Splunk. Savedsearch. Оптимизация запросов в БД.

Приветствую, уважаемый читатель!

В рамках рассмотрения вопросов повышения производительности, хотел бы рассказать про возможность оптимизации времени выполнения запросов в Splunk. Интересовать нас будут запросы в БД, идущие через приложение Splunk DB Connect.

SQLite. PowerShell. Получаем историю браузеров.

Приветствую, уважаемый читатель!

Сбор исходной информации во время расследования инцидента это основа основ, особенно, когда не сильно доверяешь словам пользователей. Анализ сетевой активности пользователя на АРМ можно контролировать многими способами: контроль доступа в Интернет через прокси, DLP-решения, IDS-решения и т.д. Но, бывают случаи, когда ничего этого нет, и тогда не помещает изучить истории браузеров на данных АРМ. Об этом и поговорим.

Splunk. Splunk DB Connect. Подключаем MSSQL.

Приветствую, уважаемый читатель!

В этой короткой заметке будет рассказано про подключение к СУБД MSSQL и некоторые новые особенности Splunk DB Connect, которые появились после обновления данного приложения.

Splunk. Подключаем Vulners к Splunk.

Приветствую, уважаемый читатель!

Год назад я писал про получение списка эксплойтов по CVE-номеру уязвимости при помощи vulners.com http://unitybas.blogspot.ru/2016/07/vulners.html. Спустя какое-то время захотелось более плотно интегрировать данную возможность в splunk, и получать информацию с данного ресурса прямо в запрос на SPL.   

Splunk. Post-Process Search. Инициализация токенов.

Приветствую, уважаемый читатель!

Сегодня хочу коснуться темы оптимизации подачи информации на дашборды и заодно рассказать про долгожданное нововведение в работе с токенами, а именно про инициализацию токенов. 

Splunk. Makeresults.

Приветствую, уважаемый читатель!

Эта небольшая заметка будет про оператор SPL – makeresult. У него специфическая функция, он позволяет использовать некоторые операторы SPL (eval, rex) в качестве первого оператора в запросе, а в связке с оператором return применяется для связывания запросов. Казалось бы, зачем? Ответ ниже J

Splunk. Экспорт событий. CLI.

Приветствую, уважаемый читатель!

Относительно недавно я рассказывал, как можно выгрузить события из Splunk с использованием rest API -  http://unitybas.blogspot.ru/2016/08/splunk-rest-api.html . Метод этот удобный, но не единственный в Splunk. О нескольких других методах сегодня и поговорим.