Splunk：构建安全监控解决方案（第 1 部分）

在我的网络安全训练营的最后几周，我们的最终项目之一是使用 Splunk Enterprise 为一个名为 VSI（虚拟空间工业）的虚构组织构建安全监控环境，对于那些可能不知道的人来说，它是一个 SIEM（安全信息和事件管理器）。SIEM 是公司可以用来检测、分析和响应针对其组织的潜在威胁的基本工具。

由于这是一个包含很多步骤的大项目，我将把它分成两部分：

第 1 部分：
为 Windows 服务器日志数据和 Apache Web 服务器日志数据创建报告、警报和仪表板，以帮助指出任何异常活动。

第 2 部分：
通过上传攻击日志数据检查第 1 部分中创建的解决方案是否有效抵御假想攻击，并查看我们的报告、警报和仪表板是否找到任何有助于组织采取适当行动的信息尽快。

第 1 部分
我首先启动 Splunk，它已预安装在我的 ubuntu VM 中。我登录到应用程序并上传了我将用于创建报告、警报和仪表板的文件。

上传日志后，我简要地注意到并分析了以下字段：
o signature
o signature_id
o user
o status
o severity

抱歉，某些图像可能有点小且难以阅读。幸运的是，我还对每个字段中的数据进行了一些截图：

签名：

签名编号：

用户ÿ