やること
自宅ラボに構築したActive Directoryを監視するためにSplunkの構築を行っていく。
環境
proxmox上に構築したDebian 13.6
splunkの構築をしていく
公式ページから、.debファイルをダウンロードしたところから始める
【公式ページ】
1️⃣ 専用ユーザの作成
インストール
bash
sudo apt install ./splunk-10.4.3-4174a2deda5d-linux-amd64.deb
2️⃣ 起動
bash
sudo -u splunk /opt/splunk/bin/splunk start
起動時にに以下の設定
splunkの管理者アカウントのIDとPass
Please enter an administrator username: admin
Password must contain at least:
* 8 total printable ASCII character(s).
Please enter a new password:
Please confirm new password:
エラー対処
This appears to be your first time running this version of Splunk.
Could not open log file "/opt/splunk/var/log/splunk/first_install.log" for writing (13).
上記のようなエラーが出た。
原因としては/opt/splunk/varに書き込み権限が無いから起きた。
以下で修正
bash
sudo chown -R splunk:splunk /opt/splunk/var
再度2️⃣を実行した
3️⃣ ログイン
http://<debianのIP>:8000にアクセスして先程設定したアカウントでログインします。
4️⃣ データ受信の設定
設定＞転送と受信
受信の設定
ポートの追加から9997を追加
splunkの構築は完了です。
ADとの連携
DCに以下のソフトをダウンロードします。
Universal Forwarderのセットアップ
1️⃣ ライセンス同意
2️⃣ 管理者アカウントの作成
任意のアカウントを作成
3️⃣ デプロイメントサーバーの設定
ここは何も入力せずにnext
4️⃣ ログの送信先の設定
先程構築したsplunkをインストールしたサーバのIPを入力
5️⃣ インストール
6️⃣ サービスの確認
7️⃣ 疎通の確認
splunk webで確認
最後に
これにて、ADとsplunkの連携は完了
次回で、splunkの監視をwindows用の設定を入れていく