网络安全人士必会的Splunk Enterprise安装方法

点击上方蓝色字体关注，了解更多网络安全知识

01

版本介绍

Splunk Enterprise（企业版）免费版本：试用期60天，60 天后，可以转为可永久使用的免费许可证，每日许可量500MB，支持Windows、Linux、Mac OS。

Splunk Enterprise（企业版）收费版本：根据搜索和分析工作负载消耗的计算容量定价；根据 GB/天数据摄取到 Splunk 产品中定价，Windows、Linux、Mac OS。

Splunk Universal Forwarder（通用转发器）：免费使用，采集不同平台和架构上的数据。支持Windows、Linux、Mac OS、Free BSD、Solaris、AIX。

02

版本介绍

登录splunk官网（https://www.splunk.com/zh_cn），在官网注册账号信息，需要使用公司邮箱进行注册，注册完成之后，进行下载。

Splunk Enterprise下载地址：

https://www.splunk.com/zh_cn/download/splunk-enterprise.html

Splunk Universal Forwarder下载地址：

https://www.splunk.com/zh_cn/download/universal-forwarder.html

03

产品安装

1.安装Splunk Enterprise

以windows安装为例，点击文件（splunk-9.0.3-dd0128b1f8cd-x64-release.msi）进行安装，在安装过程中需要输入登录用户名和密码。

安装成功之后登录界面如下：

输入用户名和密码进入系统，如下图所示：

2.安装Splunk Universal Forwarder

● 选择Splunk Enterprise instance。

● 不提供证书密码，则系统默认。

● 选择本地系统用户

● 根据需要选择，事件日志、平台性能监测数据、活动目录监测数据

● 输入用户名和密码

● 输入Splunk Enterprise服务端的IP地址，填写默认端口

● 输入接收器的IP地址，填写默认端口

● 完成安装。

● 登录Splunk Enterprise，查看“转发器管理”

● 通用转发器已经上线

● 配置接收端口

● 新增接收端口

● 输入默认端口

● 配置成功

● 点击添加数据

● 选择来自Splunk转发器的数据

● 选定主机和新建服务器类名称

● 选择监测数据，以本地事件日志为例

● 选择事件日志

● 建立索引

● 检查并提交

● 开始搜索

● 搜索数据如下图：

除了支持来自Splunk通用转发器的数据，还支持上传本地日志等数据或上传Splunk平台实例上的文件和端口数据。

04

总结

作为网络安全从业人员，必须熟练使用Splunk Enterprise。其先进的日志和事件管理功能使安全专业人员能够实时监测和分析网络活动，迅速识别潜在的威胁。Splunk的搜索和查询功能使其能够快速定位异常行为，提供实时的威胁情报。通过可视化和报告工具，Splunk帮助网络安全团队更直观地理解网络事件和趋势，提高决策效率。此外，Splunk的自动化警报和响应功能使网络安全团队能够快速采取措施，阻止潜在的攻击。总体而言，Splunk Enterprise为网络安全从业人员提供了全面而强大的工具，以更好地应对复杂的网络威胁。

原文始发于微信公众号（兰花豆说网络安全）：网络安全人士必会的Splunk Enterprise安装方法