前置き

「Splunk Streamを使ってhttps通信のWire Dataを可視化」から続いて、今度はhttps通信をサーバーの秘密鍵を用いて復号したいと思います。

ポイント

参考元公式情報はこれだけ！Use SSL keys for decryption

まず、公開サーバの秘密鍵(privatekey)を手元に用意します。
公開サーバの秘密鍵をSplunkサーバ上の任意のフォルダにアップロードします。
秘密鍵をSplunk　Stream　Appに読み込ませて独自の鍵DBを作成します。
- こちらのSplunk Stream紹介記事では Splunkサーバ（Deployment Server兼用）を使用しているため、鍵DBの作成はSplunkサーバにて実施します。
- $SPLUNK_HOME/etc/apps/Splunk_TA_stream/linux_x86_64/bin配下に移動
  - 例： cd /opt/splunk/etc/deployment-apps/Splunk_TA_stream/linux_x86_64/bin
- ./streamfwd --addsslkey <key_name> <pem_file> <password>コマンドを実行
  - *key_nameは任意。pem_fileは公開サーバの秘密鍵。passwordはパスワードなければ無しでも良し。
  - 例：./streamfwd --addsslkey serverA_key private.key
- 成功すると以下のメッセージが表示される
  - 例：key 'serverA_key' added to /opt/splunk/etc/deployment-apps/Splunk_TA_stream/local/keystore.db
~deployment-apps/Splunk_TA_streamを再度、Deployment Server経由でWebサーバに配布します。
- # /opt/splunk/bin/splunk reload deploy-server
SSL復号テスト確認
- QualysのSSL Server Testを利用すると、以下のようなデータが届きかつ、復号できていることがわかる。