splunkの設定 for windows

今回やること

前回、Active DirectoryとSplunkの連携はできたが、ログが見づらいので各種設定を行う。

【前回の記事】

Splunk webの設定

1️⃣　ホーム画面から、管理を選択

2️⃣　他のAppを閲覧を選択

3️⃣　「windows」と検索して人気順に並べて一番上のインストールをクリック

splunkアカウントでログインしてダウンロード

DCでの設定

DC側にインストールしていく

1️⃣　splunkが動いているサーバ上でディレクトリを圧縮

bash

cd /opt/splunk/etc/apps
sudo tar czf /tmp/Splunk_TA_windows.tgz Splunk_TA_windows

2️⃣　webサーバを立ててwindowsに転送する

windowsに入ればやり方はなんでも良い

bash

cd /tmp
python3 -m http.server 1234

3️⃣　ダウンロード
DC上で行う

powershell

mkdir C:\Temp -ErrorAction SilentlyContinue
Invoke-WebRequest -Uri "http://192.168.100.200:8080/Splunk_TA_windows.tgz" -OutFile "C:\Temp\Splunk_TA_windows.tgz"

4️⃣　展開

powershell

tar -xzf "C:\Temp\Splunk_TA_windows.tgz" -C "C:\Program Files\SplunkUniversalForwarder\etc\apps"

5️⃣　ディレクトリを作成

powershell

mkdir "C:\Program Files\SplunkUniversalForwarder\etc\apps\Splunk_TA_windows\local"

6️⃣　inputs.confの作成

inputs.conf

[WinEventLog://Security]
disabled = false
index = wineventlog

[WinEventLog://Directory Service]
disabled = false
index = wineventlog

[WinEventLog://DNS Server]
disabled = false
index = wineventlog

7️⃣　再起動

powershell

Restart-Service SplunkForwarder

Splunk Webで確認

0️⃣　確認する前にindexの作成をする
設定からインデックスを選択

新規インデックスを選択

名前にwineventlogを設定してほかはデフォルトで追加

1️⃣　インデックス名でwineventlogを指定して出てこればOK