UNIX sunucularından ajan ile Splunk'a veri gönderme

Splunk'ı giderek daha fazla seviyorum demem boşuna değil. Ekosistem içindeki uygulamalar güzel iş çıkartıyor. Oldukça yüksek sayıda ek uygulama ile, bililnen bir çok sistem ve cihazı destekler hale gelmiş, giderek de bu desteği arttıran bir ürün.

Unix sunucularından Splunk'a yalnızca syslog değil, sistem bilgisi ve diğer önemli dosya ve aktivitelere dair bilgileri nasıl gönderirim sorusunun cevabı aşağıda.

- Universal forwarder indirilecek.
http://www.splunk.com/download/universalforwarder

- Ubuntu 12.04 sunucusuna kurulur.
# dpkg -i splunk-forwarder.deb

Bu pakete ek olarak Splunk add for Unix / Linux da kurulmalı.

http://apps.splunk.com/app/833# (paket /opt/splunkforwarder klasörüne indirilecek).
# cd /opt/splunkforwarder
# tar xvfz Splunk_TA_nix-4.7.0-156739.tgz
# chown -R splunk:splunk Splunk_TA_nix
# mkdir /opt/splunkforwarder/etc/apps/Splunk_TA_nix/local
# cp /opt/splunkforwarder/etc/apps/Splunk_TA_nix/default/input.conf /opt/splunkforwarder/etc/apps/Splunk_TA_nix/local
# vi /opt/splunkforwarder/etc/apps/Splunk_TA_nix/local/input.conf
       (aktif duruma getirmek istediğimiz tüm seçeneklerde 1 > 0 yapıyoruz.
# chown -R splunk:splunk /opt/splunkforwarder/etc/apps/Splunk_TA_nix

Agentı, splunk sunucusuyla konuşacak şekilde düzenliyoruz.

- Splunk sunucusunda 9997 portundan dinleme yapacak bir "Receiver" oluşturuyoruz.
# /opt/splunkforwarder/bin/splunk add forward-server 192.2.1.10:9997
          kullanıcı adı (değiştirmedikçe) admin:changeme
# /opt/splunkforwarder/bin/splunk start (dikkat root kullanıcısı ile başlattık. Dileyen bu adımda splunk'a geçebilir)

Bu konuyla ilgili karmaşık ama sabırla okununca bilgi veren belge :
http://docs.splunk.com/Documentation/Splunk/latest/Deploy/Deployanixdfmanually

Sonuç :

Symantec SSIM ürününün sonu...

Symantec ürünün artık devam etmeyeceğini açıkladı.

http://www.symantec.com/connect/forums/symantec-security-information-manager-ssim-being-discontinued-new-customer-sales-september-5-?utm_content=buffere4d01&utm_source=buffer&utm_medium=twitter&utm_campaign=Buffer

Splunk / Citrix Netscaler log entegrasyonu nasıl sağlanır ?

Splunk'a bir Citrix Netscaler WAF / LB' yi bağlamak ve logları görebilmek Splunk belgesinde anlatıldığı kadar kolay değil. Ben de belgeye kanıp kolay olduğunu sanmıştım ama beni tahminimden biraz daha uğraştırdı. Üstelik güncel belgelerde bunun nasıl yapılacağına dair bir yordam da bulunmuyor.

Neyse biz bulduğumuz yoldan devam edelim.

Zannettiniz ki aşağıdaki belgeyi aynen uygulayınca Splunk Citrix Netscaler App'da verileriniz görünecek. Yok olmuyor öyle. Ekran boş geliyor.

http://support.citrix.com/article/CTX132533

Ne kullandım bunu yaparken ?

- Splunk 5.0.4, build 172409
- Citrix Netscaler NS9.3: Build 50.3.nc

1- Öncelikle Netscaler'da uygun kural oluşturulacak. Portun 8514 olduğuna dikkat.

2- Audit policy oluşturulacak ve demin oluşturduğumuz server ile ilişkilendirilecek. Daha sonra ekranın altında yer almayan ve resimde görülmeyen Global Policy ile bağdaştırılacak.

3- Splunk uygulamasında "Index" oluşturulacak. Bilgiler aynen girilmesi faydalı olacaktır.

4- Splunk'ta "Data Input" oluşturulacak.

5- Data Input aşağıdaki bilgileri aynen sağlamalı.

6- Splunk App for Netscaler aşağıdaki linkten indirilecek ve Splunk'a eklenecek.

http://apps.splunk.com/app/370

7- Oldu da bitti maşallah. İlk loglar artık düşmeye başlamış olmalı.