La arquitectura de Splunk Enterprise Security en una página

Un despliegue de Splunk se reparte el trabajo en tres tipos de pieza. El reenviador vive en el servidor que genera el registro, lo lee y lo manda; no guarda ni busca. El indexador recibe esos eventos, los procesa y los guarda en índices, que son las carpetas lógicas donde se almacenan. La cabeza de búsqueda es donde la persona analista escribe búsquedas y donde corren las búsquedas programadas; ahí se instala Splunk Enterprise Security.

ES no es un almacén aparte: es una aplicación que se apoya en los datos que ya están en los indexadores y añade lo propio del trabajo de un SOC, como la revisión de incidentes, la correlación, el riesgo y el enriquecimiento con activos e identidades.

Los datos de origen (Windows, cortafuegos, VPN, proxy, DNS) caen en índices propios. Pero ES también escribe: cada vez que una búsqueda de correlación detecta algo, deja un registro. Los eventos que van a revisión humana se guardan en un índice, y los que solo suman puntaje a un objeto, en otro. Así, el trabajo del SOC también queda consultable con el mismo lenguaje de búsqueda.

Abre la tabla indices y lee la columna contiene.

El volumen importa porque cada búsqueda programada lee una parte de él. En la tabla, eventos_dia es el promedio diario de cada índice. Los índices que llenan las propias búsquedas de ES guardan cientos o miles de eventos; los de datos de origen, cientos de miles o millones, y son los que determinan el costo de buscar sobre ellos.

Suma el volumen diario solo de los índices de datos de origen, es decir, los que no llenan las búsquedas de ES.

Un índice muy voluminoso no es un problema por sí mismo, pero sí lo es una búsqueda programada que lo recorre entero cada pocos minutos. Conocer cuál es el más grande dice dónde conviene que las búsquedas filtren primero y acoten el rango de tiempo antes de agrupar.

El lunes llega un aviso: el panel de ES no muestra nada del servidor de archivos nuevo de la planta, instalado el viernes. Hay tres lugares donde puede estar el fallo: el servidor no está enviando, los eventos no llegan al índice, o llegan pero ninguna búsqueda los ve. Conviene comprobar en el orden en que viaja el dato, de origen a destino, y no empezar por lo último.