0x0 概述
Splunk是什麼？
Splunk是一個功能強大的機器數據分析平臺，包括機器數據的收集、索引、搜索、監控、可視化和告警等。另一方面來說，Splunk是一個時間序列索引器，因爲Splunk索引數據的時候，是基於數據時間戳把數據拆分成事件。
Splunk支持從任何IT設備和應用（服務器、路由交換、應用程序、數據庫等）收集日誌，支持對日誌進行高效搜索、索引和可視化。可應用於：IT運營、安全合規、商業分析等。
Splunk功能概述
-
數據獲取：
Splunk支持各種格式(如XML、JSON)和非結構化機器數據的獲取。 -
數據索引：
Splunk會自動索引從各方獲取的數據，以便在各種條件下進行搜索 -
數據搜索：
Splunk中的搜索包括在儀表板上創建指標或索引的模式。 -
Dashboards：以透視表、圖表、報告等形式展示搜索結果
-
告警：用於在分析數據中發現的某些異常活動時觸發郵件或其他方式的告警推送。
-
Splunk 的三大組件：
-
Splunk 轉發器：用於收集日誌的組件，將日誌數據轉發給
Splunk索引器進行處理和存儲。 -
Splunk 索引器：用來索引和存儲轉發器中的數據，將傳入的數據轉換爲事件，並將其存儲在索引中，以便高效地執行搜索操作。
-
Splunk 搜索頭：用於與
Splunk交互的組件。爲用戶提供了一個圖形用戶界面來執行各種操作。用戶可以通過輸入搜索詞來搜索和查詢索引器中存儲的數據。
-
0x1 Splunk的安裝配置（以Ubuntu爲例）
配置要求：
-
Ubuntu 20.04 以上系統版本
-
4G或以上內存
-
2核或以上CPU
Splunk企業版下載安裝
Splunk企業版提供試用安裝版，我們可以去官網下載：
https://www.splunk.com/zh-hans_cn/software/splunk-enterprise.html創建一個帳號並選擇相應的版本進行下載：
這裏我們選擇.deb版本。
然後在系統上安裝：
root@osboxes:/tmp# dpkg -i splunk-8.2.2-87344edfcdb4-linux-2.6-amd64.deb
Selecting previously unselected package splunk.
(Reading database ... 148598 files and directories currently installed.)
Preparing to unpack splunk-8.2.2-87344edfcdb4-linux-2.6-amd64.deb ...
Unpacking splunk (8.2.2) ...安裝完成後，默認位於/opt/splunk/目錄：
初始化Splunk設置
root@osboxes:/tmp# cd /opt/splunk/
root@osboxes:/opt/splunk# ./bin/splunk enable boot-start
SPLUNK GENERAL TERMS按空格瀏覽軟件協議，按y鍵同意協議內容。
然後創建Splunk管理員用戶和密碼：
啓動splunk服務：
root@osboxes:/opt/splunk# systemctl start splunk
root@osboxes:/opt/splunk# 沒有報錯，說明啓動成功。現在可以在瀏覽器中使用http://serverip:8000訪問Splunk的Web UI
輸入設置的用戶名和密碼登錄到Web UI頁面：
至此，Splunk安裝已經完成，下一步就是添加數據
0x3 Splunk數據的獲取
點擊Web UI中的“添加數據”，進入數據添加引導流程，Splunk提供多種添加數據的方式：
這裏我們要添加主機的日誌文件進行監控，所以選擇“監視-此Splunk平臺實例上的文件或端口”：
選擇“文件和目錄”，點擊右側的瀏覽
選擇日誌目錄，然後確定：
然後點擊下一步：
輸入的一些設置，可以根據需求進行設置，如果沒有問題，就可以點“檢查”：
提示成功，點“開始搜索”：
現在已經成功將數據添加到Splunk進行索引，可以根據需求搜索和監控日誌文件了。
0x4 Splunk添加Windows日誌監控
首先從Splunk上下載通用轉發器：
https://www.splunk.com/zh-hans_cn/download.html
根據需求進行下載：
在Windows主機上安裝轉發器：
根據需求選擇要採集的數據：
根據提示填寫必要信息，然後安裝
回到Splunk的Web UI界面，點擊右側的“設置”-->“轉發和接收”：
新增一個接收設置：
配置接收端口，然後保存：
回到搜索中，就可以搜索Windows的日誌了：
0x5 Splunk添加儀表板
在搜索結果的右側點擊“另存爲”，可以創建儀表板或者報表、告警。
根據需求填寫信息和選項，然後點保存：
這樣一個儀表板就創建好了：
更多搜索示例可以參考官方文檔：https://docs.splunk.com/Documentation/SCS/current/SearchReference/SearchCommandExamples
更多儀表板的創建和說明可以參考官方文檔：https://docs.splunk.com/Documentation/Splunk/8.2.2/Viz/BuildandeditdashboardswithSimplifiedXML#Dashboard_examples