BLOG IT

Después de la anterior entrada,  Visualizaciones Splunk Capitulo 1 , continuo en esta explicando algunos trucos que uso a la hora de realizar cuadros de mando o informes en  Splunk . Algo sencillo pero que en ocasiones suele funcionar muy bien es activar el " dark theme "  Por supuesto podemos usar  visualizaciones externas , creadas por terceros, pero con cuidado de problemas de compatibilidad, actualizaciones... Existen dos fuentes muy buenas, que yo consulto casi a diario, son,  Splunk Base   y el  Blog de Splunk , , Splunk Apps En lo que se refiere a tomar ideas, o incluso saber cómo hacer ciertos indicadores, drilldowns... una app básica que uso desde hace años  Splunk Dashboard Example s Otra App que no es tan veterana, de hecho se encuentra en Beta, pero que esta genial para  hacer Dashboards de forma "más sencilla" es  Splunk Dashboards App (Beta) ,  yo la he u...

                                                                    Hace ya tiempo hice un   post , sobre los  Data Model , pero me deje una cosa en el tintero, y creo que viene perfecto para poder hacer un post, y explicar uno de los grandes beneficios de los Data Model , la  normalización . Creo que es uno de los puntos clave cuando nos encontramos un entorno con varias fuentes, por ejemplo dos fabricantes distintos de  firewall  (F1 y F2 en este caso) y nuestro  LDAP , nos podemos encontrar diferentes campos con el mismo significado pero diferente nombre, por ejemplo, puede que el campo usuario se llame  user_name  en el F1  user_n  en el F2 y en el LDAP sea  account_name . Todo esto Splunk lo tiene más que pensado, y para ello ...

Uno de los mayores problemas que nos podemos encontrar para hacer pruebas de tiempo real o demos, es la falta de alguna fuente que nos provea de estos eventos. Splunk ya pensó en esto hace tiempo, y tiene una App , la cual nos genera estos eventos en tiempo real, con la que podemos hacer infinidad de pruebas, o incluso podemos llevar a una demo. En este enlace se nos explica con detalle todo el detalle de instalación, configuración...

Uno de los mayores problemas de Splunk es el control de versiones de una App o un dashboard , hablando siempre de la parte de presentación, ya que la parte de indexación apenas suele tener cambios. Esto se complica cuando ademas tenemos sobre una misma App a varias personas creando dashboards o reports. Splunk por desgracia no dispone de un sistema nativo de control de versiones. Hace unos meses, pusieron en Splunk base la siguiente App , la cual nos permite llevar un control de versiones, yo no la he podido probar aún, pero si alguno la probáis, podéis poner vuestros comentarios. Hace tiempo, cuando me encontré con este problema, después de buscar, encontré la  esta solución , esta muy bien si tenemos un Deployment Server, en caso de no disponer de uno, podemos intentar adaptarlo a nuestro entorno, desplegando directamente sobre el SH, o nuestro entorno StandAlone

Con las Apps de Splunk podemos tener parametrizados unos tipos de datos de entrada, alarmas, dashboards... Nosotros podemos crear nuestras propias Apps , pero también podemos descargarlas del propio repositorio de Splunk , Splunk Base . Básicamente existen dos tipo de Apps, las gratuitas y las premiun . Las gratuitas las podemos descargar e instalar en nuestro entorno, alguna están desarrolladas por la comunidad, otras por la propia Splunk y otras por fabricantes. Muchas de ellas disponen de documentación donde explican como desplegarlas en un nuestro entorno, versiones soportadas... Algunas gratuitas destacadas Cisco Security Suite DB Connect Palo Alto Networks Alert Manager Ademas de estas gratuitas, también existen las llamadas premium, las cuales tendremos que licenciar de manera adicional, estas son pocas, pero muy potentes Splunk App for VMware Splunk App for PCI Compliance Splunk App for Microsoft Exchange Splunk Enterprise Security   Cuando vamos a aña...