Splunk

Splunk est une application permettant la collecte et l'analyse de grandes quantités de données en provenance de machines d'une infrastructure (serveurs, équipements réseaux, applications…). Elle permet l'investigation et le reporting en temps réel et peut être utilisée comme SIEM, à l'instar de la stack ELK.

Splunk collecte des données au sein d'une infrastructure par le biais de forwarders.

Répertoire d'installation de Splunk : /opt/splunk

Répertoire contenant les index : /opt/splunk/var/lib/splunk ⇒ chaque sous-répertoire de ce dossier correspond à un index et contient les répertoires correspondants aux différents buckets.

Il existe 7 licences différentes pour Splunk et ses composants :

• Standard : Licence classique de Splunk, dont le tarif dépend du dimensionnement de l'architecture.
• Entreprise Trial : Licence d'essai de Splunk, valable 60 jours et limitée à 500Mo d'évènements par jour. Elle est personnalisée en fonction du client afin de lui permettre de tester Splunk en conditions réelles (PoC).
• Free : Licence gratuite de Splunk limitée à 500Mo d'évènements par jour, offrant le minimum de fonctionnalités (pas d'authentification, pas d'alerte, pas d'architecture distribuée).
• Dev/Tests : Licence reservée aux usages de pré-production/hors production.
• Industrial IoT : Licence spécialisée pour l'IoT.
• Forwarder : Licence pour les forwarders (gratuite).

En cas de violation de licence, Splunk ne désactive pas les recherches mais alerte les utilisateurs.

Les licences Splunk sont gérées par un maître de licence au sein de l'architecture, sous forme de pools de licences que l'on peut attribuer à chaque composant (indexeurs, têtes de recherches, forwarder…) en fonction du besoin.

Splunk déconseille d'attribuer les licences des forwarders via les pools de licences.

Les applications permettent d'exploiter les données collectées et analysées par Splunk. Elles comportent une interface graphique et proposent des fonctionnalités supplémentaires de visualisation, d'analyse, et de reporting des données.

Les extensions sont des modules spécifiques aux applications qui leur permettent d'interagir avec les données entrantes, elles n'ont pas d'interface graphique.

Les applications et extensions pour Splunk sont généralement gratuites, en dehors de quelques unes qui nécessitent une licence premium.