【入门第4课】Splunk搜索分析

前言

Splunk 平台的核心就是 SPL，即 Splunk 搜索处理语言。
它提供了非常强大的能力，通过简单的SPL语句就可以实现对安全分析场景的描述。
这里，我们以Linux secure日志分析作为示例，进行安全场景的构建。

一、安全日志

先来了解一下Linux secure日志中比较常见的登录日志，如下两条登录记录作为示例：
通过对比，我们可以找到几个关键信息，比如登录动作（成功/失败），用户名、ip地址等，可以通过编辑正则表达式将关键字段提取出来，以便进行搜索和分析。
新增字段提取：

二、安全分析场景

2.1 用户暴力破解

场景描述：用户账户在短时间内尝试大量的错误密码，即可视为用户暴力破解攻击。
安全策略：单一账号，5分钟内超过20次登录失败

sourcetype="secure-2" action=Failed 
| bucket _time span=5m 
| stats count by user,ip 
| search count>20

2.2 爆破用户名最多的前10个用户名/ip地址

场景描述：获取暴力破解所使用