[LINUX] Importieren Sie audit.log in Splunk und überprüfen Sie das Verhalten beim ersten Start von Splunk.

Einführung

Wenn Sie Splunk Enterprise zum ersten Mal starten, werden verschiedene Verarbeitungsnachrichten auf dem Bildschirm ausgegeben.

# /opt/splunk/bin/splunk start --accept-license --seed-passwd password

This appears to be your first time running this version of Splunk.
Copying '/opt/splunk/etc/openldap/ldap.conf.default' to '/opt/splunk/etc/openldap/ldap.conf'.
Generating RSA private key, 2048 bit long modulus
.................................+++++
...........................+++++
e is 65537 (0x10001)
writing RSA key

Generating RSA private key, 2048 bit long modulus
.............................................................................+++++
.................................................................+++++
e is 65537 (0x10001)
writing RSA key

Moving '/opt/splunk/share/splunk/search_mrsparkle/modules.new' to '/opt/splunk/share/splunk/search_mrsparkle/modules'.

Splunk> See your world.  Maybe wish you hadn't.

Checking prerequisites...
	Checking http port [8000]: open
	Checking mgmt port [8089]: open
	Checking appserver port [127.0.0.1:8065]: open
	Checking kvstore port [8191]: open
	Checking configuration... Done.
		Creating: /opt/splunk/var/lib/splunk
		Creating: /opt/splunk/var/run/splunk
		Creating: /opt/splunk/var/run/splunk/appserver/i18n
		Creating: /opt/splunk/var/run/splunk/appserver/modules/static/css
		Creating: /opt/splunk/var/run/splunk/upload
		Creating: /opt/splunk/var/run/splunk/search_telemetry
		Creating: /opt/splunk/var/spool/splunk
		Creating: /opt/splunk/var/spool/dirmoncache
		Creating: /opt/splunk/var/lib/splunk/authDb
		Creating: /opt/splunk/var/lib/splunk/hashDb
New certs have been generated in '/opt/splunk/etc/auth'.
	Checking critical directories...	Done
	Checking indexes...
		Validated: _audit _internal _introspection _metrics _telemetry _thefishbucket history main summary
	Done
	Checking filesystem compatibility...  Done
	Checking conf files for problems...
	Done
	Checking default conf files for edits...
	Validating installed files against hashes from '/opt/splunk/splunk-8.0.2.1-f002026bad55-linux-2.6-x86_64-manifest'
	All installed files intact.
	Done
All preliminary checks passed.

Starting splunk server daemon (splunkd)...  
Generating a RSA private key
...............................................+++++
...............+++++
writing new private key to 'privKeySecure.pem'
-----
Signature ok
subject=/CN=aio/O=SplunkUser
Getting CA Private Key
writing RSA key
Done
 [  OK  ]

Waiting for web server at http://127.0.0.1:8000 to be available.... Done


If you get stuck, we're here to help.  
Look for answers here: http://docs.splunk.com

The Splunk web interface is at http://aio:8000

Dem Inhalt der Nachricht nach zu urteilen, scheint es, dass Sie eine Datei erstellen. Was wird dieses Mal beim ersten Start erstellt? Ich habe das mit Splunk untersucht.

• In dieser Umfrage werden die Einstellungen für die Betriebssystemüberwachung geändert. Bitte beachten Sie, dass die Einstellungsmethode und das Protokollformat je nach Verteilung unterschiedlich sein können.

Umwelt zum Zeitpunkt der Umfrage

OS: Amazon Linux 2 (4.14.171-136.231.amzn2.x86_64) Splunk-Version: 8.0.2.1 Splunk-Installationspfad ($ SPLUNK_HOME): / opt / splunk

1. Splunk Enterprise-Installation

Installieren Sie Splunk. Ich werde das detaillierte Verfahren weglassen, aber dieses Mal werde ich es mit der tgz-Datei installieren.

Splunk Enterprise/opt/In Verzeichnis installieren

tar fvxz /tmp/splunk-8.0.2.1-f002026bad55-Linux-x86_64.tgz -C /opt/

2. Überprüfen Sie die Einstellungen für die Protokollausgabe

Ändern Sie die Betriebssystemeinstellungen, um die Änderungsinformationen des Splunk-Einstellungsverzeichnisses in das Überwachungsprotokoll auszugeben.

Richten Sie das Überwachungsprotokoll ein(Vorübergehende Änderung)

#Geprüftes Verzeichnis hinzufügen
auditctl -w /opt/splunk/etc/ -p wa -k etc_changes
#Bestätigen Sie, dass die Einstellungen hinzugefügt wurden
auditctl -l
#OK, wenn das Befehlsergebnis ausgegeben wird."No rules"Wird angezeigt, überprüfen Sie bitte, ob die Einstellungen korrekt sind.

3. Starten Sie Splunk Enterprise

Starten Sie Splunk Enterprise.

