Una progettazione di acquisizione di Splunk dovrebbe spiegare cosa viene raccolto, come viene autenticato e come un analista dimostra che la popolazione degli eventi è completa. Inizia con una piccola fonte approvata e un indice di destinazione dedicato. Non considerare una risposta HTTP verde come prova che ogni report è stato analizzato, indicizzato e incluso in modo sicuro in un rilevamento.
Scegli il contratto di distribuzione
Splunk Guida alla configurazione dell'HEC descrive l'inserimento basato su token e avverte che le funzionalità differiscono tra Enterprise e Cloud Platform. Scegli la documentazione corrispondente alla distribuzione effettiva. La guida citata limita il riconoscimento dell'indicizzatore cloud ad AWS Kinesis Firehose; non dare per scontato che un mittente Cloud personalizzato generico possa utilizzarlo semplicemente perché una schermata token menziona il riconoscimento.
Un token HEC è una credenziale, non un identificatore di evento. Limita gli indici di destinazione consentiti, proteggilo in un archivio segreto e tienilo lontano dai corpi dei report e dai log diagnostici. Utilizza HTTPS con la verifica del certificato. Conferma l'endpoint effettivo e la porta configurata dalla distribuzione anziché dare per scontato che ogni installazione Cloud ed Enterprise abbia lo stesso indirizzo.
Progettare la popolazione degli eventi
Conserva un payload dell'evento con tenant, identificatore di report, periodo di report, identificatore di riga, dominio, IP di origine, conteggio e osservazioni di autenticazione. Imposta un tipo di origine intenzionale e testa l'estrazione dei campi invece di dare per scontato che ogni campo nidificato sia automaticamente ricercabile nel modulo desiderato. Conserva un hash del file non elaborato e un riferimento alle prove al di fuori del riepilogo dell'evento pubblico.
RFC 9990 rapporti aggregati contenere il conteggio dei messaggi. Una riga non è necessariamente un messaggio. Conserva il conteggio come numero e distingue la disposizione del destinatario dai risultati dell'autenticazione. Mantieni il timestamp di acquisizione separato dall'ora del rapporto in modo che gli arrivi ritardati non vengano mascherati da un improvviso attacco in corso.
Assegnare una chiave stabile prima della trasmissione. Includere il tenant e il contesto del report, non solo un semplice identificatore del report. Gestire consegne duplicate esatte e report sovrapposti o rivisti secondo una politica documentata. Un hash di report da solo rileva byte identici ma non identificherà ogni report semanticamente duplicato serializzato in modo diverso.
Contenere input dannosi e non validi
Supponiamo che un archivio si espanda oltre il budget delle risorse approvato prima che sia disponibile un report valido. Interrompere l'elaborazione, conservare solo le prove diagnostiche consentite in quarantena limitata e non contare i byte rifiutati come autenticazione non riuscita. Separatamente, un rapporto ben formato etichettato per il cliente sbagliato non deve superare il controllo vincolante dell'affidabile prima dell'invio a HEC; la validità sintattica non garantisce l'autorità di destinazione.
Si tratta di casi di rifiuto ipotetici, non di test del parser eseguiti o di un emulatore Splunk. Testa le varianti di schema supportate, i limiti di nidificazione e di elementi, i timeout, l'isolamento dei lavoratori e la quarantena controllata con il parser effettivo. Segui le raccomandazioni XML di OWASP e convalida la configurazione effettiva della libreria selezionata. Qui non vengono forniti parser di produzione o limiti di byte giocattolo.
Dimostra disponibilità e recupera in sicurezza
Per un progetto pilota live approvato, inviare un identificatore sintetico univoco attraverso il percorso HEC effettivo, quindi eseguire una query sull'indice, sul tipo di origine e sul tenant previsti. Riconcilia eventi di origine, invii accettati, eventi ricercabili e conteggi aggregati separatamente. Laddove la distribuzione supporti il riconoscimento dell'indicizzatore, testare lo scambio di riconoscimenti documentato completo e le sue limitazioni; verificare comunque i risultati della query.
Per un timeout, conservare gli identificatori del batch e della richiesta, ispezionare le prove di destinazione e applicare la policy di deduplicazione prima della riproduzione. Un errore di mappatura permanente appartiene a una coda di messaggi non recapitabili con un proprietario, non a un ciclo infinito di tentativi. Tieni traccia del ritardo, dei byte rifiutati e dei batch eliminati. Qui non è stato effettuato l'accesso a nessun tenant Splunk e non è stata certificata alcuna integrazione EmailAuth , qualità di rilevamento o risultato di consegna.