SplunkでJPCERTログ分析トレーニング（ハンズオン その６）
https://blogs.jpcert.or.jp/ja/2020/07/log_analysis_training.html
で「インシデント対応ハンズオン」でやってきたデータが公開されたのでSplunkでやってみる。
準備
https://jpcertcc.github.io/log-analysis-training/
から
https://github.com/JPCERTCC/log-analysis-training
に飛んで、
git clone https://github.com/JPCERTCC/log-analysis-training.git
レポジトリがダウンロードできる。
ソースタイプの設定
今回は前回までと違って、きちんとソースタイプを設定してあげないと、ログの改行などおかしくなってしまう。
the Splunk Add-on for Windowsをインストールして、基本的な設定をSplunkに準備しておく
xmlファイルをアップロードしたら、
-
xmlwineventlogを選択 -
タイムスタンプ・プリフィックスにTime=\"を設定 -
詳細から
SHOULD_LINEMERGEをfalse -
LINE_BREAKERを([\r\n]+)\<Event xmlns - 別名で保存し、次に進む。
これで、データ取り込みはOKとなる。
検索
今回はLogonTracerの使い方の説明なので、Splunkがどうといった話ではないので、フィールドの抽出だけ
source="Security.xml"
| spath input=EventData_Xml
| rename Data{@Name} as Data_name
| eval xml_data=mvzip(Data_name,Data,"=")
| rename _raw as raw
| fields - *Data* System_Props_Xml date_* host punct source sourcetype splunk*
| rename xml_data as _raw
| kv
| fields - xml_data _raw
| rename raw as _raw
これで左側にきちんとフィールド抽出結果がでているので、調査もしやすくなる。
まとめ
その１の感想で「grepと何が違うの？」というのがありました。
Splunkのいいところって、項目抽出が後でもできるので、全体の頻度とかを確認しながら疑いのあるところや必要なものを検索（grep）やら戻ったりして調査できることだと思います。
先ほどの取り込みやSPLのように用意されているものが使えなかったりした場合は苦労することになります。
今回は加工されたログなので、いろいろと調整しましたが
https://docs.splunk.com/Documentation/Splunk/latest/Data/MonitorWindowseventlogdata
と基本的には問題は発生しない（はず）です。
とりあえずはこれにておしまい。
質問とかありましたら、よろしくお願いします。
Author And Source
この問題について(SplunkでJPCERTログ分析トレーニング（ハンズオン その６）), 我々は、より多くの情報をここで見つけました https://qiita.com/toshikawa/items/a7012ba68f2c8c88927f著者帰属：元の著者の情報は、元のURLに含まれています。著作権は原作者に属する。
Content is automatically searched and collected through network algorithms . If there is a violation . Please contact us . We will adjust (correct author information ,or delete content ) as soon as possible .