Splunk数据接入

前言

Splunk支持多种多样的数据源，比如它可以直接上传文件，可以监控本地的任何目录或文件，也可以配置通用转发器等方式来完成数据接入。Splunk所有的设置都可以通过Web页面、使用Splunk CLI命令，甚至是直接修改配置文件，以此来完成设置。

那么，如何接入数据呢？我们通过两个比较常见的数据接入场景做个应用示例吧。

• • 导入离线文件：Splunk的教学测试数据 ：tutorialdata.zip
  • 收集syslog 日志 ：Linux
  • 使用通用转发器（Agent）收集数据：Windows

后续测试接入Fortinet UTM，及其他安全设备，并且用Splunk的add on插件来解析字段

一、导入离线文件

• • 选择添加数据
  • 上传来自本地计算机的文件
  • 点击选择文件按钮
  • 这里选择路径中的段，并输入1

由于数据源需要一个主机名，因为我们是安装在Linux中的，因此第一个字段是主机名。

• • 点击提交信息将上载文件
  • 成功后将显示
  • 为了验证是否上载成功，点击上图开始搜索的绿色按钮，将显示以下内容

source="tutorialdata.zip:*"

由此可以验证，测试数据已经上传成功。

二、通过syslog收集日志

2.1 linux syslog 配置转发，客户端配置

Linux 配置转发部分请参考另外一篇文件，主要步骤是rsyslog安装、配置接收服务器等

《Centos rsyslog 配置》

2.2 Splunk 监听配置

1）依次访问访问首页→ 添加数据 →监视 →TCP/UDP，选择UDP，确认端口，点击下一步。

2）选择来源类型，确认主机和索引，点击检查。

当然也可以选择新建索引或默认

3）检查确认后，点击提交。

4）这里已经完成UDP监听端口的创建，点击开始搜索，可以发现linux客户端传输过来的syslog数据。

source="UDP:10514"

三、使用通用转发器收集Windows日志

3.1 配置Splunk 接收端口

1）设置→转发和接收→配置接收,新增接收端口

3.2 安装windows客户端，Splunk forwarder

Splunk Universal Forwarder 下载链接

下一步、下一步安装即可，有几个位置需要注意的

将通用转发器配置为部署客户端，hostname or IP 填写 indexer 的ip 和 8089 默认通讯端口，与服务端（indexer）进行连接

配置接收的服务器端口-9997（在splunk-indexer里面配置）

然后直接完成安装

3.3添加windows 日志

1）在设置→转发器管理里面，可以看到已上线的客户端

2）设置→数据输入，选择Windows事件日志，新建新远程Windows事件日志

3）选择来源，选择事件日志--全选

4）选择索引，或者新建索引

5）检查后提交

6）完成数据添加

7）点击开始搜索，成功获取到Windows事件日志

source="wineventlog:*" index = "win-data"

备注：如果新建了索引，在查询时候必须要添加索引，index = "对应索引名"，不然会搜到默认索引