Cybersécurité & Protection
Splunk : chercher, analyser et visualiser les données opérationnelles de votre SI
Intermédiaire
À propos de cette formation
Splunk est un corrélateur d'événements qui centralise et valorise les données générées par l'ensemble du SI (serveurs, sondes, équipements réseau). Cette formation de 3 jours couvre l'installation et la configuration de Splunk, la création de requêtes SPL, la construction de tableaux de bord, l'enrichissement des données et la mise en place d'alertes temps réel. Les participants repartent capables d'exploiter Splunk de manière autonome pour la supervision et l'analyse de sécurité.
Objectifs de la formation
- Utiliser Splunk pour collecter, analyser et générer des rapports sur les données du SI
- Enrichir les données opérationnelles à l'aide de recherches avancées et de flux de données
- Créer des alertes en temps réel, scriptées et proactives
- Intégrer des graphiques JavaScript avancés dans les tableaux de bord
- Exploiter l'API de Splunk pour l'automatisation et l'intégration
Programme détaillé
Module 1 — Configurer Splunk
- Création d'un compte Splunk.com et installation sous Windows
- Indexation de fichiers et répertoires via l'interface Web, la CLI et les fichiers de configuration
- Collecte de données via ports réseau, scripts ou entrées modulaires
- Déploiement de l'Universal Forwarder pour la collecte distribuée
- Travaux pratiques : configuration de Splunk, définition d'extractions de champs, types d'événements et labels
Module 2 — Exploration de données
- Langage de recherche SPL : opérateurs booléens et commandes fondamentales
- Recherche et filtrage des événements à l'aide de plages de temps
- Travaux pratiques : extraction de fichiers de journalisation, analyse des pages Web les plus visitées, navigateurs et sites les plus sollicités
Module 3 — Tableaux de bord
- Intelligence opérationnelle et mise en valeur des données dans les dashboards
- Types de graphes disponibles et tableaux de bord interactifs
- Génération planifiée de tableaux de bord au format PDF
- Travaux pratiques : création et enrichissement d'un tableau de bord avec des graphes liés aux recherches
Module 4 — Créer et gérer des applications Splunk
- Installation d'applications tierces depuis Splunk ou d'éditeurs tiers
- Ajout de tableaux de bord et de recherches à une application existante
- Travaux pratiques : création d'une nouvelle application Splunk, visualisation d'événements liés aux switchs Cisco
Module 5 — Modèles de données
- Structuration des données avec les modèles de données Splunk
- Expressions régulières pour l'extraction et la transformation des champs
- Optimisation des performances de recherche
- Pivotage des données pour l'analyse multidimensionnelle
- Travaux pratiques : utilisation de la commande pivot et des modèles pour l'affichage des données
Module 6 — Enrichissement de données
- Regroupement d'événements associés : notion de transaction
- Corrélation de plusieurs sources de données
- Identification des relations entre champs et détection de valeurs anormales
- Prédiction de valeurs futures à partir des tendances observées
- Travaux pratiques : recherches approfondies et corrélation de données sur des bases de données réelles
Module 7 — Types d'alertes
- Définition des conditions de surveillance et des seuils de déclenchement
- Actions automatiques suite à une alerte : notifications, scripts, webhooks
- Stratégie proactive de supervision avec les alertes intelligentes
- Travaux pratiques : déclenchement d'un script lors d'une erreur HTTP 503 et écriture des détails de l'événement dans un fichier
Prérequis
Connaissances de base des réseaux et des systèmes.