网络安全最全Splunk工具学习（下载、安装、简单使用、核心概念），2024最新网络安全面试真题解析

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

需要这份系统化资料的朋友，可以点击这里获取

wget -O splunk-8.2.4-87e2dda940d1-Linux-x86_64.tgz 'https://download.splunk.com/products/splunk/releases/8.2.4/linux/splunk-8.2.4-87e2dda940d1-Linux-x86\_64.tgz'

mac 命令行

wget -O splunk-8.2.4-87e2dda940d1-macosx-10.11-intel.dmg 'https://download.splunk.com/products/splunk/releases/8.2.4/osx/splunk-8.2.4-87e2dda940d1-macosx-10.11-intel.dmg'

Splunk简单使用

登录

访问：http://ip:8000

搜索

点击搜索，尝试使用搜索功能

index="\_internal"  source="/opt/splunk/var/log/splunk/metrics.log"

详细了解Splunk

Splunk的概念

Indexes-索引

添加数据时，Splunk会将数据解析为事件，提取时间戳，保存到磁盘的索引中，默认是保存到“main”索引中，你可以自建索引，搜索时将从一个或多个索引中搜索。

Events-事件

带有时间戳的数据，如文档、配置文件，报错信息，例如，一个Web相关事件：

173.26.34.223 - - [01/ Mar/2021:12:05:27 -0700] “GET /trade/ app?action=logout HTTP/1.1” 200 2953

Index-time 索引时间、Search-time 搜索时间

索引时间指的是数据从主机读取，被分类成数据源，提取时间戳，被解析为事件，写入到磁盘的索引上的处理过程。
搜索时间指的是从磁盘上的索引搜索事件并从事件中提取字段的处理过程。

Metrics-指标

一个指标数据点包含时间戳和一个或多个测量值。例如

Timestamp: 08-05-2020 16:26:42.025
-0700
Measurement: metric_name:os.cpu.
user=42.12, metric_name:max.size.
kb=345
Dimensions: hq=us-west-1,

host-主机和source-资源

host是物理或虚拟设备的名字，source可以是目录、文件、数据流，source-type可以是协议等标识符。前面搜索结果中的splunkd就是指xxx.log是来自splunk服务端。

Fields-字段

fields就是键值对，不是所有的事件都有相同的字段。Splunk会在返回结果时根据你的搜索语句进行字段提取，也可以利用字段提取器通过正则等来提取字段，这是和Elastic Search的一个区别。

Tags-标签

可以把标签指定到某个字段或字段的集合，来搜索包含特定字段的事件。

核心特性

Search-搜索

搜索是用户得到想要的数据的主要方式，可以使用计算指标的搜索语句来检索事件并将搜索保存为报告，通过仪表盘进行可视化。所以，学好SPL吧！！！

Reports-报告

报告是保存的搜索，可以执行、定期执行来生成警报。报告可以添加到仪表盘。

Dashboards-仪表盘

仪表盘由面板组成，其中包含搜索框、字段和数据可视化等模块。仪表板通常是连接到报告。他们可以展示已完成搜索的结果，以及来自实时搜索的数据。

Alerts-警报

符合条件时会触发警报，可以通过历史搜索或事实搜索触发警报，警报可以通过电子邮件等方法发到您的手中。

以下为其他特性

Datasets-数据集

可以创建和管理不同类型的数据集，如数据模型、表数据集（Table Datasets），

Data Model-数据模型

Table Datasets-表数据集

表数据集时集中的、精心策划的事件数据集合，可以通过Table Views来定义和管理强大的表数据集，Table Views是SPL和可视化用户界面的翻译工具，不需要很了解SPL就能使用。

Apps-应用

应用是配置、仪表盘等的一个集合，应用扩展了Splunk，可以创建为网络安全人员、企业管理员提供服务的应用。

Distributed Search-分布式搜索

将搜索和表示层分离，就是使用集群来进行分布式搜索，提高性能和可扩展性。

系统组件

Forwarders-转发器

将数据转发到另一个Splunk实例的Splunk实例称为转发器。

Indexer-索引器

索引器将原始数据转换为事件，并将事件存储到索引中。索引器还根据搜索请求搜索索引数据。搜索对等点是索引器，用于满足来自搜索头的请求。

Search Head-搜索头部

在分布式搜索环境中，搜索头部是将搜索请求定向到一组搜索对等点的Splunk实例，将结果合并返回给用户。如果实例只进行搜索而不进行索引，则通常称为专用搜索头。

参考

官网 - Splunk | Turn Data Into Doing
中文官网 - SIEM、AIOps、应用程序管理、日志管理、机器学习和法规遵从性 | Splunk
Docker Hub - Splunk
Splunk社区 : Community - Splunk Community
splunk快速入门指南

给大家的福利

零基础入门

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

因篇幅有限，仅展示部分资料

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！