SPL — la búsqueda por tuberías

SPL es el lenguaje de búsqueda de Splunk, y por eso lo piden las vacantes que piden ese SIEM. Comparte con KQL la idea de la tubería: cada comando va detrás de una barra vertical | y trabaja sobre lo que le deja el anterior. Lo que cambia es el arranque. En KQL la primera palabra es una tabla; en SPL la primera parte de la línea es una búsqueda: dónde buscar y qué tienen que cumplir los eventos, escrito como pares campo=valor separados por espacios.

index=vpn accion=mfa resultado=rechazado | table _time usuario ip_origen

index=vpn dice en qué índice buscar; un índice es el almacén donde el SIEM guarda los eventos de una o varias fuentes. Los otros dos pares filtran, y el espacio entre ellos vale como un AND. Lo que hay detrás de la barra ya no busca: trabaja sobre los eventos encontrados. La columna de tiempo de cada evento se llama siempre _time, con el guion bajo delante, como los demás campos que pone el propio SIEM.

En la búsqueda, los valores no distinguen mayúsculas: usuario=ACORREA encuentra los eventos de acorrea. Los nombres de campo, en cambio, sí: Usuario=acorrea no encuentra nada, porque ningún evento tiene un campo que se llame así. Es justo al revés de lo que pasaba con == en KQL, que compara el valor exacto.

Las palabras lógicas se escriben en mayúsculas: OR para una cosa u otra, NOT para quitar lo que cumpla la condición que le sigue. NOT pais=CO deja fuera las conexiones desde el país. Hay un matiz con pais!=CO: esa forma solo devuelve los eventos que tienen el campo pais con otro valor, mientras que NOT pais=CO devuelve también los que ni siquiera lo tienen. El asterisco hace de comodín, usuario=svc-*, y el tiempo se acota con el selector de fechas de la pantalla o dentro de la propia búsqueda, con earliest=-24h.

table elige las columnas que salen y en qué orden: es el comando para presentar un resultado. fields se parece, pero sirve para otra cosa: quita o conserva campos para que el resto de la tubería trabaje con menos peso (fields - motivo quita uno). En una búsqueda sobre millones de eventos, recortar pronto con fields acelera; para enseñar el resultado a otra persona se usa table.

head 10 devuelve los diez primeros resultados. Aquí hay una diferencia con el take de KQL que importa: SPL devuelve los eventos sin agrupar del más nuevo al más viejo, así que head sobre eventos crudos te da los más recientes. No son diez cualesquiera; son el final de la ventana de tiempo, y solo el final.

Una notificación de segundo factor la provoca quien escribe la contraseña, y casi siempre es la propia persona, que la aprueba al momento. Busca en el índice vpn las notificaciones rechazadas de la noche, quédate con la hora, la cuenta, el origen y el país, y localiza la cuenta que recibió notificación tras notificación desde fuera del país mientras la persona titular las rechazaba.