Hungary Splunk User Group

Hogyan listázhatóak SPL segítségével azok a Universal Forwarder-ek, melyek nem kapcsolódnak a Deployment Server-hez?

Természetesen ezek a Universal Forwarder-ek a GUI-n látszódnak (Deployment Server / Settings / Forwarder Management / Forwarder tab), de néha jobb, vagy egyszerűbb egy query-ből lekérdezni ezt. Itt segíthet a REST API felület.

Egy példa query látható alul, ebben az esetben azokat az UF-eket listázza a query, melyek több, mint 60 perce nem jelentkeztek be a Server-re:

...

| rest /services/deployment/…

Splunk AI Assistant for SPL

A Splunk AI Assistant for SPL kétirányú fordítást kínál a természetes nyelv (natural language) és a Splunk Search Processing Language (SPL) között, amely teljes mértékben személyre szabható az egyedi környezethez és adatokhoz.

Az Agentic Response Generation segítségével minden funkció zökkenőmentesen integrálódik egyetlen chat ablakba. Az app fejlett érveléssel és tool használattal dolgozza fel a …

Federated Search Amazon S3 bucket-ben... most ingyenesen kipróbálható

A Federated Search for Amazon S3 keresése lehetővé teszi az Amazon S3-ban található adatok közvetlen keresését Splunk Cloud Platform-ból, természetesen a megfelelő beállítások és jogosultságok megadása után (részletek).

Mindez most ki is próbálható, további kültségek nélkül, de természetesen vannak előfeltételek:

- Splunk Cloud Platform 10.1.2507.x, vagy újabb verziójú Splunk instance

- Splunk manag…

Splunk POD-ok

A Splunk POD egy szabványosított, részben automatizált telepítési megoldás, amely integrálja a Splunk Enterprise szoftvert a Cisco UCS hardverrel. Egyszerűsíti a telepítést azáltal, hogy a szoftvert és a hardvert egy csomagban kínálja, így gyorsabban hozhatók ki a Splunk előnyei, és csökken a több gyártótól származó környezetek kezelésének bonyolultsága.

Azok az ügyfelek, akik először telepítik a …

Cisco Security Cloud app milyen formátumú logokat küld a Splunk Enterprise-ba?

A Cisco Security Cloud természetesen integrálható a Splunk Cloud megoldásával. Azonban hiába állítjuk be a cisco:ftd:syslog logforrást megfelelően a props.conf file-ban, a logokat nem tudja parse-olni a Splunk. A hiba itt is a formátummal lehet, hiába tűnik ftd formátúmunak a log, az tulajdonképpen asa formátum. Viszont szerencsére ez könnyen átállítható a Cisco oldalán, azaz az eredeti asa formá…

De mi is használja az adott lookup table-t?

Bárki használhat lookup table-ket a Splunk környezetben. De hol és hogyan lehet megnézni, hogy ki is használja ténylegesen adott táblát? Elsőre lehet keresni az audit logok között, hiszen ott látható lesz, ha valamelyik keresésben szerepelt a tábla neve:

...

index=_audit action=search info=completed search="*your_lookup_table_name*"

...

Ám a helyzet (sajnos) ennél kicsit bonyolultabb. Hiszen nem csak…

Hogyan maszkoljuk az érzékeny adatokat a Splunk-ban?

Ha olyan adatokat, logokat is gyűjt a Splunk környezetünk, amelyek érzékeny adatok (pl. jelszavak, kártyaszámok, ID-k, egyéb személyes adatok), akkor szükség lehet ezek maszkolására.

Erre több módszer is van a Splunk-ban. Lehetséges duplikált logtárolással, role alapú mask-olással, vagy akár egy még viszonylag új módszerrel a Field Filter-el is. Mindegyik megoldásnak vannak előnyei és hátrányai (d…

ESCU Companion app - Mire is használható ez az app?

Azon ügyfelek, akik használnak Enterprise Security-t (és annak is a 8.x-es verzióját) azok természetesen a modul mellé kapnak folyatamos frissítéseket is. Ezeket ESCU-nak (Enterprise Security Content Update) hívják. Ezeket természetesen testre is lehet szabni, azaz akár minden egyes szabályt az ügyfél igényeknek megfelelően módosítani lehet. Azonban fontos, hogy össze lehessen hasonlítani az ügyf…

Logokból szűrési feltételeknek megfelelő karakterek kiolvasása, mindezt keresési időben?

Igen, természetesen a Splunk ezt is tudja. Nem a legideálisabb ugyan a search time field extraction, de ha nincs más út, akkor a rex parancs használható itt is. A rex utasítás így néz ki:

| rex field=<field_name> "beforepattern(?P<extract_name>field_match)afterpattern"

A <field_name>-el tudjuk megmondani, hogy melyik field-ben keressen.

A beforepattern-el tudjuk definiálni, hogy mi…

Pre-deploy check hibaüzenet

Van, amikor a túl bonyolult jelszavak okoznak gondot. A Splunk-ot természetesen lehet használni clusterezett környezetben is. Előfordulhat azonban egy érdekes hibaüzenet ha app-okat, vagy add-onokat szeretnénk kiküldeni a Search Head node-okra cluster környezetben a deployment szerverről:

...

