Splunk Forwared-ünk. Hiába van beállítva, hogy mely logokat gyűjtsön, és mit hogyan továbbítson az Indexer felé, ha a service account nincs megfelelően beállíva, akkor nem tud logokat küldeni az Indexer felé a Forwarder.
Részletek:
https://community.splunk.com/t5/Getting-Data-In/Sysmon-events-not-getting-indexed/m-p/655609#M111072
see moreHa az alábbi hibaüzenetet látod a frissítés során és minimum 8-as Linux verziót használsz:
...
File "/opt/splunk/lib/python3.7/site-packages/splunk/clilib/cli.py", line 39, in <module>
from splunk.rcUtils import makeRestCall, CliArgError, NoEndPointError, InvalidStatusCodeError
MemoryError
Error running pre-start tasks.
...
Akkor érdemes megnézni a "/opt/splunk/lib/python3.7/ctypes/__init__.py" fi…
see more