Input manual de dados

Existem diversas formas de enviar dados para o Splunk que serão abordadas com mais detalhes em novos posts. Aqui vamos mostrar como fazer o input manual dos logs de exemplo utilizados aqui no blog.

A Splunk disponibiliza em seu site os logs de uma loja virtual fictícia chamada Buttercup Games, atualizados diariamente e em formato texto. Estes arquivos podem ser encontrados aqui. Após realizar o download, acesse o servidor Splunk via browser e entre na opção Settings e então na opção Add Data.

Na página que se abre, escolha a opção upload.

Localize a opção “Select Source”, navegue até a pasta onde o arquivo foi baixado e selecione o arquivo. Aqui no no nosso exemplo utilizaremos um log de serviço web que está no arquivo access.

Nesta opção, também é possível arrastar o arquivo e soltar diretamente na página.

O próximo passo é definir o Source Type, que de forma bem resumida é o conjunto de regras definido pelo Splunk para entendimento das informações em cada trecho de log. Normalmente o Splunk já tenta aplicar o Source Type mais adequado, mas caso o Splunk não faça essa definição você pode selecionar conforme imagem abaixo.

Em seguida, é possível estabelecer um nome fixo para o host. Por padrão o Splunk assume o nome do host onde o upload está sendo feito, mas pode ser alterado manualmente. Além disso é necessário atribuir um índice que receberá os dados. O índice default é o índice main, o qual receberá os dados caso nenhum índice seja escolhido. Se você desejar, pode criar um novo índice e selecioná-lo na lista.

Feitos estes passos, você será direcionado para uma tela de revisão das informações, podendo em seguida já iniciar uma busca em seu log.

Você será direcionado para a tela abaixo, já com uma consulta preenchida que traz as informações do seu log. Cada linha de log será um evento e os campos extraídos à partir do Source Type definido anteriormente estarão na coluna à esquerda.

Usaremos o índice web na maior parte dos exemplos aqui no blog, mas este modelo de input manual pode ser utilizado para qualquer arquivo em sua máquina. Recomendo inclusive a utilização destas etapas para validar e entender o conteúdo de qualquer log antes de colocar em produção.

Em breve novas postagens mostrando as outras formas de input de dados, como a coleta via agente, SNMP, syslog, entre outras.

Dúvidas sobre o post? Sugestões de conteúdo? Correções para o conteúdo? Críticas ou elogios?

Por favor, entre em contato conosco através do e-mail wevaluatebr@gmail.com e responderemos o mais rápido possível.

Se gostou, compartilhe este post em suas redes sociais e nos ajude a divulgar este trabalho!

#splunk #siem #cybersecurity #input #indice #sourcetype