Splunkには、サーチを定期実行させたり、実行した後特定のアクションを実行させる機能があります。 これを実現させるのがレポートとアラートです。
1. レポート
Splunkでは、保存されたサーチの定義のことをレポートと呼びます。 レポートは、マニュアルで呼び出して実行することもできますが、多くの場合は定期実行させるようスケジュール化させて利用します。 (スケジュール化されたレポートをスケジュールドレポートなどとも呼びます)
レポートの作成手順は以下です。
- レポートにしたいサーチ(
index=test-win sourcetype=XmlWinEventLog EventCode=4625)を実行する - 「名前を付けて保存(Save As)」を選択し、「レポート(Report)」を選択する
- 以下のように値を入力する
| 項目 | 値 | 説明 |
|---|---|---|
| タイトル(Title) | Windows-Login-Failure-Report | レポートの名前を入力 |
| 詳細(Description) | (空白) | レポートの説明を入力。特に指定しなくてもよい |
| コンテンツ(Content) | イベント | 変更不可。サーチ結果のフォーマットによって自動指定される |
| タイムレンジピッカー(Time Range Picker) | いいえ | 「はい/いいえ」から選択。「はい」を選択すると、実行時のデフォルト時間範囲が指定され、「いいえ」を選ぶとデフォルトの24時間で実行されるようになる |
- 「保存(Save)」を選択する。
作成したレポートは、メニューバー上の歯車アイコンを選択した後表示される「サーチ、レポート、アラート」画面にて手動実行したり、確認することができます。
2. アラート
レポートよりも使い方がイメージしやすいのがアラートです。アラートの作成手順は以下です。 Splunk Cloudでは、デフォルトでメール送信するための機能が付属しており、この機能を使ってメール通知をすぐに行うことが可能です。 ここでは、日次で定期的にサーチを実行し、不正ログインらしきイベントが一件でも検知されたらメール送信するアラートを定義してみます。
- アラートにしたいサーチ(
index=test-win sourcetype=XmlWinEventLog EventCode=4625)を実行する - 「名前を付けて保存(Save As)」を選択し、「アラート(Alert)」を選択する。
- 以下のように値を入力する(指定可能な項目は他に多数あるが、指定する項目について記載)
| 項目 | 値 | 説明 |
|---|---|---|
| タイトル(Title) | Windows-Login-Failure-Alert | アラートの名前を入力 |
| アラートタイプ(Alert type) | スケジュール済み(Scheduled) | 「スケジュール済み/リアルタイム」から指定 |
| (アラートタイプの間隔) | 毎日実行(Run every day) 時刻(at) 00:00 | アラートタイプ下に表示されるアラートの実行間隔を指定。cron形式の指定も可能 |
| アクション生成(Trigger Actions) | メール送信(Send email) | 「+アクション追加(Trigger Actions)」を選択した後、「メール送信」を指定。宛先に宛先メールアドレスを指定 |
- 「保存(Save)」を選択する。
作成したアラートは、日次で定期実行されます。 レポートと同じように、作成したアラートは、メニューバー上の歯車アイコンを選択した後表示される「サーチ、レポート、アラート」画面にて確認することができます。
以上で演習は完了です。少し作業量が多い内容だったかもしれませんが、実際にSplunkにデータを取り込み、分析するとはどんなことか、感じ取ってもらえたのであれば幸いです。