Splunk-handhavande

Splunk samlar på sig 25-50MB data om dagen just nu, långt under gränsen för när man behöver köpa en licens.

Jag satt och sökte lite i datat igår och är fortfarande fascinerad över att man kan se inkommande data i realtid och att det indexeras blixtsnabbt. De inbyggda sökningarna har nyttjats flitigt, nästa steg blir att bygga egna queries och bygga mig en dashboard som är anpassad till hemnätverket.

Jag funderar på två ytterligare saker i hemmiljön: CFEngine och SpiceWorks.

Splunk

Jag installerade Splunk igår kväll. Jag kör det på Windows Server och installationen kunde knappast vara enklare (next, next, next, OK!).

Efter installation lade jag till Syslog som en källa för data, jag följde den här guiden och det funkade direkt. Nu får jag Syslogmeddelanden från Juniper Secure Access och min Time Capsule.

Jag flyttade också över min Windows Server 2003-installation från ESXi till VMware Workstation - jag använde Veeam FastSCP för att flytta de fysiska filerna. Efter att jag pekat Workstation på maskinen fick jag ändra nätverksinterfacet men annars var det bara att köra. När den kommer upp uppgraderar man bara VMware Tools. Nu kör jag alltså en Windows 7 x64 med tre virtuella maskiner: Windows Server * 2 och Juniper Secure Access virtual appliance.

Juniper SA på plats

Om man surfar in på min domän nu hamnar man rakt på inloggningen till Juniper Secure Access. Precis som planerat.

Jag kör den i en VM på VMware Workstation på Windows 7 just nu. Vi får se om den stannar där eller om jag kan slänga den på en ESXi-maskin.

Jag har en installation av Snort halvfärdig. Jag hoppas bli klar med den under veckan. Under tiden har jag fått lite ångest över om jag ska köra Snort på in- eller utsidan om brandväggen, vi får se var den hamnar till slut men det lutar väl åt insidan.

Efter Snort ska jag ge mig på splunk och aggregera data från både Juniper SA och Snort.

Projektuppdatering

Junipers Secure Access som virtuell maskin är nedladdad, innan jag installerar tror jag dock det är en bra ide att stoppa in ytterligare nätverkskort i min ESXi-server. Förhoppningsvis får jag tid till det i helgen.

Jag har börjat titta på splunk för att sammanställa loggar och att sätta upp en NetScreen GT5 som transparent firewall. Även snort har börjat intressera mig. Jag upplever det som lite kaosartat om jag behöver en IDS eller en firewall (till) eller både och, jag får läsa på lite.

Och jag kostade på mig Nero Burning ROM för Windows men är initialt lite besviken på funktionaliteten. Det kanske går över när man lärt om programmet, det var några år sedan sist jag körde det på Windows och det ser lite annorlunda ut.