Installons Splunk sur le système d'exploitation Debian 11/10 Linux et analysons les données collectées à partir de diverses ressources…
Splunk est un logiciel de gestion de la sécurité, de l'information et des événements (SIEM en abrégé). Il s'agit d'une solution multiplateforme qui reçoit des informations de diverses sources et combine et visualise les informations corrélées sur un tableau de bord. Les données traitées par Splunk peuvent également être enrichies avec les données classiques des bases de données relationnelles.
Splunk comprend les données machine ainsi que les textes que les gens ont créés. Les données machine sont les informations (données non structurées) qui sont générées lors du fonctionnement de divers systèmes (ordinateurs, appareils mobiles, composants de réseau, appareils de sécurité, appareils de mesure, etc.). Lorsque vous parlez des données de la machine, vous parlez principalement des journaux.
Ainsi, SIEM signifie que vous chargez tous les fichiers journaux de vos appareils dans une grande base de données et que vous les unifiez. Le SIEM vous avertit lorsque quelque chose d'inhabituel se produit. Vous pouvez analyser ces données avec Splunk pour comprendre ce qui se passe.
Configuration matérielle minimale requise pour une seule instance Splunk Enterprise. Cependant, vous pouvez l'installer même sur moins que la ressource mentionnée pour l'apprendre.
- x86 64 bits avec 12 cœurs de processeur physiques ou 24 processeurs virtuels à 2 Ghz ou une vitesse supérieure par cœur.
- 12 Go de RAM.
- Carte réseau Ethernet 1 Go
- Linux ou Windows 64 bits
Installation étape par étape de Splunk sur Debian Linux
1. Télécharger Splunk gratuitement pour Linux
La version gratuite de Splunk est disponible avec toutes les fonctionnalités d'entreprise, mais pour une période de temps limitée, c'est-à-dire 6o jours après cela, l'utilisateur doit mettre à niveau pour continuer pour toutes les fonctionnalités. Alors que si vous ne le faites pas, une licence gratuite avec des fonctionnalités limitées continuera sans aucune expiration. Cependant, vous n'autoriserez l'indexation que de 500 Mo par jour, il n'y aura pas de recherche; le chargement en masse d'ensembles de données volumineux n'autorise que 2 fois sur une période de 30 jours. En savoir plus sur une licence gratuite.
Pour installer Splunk sur Debian, les développeurs de cette plate-forme proposent un binaire Deb facilement téléchargeable depuis le site officiel (lien).
Alternativement, les utilisateurs peuvent utiliser le wget ci-dessous commande pour obtenir la version gratuite de Splunk avec les fonctionnalités d'essai d'entreprise.
wget -O splunk-8.2.1-ddff1c41e5cf-linux-2.6-amd64.deb 'https://www.splunk.com/page/download_track?file=8.2.1/linux/splunk-8.2.1-ddff1c41e5cf-linux-2.6-amd64.deb&ac=&wget=true&name=wget&platform=Linux&architecture=x86_64&version=8.2.1&product=splunk&typed=release''
2. Commande pour installer Splunk sur Debian 11 ou 10
Comme le fichier téléchargé est .deb, nous pouvons donc utiliser le gestionnaire de packages APT pour l'installer.
Remarque :Si vous avez téléchargé ce logiciel d'analyse de données sur GUI Linux à l'aide du navigateur, passez d'abord au répertoire Téléchargements à l'aide de cd Downloads . Alors que les utilisateurs l'ont obtenu en utilisant wget la commande peut simplement s'exécuter :
sudo apt install ./splunk-*-amd64.deb
3. Accepter la licence, activer le démarrage du démarrage et définir l'utilisateur et le mot de passe administrateur
Une fois l'installation terminée, exécutons le script qui non seulement activera le service Splunk au niveau du démarrage, mais nous permettra également de configurer les informations de connexion - Admin utilisateur et son mot de passe . Cependant, lorsque le script démarre, appuyez sur Échap clé et le Y pour accepter la licence.
sudo /opt/splunk/bin/splunk enable boot-start
4. Accéder à l'interface Web de Spunk
Maintenant, cette plate-forme d'analyse de données est prête, accédons à son interface Web à localhost :8000 , alors que les utilisateurs qui souhaitent accéder au tableau de bord Splunk sur un système distant doivent ouvrir le port 8000 dans le pare-feu du système. Pour cette course :
sudo ufw allow 8000
Remarque :Si vous obtenez une commande introuvable puis activez d'abord UFW, voici l'article à ce sujet : Installer et configurer UFW sur Debian
Après cela :
Pour le navigateur du système distant – http://your-server-ip:8000
Pour le navigateur du système local- http://localhost:8000
5. Connexion compte administrateur
Le premier écran que vous obtiendrez sur votre navigateur consiste à saisir le nom d'utilisateur et le mot de passe de l'administrateur lors de la configuration de Splunk. Entrez le même pour vous connecter.
6. Tableau de bord Splunk
Enfin, vous avez le Splunk sur votre système Debian ou Ubuntu, cliquez maintenant sur Ajouter des données pour intégrer la source de données pour l'analyse.
Désinstaller Splunk Enterprise (facultatif)
sudo /opt/splunk/bin/splunk disable boot-start sudo apt remove splunk
De là, vous pouvez vous référer à la documentation officielle de Splunk pour en savoir plus…