implementando splunk

¿Que es Splunk? Splunk se puede definir como una herramienta que permite centralizar el almacenamiento de datos, generados por distintas fuentes (aplicaciones, sistemas, infraestructura, etc). ¿Con que objetivo? Realizar búsquedas, monitoreo, alertas, dashboard sobre los distintos datos almacenados, en un tiempo “casi real” según los datos son recibidos.

Splunk se compone de tres elementos fundamentales:

Instalación Splunk Enterprise

Debemos crear una cuenta en www.splunk.com y proceder a descargar la herramienta para nuestra plataforma selecionado, ejemplo en Ubuntu

wget "https://download.splunk.com/products/splunk/releases/7.2.0/linux/splunk-7.2.0-8c86330ac18-linux-2.6-amd64.deb"
sudo dpkg -i splunk-7.2.0-8c86330ac18-linux-2.6-amd64.deb
cd /opt/splunk/bin/
./splunk enable boot-start
# Durante el primer boot, nos permitirá definir la password del usuario administrador
# Una vez levantado el entorno splunk, podemos acceder por la interfaz web http://localhost:8000

Agregar un origen de datos local

Vamos a agregar un origen de datos local sobre la instancia instalada, en este ejemplo, agregaremos la ruta “/var/log”, de esta manera, los logs del sistema, serán “capturados”.

1. Accedemos al home http://localhost:8000/en-US/app/launcher/home
2. Seleccionamos “Add Data”, “Monitor”, “Files & Directories”
3. Indicamos la ruta “/var/log” y seguimos con las opciones por defecto
4. Y listo, los datos ahora pueden ser consultados usando la app “Search & Reporting”

Instalación de Splunk Universal Forwarder

Descargamos el paquete correspondiente de Universal Forwarder para nuestro sistema operativo, en este, caso para Linux.

wget -O splunkforwarder-7.2.0-8c86330ac18-Linux-x86_64.tgz 'https://www.splunk.com/bin/splunk/DownloadActivityServlet?architecture=x86_64&platform=linux&version=7.2.0&product=universalforwarder&filename=splunkforwarder-7.2.0-8c86330ac18-Linux-x86_64.tgz&wget=true'
sudo cp splunkforwarder-7.2.0-8c86330ac18-Linux-x86_64.tgz /opt
cd /opt
cd splunkforwarder/bin
sudo ./splunk enable boot-start
# Agregamos la ip de nuestro server principal de splunk que recibirá los datos
sudo ./splunk add forwarder-server ip:port
sudo ./splunk add monitor /var/log

… continuará xD …