Error in pre-deploy check, uri=https://x.x.x.x8089/services/shcluster/captain/kvstore-upgrade/status, statu…

Mire is jó a "_TCP_ROUTING"?

Ha például van egyetlen Universal Forwarder-ünk, de azt szeretnénk, hogy sourcetype alapon továbbítsa a logokat különböző Indexer megoldások felé:

- sourcetype: IIS logs -> destination = Indexer1

- sourcetype: Event Viewer data -> destination = Indexer2

akkor is jól használható a _TCP_ROUTING az inputs.conf file-ban, hogy beállítsuk a különböző sourcetype-okhoz a különböző cél címeket.

Részlete…

Ha más is összerezzen a következő hibaüzenetre: "KV Store initialization has not been completed yet"

Jó tudni, hogy a "KV Store initialization has not been completed yet" üzenet mögött sokféle hibalehetőség lehet (mostanában sokan szembesültek ezzel a mongoDB nem frissülő adatbázis verziója miatt), de például a cikkben a tanúsítvány lejárata okozott hibát.

A hibakeresésben első körben a kvstore logjainak elemzése segíthet a Search Head (cluster)-en:

| rest /services/kvstore/status

| fields splunk_s…

Lezajlott az első Splunk Super User Group Meetup Budapesten

Jó hangulat, teltház, remek sörök ... és tartalmas szakmai beszélgetések!

Bolondok napján az Arrow ECS Hungary társszervezője volt az első magyarországi Splunk User Group Meetup-nak a Kandalló Craft Beer & Burger Pub-ban. Célunk az volt, hogy segítsünk összehozni a Splunk rajongókat, IT szakembereket és iparági szakértőket egy tanulással, kapcsolatépítéssel és szórakozással teli estére. A rem…

Data platform... data lake... investigation lake... data warehouse

Sokan ezeket a kifejezéseket egymás szinonimájaként használják, pedig vannak köztük funkcionális eltérések. A különbségek ráadásul elég fontosak, hiszen ezek döntik el, hogy egy adott use case-nél melyik gyártó, melyik megoldása az optimális az ügyfélnél.

A "data platform" egy átfogó, teljeskörű megoldás az összes adat számára. Egy valódi adatplatform képes a szervezeten belüli összes rendszer és…

SPL query felépítése / optimális használata a különböző típusú command-okat figyelmbe véve

A keresések végrehajtásához a Splunk saját nyelvet, az SPL-t (Search Processing Language) használja. Az SPL parancsok több típusba sorolhatók az általuk végzett feldolgozástól függően. Különösen egy olyan elosztott környezetben, ahol a Splunk rendszer több szerverből áll, az SPL típusától függően más-más modulok végeznek nagyobb munkát, sajnos könnyű nem optimalizált kereséseket létrehozni. A cik…

Events per day megjelenítés a Splunk konzolon

Előfordulhat, hogy szükség van a Splunk-ba beérkező napi eseményszám (log, trace, metrics) megjelenítésére. Ezt több módszerrel is meg lehet tenni... Lehet akár timechart utasítást is használni, annak azonban az az óriási hátránya, hogy ténylegesen beolvassa az összes eseményt adott időszakra, amire itt semmi szükség, cserébe sok memóriát használ. Sokkal célravezetőbb a tstats utasítás, mely pont…

Enterprise Security multi-tenant módban?

Már nagyon régóta érdeklődnek az ügyfelek az Enterprise Security multi-tenant képességeiről, de sajnos még mindig nincs hivatalos dátum, hogy mikor lesz ez az opció is elérhető.

Részletek: https://community.splunk.com/t5/Splunk-Enterprise-Security/Splunk-Enterprise-Security-Is-it-possible-to-implement-multi/m-p/267743#M2071

Mi történik ha a Windows-os Forwarder-en nem megfelelően futnak a Splunk service-ek?

Hiába van megfelelően konfigurált Splunk Forwared-ünk. Hiába van beállítva, hogy mely logokat gyűjtsön, és mit hogyan továbbítson az Indexer felé, ha a service account nincs megfelelően beállíva, akkor nem tud logokat küldeni az Indexer felé a Forwarder.

Részletek:

https://community.splunk.com/t5/Getting-Data-In/Sysmon-events-not-getting-indexed/m-p/655609#M111072

Ha Linux-on használsz Splunk Enterprise 9-es verziót, akkor az upgrade során adódhatnak problémák

Ha az alábbi hibaüzenetet látod a frissítés során és minimum 8-as Linux verziót használsz:

...

File "/opt/splunk/lib/python3.7/site-packages/splunk/clilib/cli.py", line 39, in <module>

from splunk.rcUtils import makeRestCall, CliArgError, NoEndPointError, InvalidStatusCodeError

MemoryError

Error running pre-start tasks.

...

Akkor érdemes megnézni a "/opt/splunk/lib/python3.7/ctypes/__init__.py" fi…

Splunk Attack Range

Egy ideje már szemezgetek a Splunk Attack-Range-el, a leírás alapján egy hasznos projeknek tűnik. Különféle szkriptek segítségével létrehoz egy környezetet, amely kis méretben, de valós hálózathoz hasonlít. Eddig nem nagy kaland, de a projekt részeként támadásszimuláló eszközöket és alkalmazásokat is kapunk, majd a Splunk segítségével biztonségi elemzéseket végezhetünk.

Az egészet a Splunk Threat …