Splunk系列:Splunk数据接入篇(二)

2022-04-13 8,769

一、简单概述

Splunk支持多种多样的数据源,比如它可以直接上传文件,可以监控本地的任何目录或文件,也可以配置通用转发器等方式来完成数据接入。Splunk所有的设置都可以通过Web页面、使用Splunk CLI命令,甚至是直接修改配置文件,以此来完成设置。

那么,如何接入数据呢?我们通过两个比较常见的数据接入场景做个应用示例吧,即收集syslog 日志以及使用通用转发器(Agent)收集数据。


二、应用实例1:收集syslog日志

2.1、Linux rsyslog客户端配置

(1)rsyslog安装

yum install rsyslog

(2)启用TCP进行传输

vim /etc/rsyslog.conf
# Provides TCP syslog reception     #若启用TCP进行传输,则取消下面两行的注释
$ModLoad imtcp
$InputTCPServerRun 514
*.* @@192.168.44.130:514

(3)重启rsyslog服务

systemctl restart rsyslog

2.2、Splunk TCP监听配置

(1)依次访问访问首页→ 添加数据 →监视 →TCP/UDP,选择TCP,确认端口,点击下一步。

(2)选择来源类型,确认主机和索引,点击检查。

(3)检查确认后,点击提交。

(4)这里已经完成TCP监听端口的创建,点击开始搜索,可以发现linux客户端传输过来的syslog数据。

三、应用实例2:使用通用转发器收集Windows日志

3.1 配置Splunk接收端口

(1)设置→转发和接收→配置接收,新增接收端口。

3.2 配置Windows通用转发器

(1)双击msi文件进行安装。

(2)将通用转发器配置为部署客户端。

(3)配置接收的服务器端口。

(4)点击install,直到完成安装。

3.3 添加Windows事件日志

()在设置→转发器管理里面,可以看到已上线的客户端。

(2)设置→数据输入,选择Windows事件日志,新建新远程Windows事件日志。

(3)选择来源,选择事件日志。

(4)选择索引,或者新建索引。

(5)检查后提交。

(6)完成数据添加。

(7)点击开始搜索,成功获取到Windows事件日志。

本文作者:Bypass007

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/176894.html

Tags:
评论  (0)
快来写下你的想法吧!

Bypass007

文章数:94 积分: 218

一个网络安全爱好者,对技术有着偏执狂一样的追求。

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号