Splunk 摄取设计应解释收集的内容、如何对其进行身份验证以及分析师如何证明事件群体是完整的。从一个小的经批准的来源和一个专用的目的地索引开始。不要将绿色 HTTP 响应视为每个报告都已安全解析、索引并包含在检测中的证据。
选择部署合约
斯普朗克的 HEC 设置指南 描述了基于令牌的摄取，并警告企业平台和云平台之间的功能有所不同。选择与实际部署相匹配的文档。引用的指南将云索引器确认限制为 AWS Kinesis Firehose；不要仅仅因为令牌屏幕提到确认就假设通用自定义云发送者可以使用它。
HEC 令牌是凭证，而不是事件标识符。限制其允许的目标索引，将其保护在秘密存储中，并使其远离报告正文和诊断日志。使用带有证书验证的 HTTPS。确认部署中的实际端点和配置的端口，而不是假设每个云和企业安装都具有相同的地址。
设计活动人群
保留包含租户、报告标识符、报告周期、行标识符、域、源 IP、计数和身份验证观察的事件负载。设置有意的源类型，并测试字段提取，而不是假设每个嵌套字段都可以以所需的形式自动搜索。在公共事件摘要之外保留原始文件哈希和证据引用。
RFC 9990 汇总报告 包含消息计数。一行不一定是一条消息。将计数保留为数字并将接收者处置与身份验证结果区分开来。将摄取时间戳与报告时间分开，以便延迟到达不会伪装成突然的当前攻击。
在传输前分配一个稳定的密钥。包括租户和报告上下文，而不仅仅是纯粹的报告标识符。根据书面政策处理精确的重复交付以及重叠或修订的报告。报告散列单独检测相同的字节，但不会识别以不同方式序列化的每个语义上重复的报告。
包含恶意和格式错误的输入
假设在任何有效报告可用之前，档案超出了批准的资源预算。停止处理，仅在受限隔离区中保留允许的诊断证据，并且不将拒绝的字节计为失败的身份验证。另外，在提交 HEC 之前，标记为错误客户的格式正确的报告必须无法通过可信租户绑定检查；语法有效性并不授予目的地权威。
这些是假设的拒绝案例，未执行解析器测试或 Splunk 模拟器。使用实际解析器测试支持的模式变体、嵌套和元素限制、超时、工作人员隔离和受控隔离。遵循 OWASP 的 XML 建议并验证所选库的实际配置。这里没有提供生产解析器或玩具字节限制。
证明可用性并安全恢复
对于已批准的实时试点，通过实际 HEC 路径发送唯一的合成标识符，然后查询预期索引、源类型和租户。分别协调源事件、已接受的提交、可搜索事件和聚合计数。如果部署支持索引器确认，则测试完整记录的确认交换及其限制；仍然验证查询结果。
对于超时，请保留批次和请求标识符、检查目标证据并在重播之前应用重复数据删除策略。永久映射错误属于具有所有者的死信队列，而不是无休止的重试循环。跟踪滞后、拒绝的字节和丢弃的批次。此处没有访问任何 Splunk 租户，也没有对EmailAuth集成、检测质量或交付结果进行认证。