• Das folgende Befehlsbeispiel ist nicht sehr sicher, da das Administratorkennwort Kennwort ist. Bitte geben Sie ggf. ein Passwort an.

Starten Sie Splunk Enterprise

/opt/splunk/bin/splunk start --accept-license --seed-passwd password

4. Überprüfen Sie die Ausgabe des Überwachungsprotokolls

Überprüfen Sie, ob die in Schritt 2 festgelegten Änderungsinformationen des Überwachungszielverzeichnisses in das Protokoll ausgegeben werden.

Überprüfen Sie, ob die Änderungsinformationen des überwachten Verzeichnisses in das Protokoll ausgegeben werden

grep /opt/splunk/etc/ /var/log/audit/audit.log | tail
#Es ist in Ordnung, wenn ein oder mehrere Protokolle ausgegeben werden.

5. Erfassen Sie das Überwachungsprotokoll

Stellen Sie das Überwachungsprotokoll so ein, dass es dauerhaft in Splunk enthalten ist.

• Es soll zu Forschungszwecken in den Hauptindex aufgenommen werden. Wenn Sie in einen anderen Index importieren möchten, geben Sie als Argument -index <Indexname> an.
• Da die Importeinstellungen über die CLI vorgenommen werden, werden die Einstellungsinformationen in / opt / splunk / etc / apps / search / local / inputs.conf aufgezeichnet.

Stellen Sie ein, dass Überwachungsprotokolle dauerhaft erfasst werden

/opt/splunk/bin/splunk add monitor /var/log/audit/audit.log -auth admin:password

6. Bestätigung des Importergebnisses

Nach Abschluss der obigen Einstellungen sollte das Überwachungsprotokoll in Splunk importiert worden sein. Melden Sie sich daher bei Splunk Enterprise an und überprüfen Sie das Importergebnis mit der Suchanweisung.

Durchsuchen Sie die Überwachungsprotokolle

sourcetype="linux_audit" type="PATH" nametype!="PARENT"
| rex field=name "^(?<directory>.*\/)?(?<file>.*)"
| eval directory=if(len(mode)==6,directory+file,directory),file=if(len(mode)==6,"",file)
| table _time,msg,nametype,mode,directory,file
| sort msg

Erklärung des Suchtextes

Zeile 1 ... Suche nach ** Ereignissen im Überwachungsprotokoll, wobei das Typfeld PATH und das Feld nametype nicht PARENT ** ist. Zeilen 2 und 3 ... Der Verzeichnisname und der Dateiname werden in den neuen Feldern (Verzeichnis, Datei) aus den im Namensfeld aufgezeichneten Pfadinformationen festgelegt. 4. Zeile: Nur die zur Visualisierung erforderlichen Felder werden formatiert und in den Suchergebnissen angezeigt. 5. Zeile: Da der Zeitstempel und die ID-Informationen im Nachrichtenfeld aufgezeichnet werden, werden sie sortiert und in der Reihenfolge des Nachrichtenfelds angezeigt.

7. Ergebnis

Hier sind einige Auszüge der Ergebnisse der Suche in dieser Umgebung.

8. Analyse

Nach der Analyse der Suchergebnisse wurde festgestellt, dass Splunk den Datei- / Verzeichniserstellungsprozess im Verzeichnis / opt / splunk / etc / in der folgenden Reihenfolge ausführt, wenn es zum ersten Mal gestartet wird.

• Es scheint, dass einige Dateien während des Verarbeitungsprozesses mehrmals aktualisiert werden, aber wir werden den Aktualisierungsprozess weglassen.

Beiseite

Der Grund für diese Zeit war zu sehen, "wie das Serverzertifikat, das standardmäßig im verschlüsselten Kommunikationsprozess von Splunk verwendet wird, beim ersten Start von Splunk erstellt wird", aber als Ergebnis andere Einstellungsdateien Ich konnte den Ablauf des Erstellungsprozesses verstehen. Ich möchte die Umfrage auch organisieren und auf dem Standardzertifikat veröffentlichen.

Vielen Dank, dass Sie so weit gelesen haben.

Folge

Ich habe eine Fortsetzung geschrieben. Importieren Sie audit.log in Splunk und überprüfen Sie das Verhalten beim erstmaligen Anmelden bei Splunkweb

Referenz

6.6. Über die AUDIT-Protokolldatei Dies ist das offizielle Redhat-Handbuch, enthält jedoch die Spezifikationsinformationen des Audit-Protokolls. Obwohl Amazon Linux2 auf Rhel7 basiert, scheint das Protokollformat (Feld) leicht angepasst zu sein.

Manipulation von Linux-Dateien an auditd erkennen

What is the splunk.secret file, and is it possible to change it? Was ist splunk.secret? Dies ist die Qualitätssicherung der offiziellen Community-Website von Spunk zu dieser Frage.