Formation Splunk : Maîtriser l'Analyse de Données et la Sécurité SIEM

Programme de la formation
Splunk : Maîtriser l'Analyse de Données et la Sécurité SIEM

• Introduction à Splunk : Principes Fondamentaux et Architecture

  - Présentation de Splunk : Historique, rôles et atouts pour la cybersécurité.
  - Comprendre l'architecture Splunk : Indexers, Search Heads, Forwarders.
  - Installation et premières configurations de Splunk Enterprise.

• Collecte de Données avec Splunk Forwarders

  - Types de Forwarders : Universal et Heavy.
  - Configuration de la collecte de logs serveur (Syslog, fichiers OS).
  - Monitoring de la collecte et résolution des problèmes courants.

• Indexation des Données : Bonnes Pratiques et Structuration

  - Comprendre les index et leurs rôles.
  - Création et gestion des index personnalisés.
  - Optimisation de l'indexation pour la performance et le stockage.

• Bases de la Recherche Splunk (SPL) : Commandes Fondamentales

  - Interface de recherche Splunk : Search Bar et Time Picker.
  - Commandes de recherche simples : `search`, `table`, `fields`.
  - Opérateurs logiques et de comparaison pour affiner les requêtes.

• Recherche Avancée (SPL) : Filtrage et Agrégation

  - Commandes de filtrage : `where`, `rex`.
  - Commandes d'agrégation : `stats`, `top`, `rare`.
  - Utilisation des pipelines pour combiner les commandes.

• Enrichissement des Données et Lookups

  - Comprendre le concept de champs et leur extraction.
  - Création et utilisation des lookups pour enrichir les événements.
  - Gestion des types d'événements et des balises (`tags`).

• Création de Tableaux de Bord (Dashboards) Statiques

  - Introduction aux Dashboards : Vue d'ensemble des données.
  - Composants de dashboard : Panneaux, visualisations.
  - Création de premiers dashboards pour la surveillance de SIEM.

• Interactivité et Drill-down dans les Dashboards

  - Ajout d'éléments interactifs : Formulaires et Time Picker.
  - Configuration du drill-down pour explorer les données détaillées.
  - Bonnes pratiques de conception pour des dashboards clairs.

• Gestion des Alertes : Configuration et Notification

  - Création d'alertes basées sur des requêtes SPL.
  - Définition des conditions de déclenchement des alertes.
  - Options de notification : Email, script externe, webhook.

• Optimisation des Recherches et Performances

  - Comprendre le cycle de vie d'une recherche Splunk.
  - Stratégies pour optimiser la performance des requêtes.
  - Utilisation de `transaction` et `join` avec prudence.

• Rapports : Planification et Partage

  - Création de rapports planifiés à partir de recherches.
  - Options de formatage et d'exportation des rapports.
  - Partage des rapports avec d'autres utilisateurs Splunk.

• Surveillance et Dépannage de Base de l'Environnement Splunk

  - Monitoring de l'état des forwarders et indexers.
  - Vérification des logs internes de Splunk.
  - Ressources pour le dépannage et la communauté Splunk.