Différences

Ci-dessous, les différences entre deux révisions de la page.

Lien vers cette vue comparative

Les deux révisions précédentesRévision précédente
Prochaine révision		Révision précédente
splunk [2023/08/04 15:10] – [Splunk] superadminsplunk [2023/09/14 17:13] (Version actuelle) – [Procédures & Documentation] superadmin
Ligne 1: Ligne 1:
 ====== Splunk ====== ====== Splunk ======
  
-Splunk est une application permettant la collecte et l'analyse de grandes quantités de données en provenance de machines d'une infrastructure (serveurs, équipements réseaux, applications...). Elle permet l'investigation et le reporting en temps réel et peut être utilisée comme SIEM, à l'instar de la stack ELK.+Splunk est une solution de collecte et l'analyse de grandes quantités de logs en provenance d'une infrastructure (serveurs, équipements réseaux, applications...). Elle permet l'investigation et le reporting en temps réel et peut être utilisée comme SIEM, à l'instar de la stack ELK. 
  
 ===== Fonctionnement de Splunk ===== ===== Fonctionnement de Splunk =====
Ligne 7: Ligne 7:
 ==== Architecture ==== ==== Architecture ====
  
-Splunk collecte des données au sein d'une infrastructure par le biais de forwarders.+Splunk a 3 modes de déploiement : local (sur une machine unique), on premise, et cloud. Il est composé d'un ou plusieurs hôtes avec des rôles différents, pouvant être redondés et mis en cluster pour former une architecture distribuée.
  
 +Quel que soit le rôle des hôtes, sous Linux, Splunk est installé par défaut dans le répertoire ''/opt/splunk''.
  
 +Splunk collecte les évènements au sein d'une infrastructure par le biais de forwarders.
  
-Répertoire d'installation de Splunk : ''/opt/splunk''+Chaque évènement contient des données qui sont parsées et indexées par les indexeurs. Un évènement correspond à une entrée dans un index que l'on enrichit avec des métadonnées. Pour chaque index, les données sont stockées physiquement dans des buckets (stockage objet, sous forme de fichiers non structurés). Ce système de buckets permet d'optimiser le traitement et la recherche des données. 
 + 
 +Le répertoire contenant les index est ''/opt/splunk/var/lib/splunk''. Chaque sous-répertoire de ce dossier correspond à un index et contient les répertoires correspondants aux 5 buckets par défaut qu'utilise Splunk : 
 +  * Hot (hotPath) : Stocke les évènements en cours de traitement (fichiers dans ''/opt/splunk/var/lib/splunk/defaultdb/db/*'') 
 +  * Warm (warmPath) : Stocke les évènements récents qui n'ont plus besoin d'être modifiés, utilisés en lecture (fichiers dans ''/opt/splunk/var/lib/splunk/%index%/db/*'') 
 +  * Cold (coldpath) : Stocke les évènements moins récents qui n'ont plus besoin d'être modifiés, susceptibles d'être recherchés (fichiers dans ''/opt/splunk/var/lib/splunk/%index%/colddb/*'') 
 +  * Frozen (frozenpPath) : Stocke les évènements archivés (fichiers stockés dans un répertoire pré-défini à l'installation) 
 +  * Thawed (thawedPath) : Stocke les évènements "décongelés" depuis le bucket frozen (fichiers dans ''/opt/splunk/var/lib/splunk/%index%/thaweddb/*'') 
 + 
 +Une fois les données indexées, elles peuvent être réutilisées par les applications. Ce sont les hôtes avec le rôle "Tête de recherche" ("Search head") qui effectuent les recherches, corrèlent les données, et génèrent les rapports. 
 + 
 +Pour terminer, le composant "Deployer" permet la gestion de la configuration des têtes de recherches. 
 + 
 +Voici à quoi ressemble schématiquement une architecture de traitement Splunk distribuée : 
 + 
 +{{ ::splunk_full_arch.png?400 |Chaîne de traitement de données Splunk distribuée}}
  
-Répertoire contenant les index : ''/opt/splunk/var/lib/splunk'' => chaque sous-répertoire de ce dossier correspond à un index et contient les répertoires correspondants aux différents buckets. 
  
 ==== Licences / Modèle tarifaire ==== ==== Licences / Modèle tarifaire ====
Ligne 27: Ligne 43:
 :!: En cas de violation de licence, Splunk ne désactive pas les recherches mais alerte les utilisateurs. :!: En cas de violation de licence, Splunk ne désactive pas les recherches mais alerte les utilisateurs.
  
-Les licences Splunk sont gérées par un maître de licence au sein de l'architecture, sous forme de pools de licences que l'on peut attribuer à chaque composant (indexeurs, têtes de recherches, forwarder...) en fonction du besoin.+Les licences Splunk sont gérées par un maître de licences au sein de l'architecture, sous forme de pools de licences que l'on peut attribuer à chaque composant (indexeurs, têtes de recherches, forwarder...) en fonction du besoin.
  
 :!: Splunk déconseille d'attribuer les licences des forwarders via les pools de licences. :!: Splunk déconseille d'attribuer les licences des forwarders via les pools de licences.
Ligne 42: Ligne 58:
  
 Les applications et extensions pour Splunk sont généralement gratuites, en dehors de quelques unes qui nécessitent une licence premium. Les applications et extensions pour Splunk sont généralement gratuites, en dehors de quelques unes qui nécessitent une licence premium.
 +
 +===== Procédures & Documentation =====
 +
 +[[Installation de Splunk Enterprise]]
 +
 +[[Configuration de Splunk]]
 +
 +[[Importer des données dans Splunk]]
splunk.1691154659.txt.gz · Dernière modification : de superadmin
Sauf mention contraire, le contenu de ce wiki est placé sous les termes de la licence suivante : CC Attribution-Share Alike 4.0 International


  • Afficher la page
  • Anciennes révisions
  • Liens de retour
  • Derniers changements
  • Gestionnaire Multimédia
  • Plan du site