jpaul73/splunk-project

# Splunk HTTP 日志分析仪表板 这是一个以实践为导向的 Splunk 项目，旨在通过交互式仪表板分析 HTTP 服务器日志。该项目演示了如何使用 Splunk 搜索处理语言 (SPL) 和数据可视化，将原始的 Web 服务器日志转化为具有实际指导意义的洞察。 ## 项目概述 该仪表板通过识别高请求量的源 IP、监控目标 IP 活动、分析 HTTP 响应码，并突出显示常见的客户端错误（例如 **400 (Bad Request)** 和 **404 (Not Found)** 响应），来全面展示 HTTP 流量的状况。 本项目的目标在于实践： - HTTP 日志分析 - Splunk 搜索处理语言 (SPL) - 仪表板开发 - 安全监控 - 数据可视化 ## 仪表板预览 ## 仪表板功能 ### 按请求量排名的顶级源 IP - 识别发起 HTTP 请求数量最多的客户端。 - 检测异常活跃的主机。 ### 顶级目标 IP - 监控接收流量最多的目标服务器。 - 识别被频繁访问的服务。 ### 最常被请求的 HTTP 404 资源 - 发现被频繁请求但未找到的资源。 - 识别失效链接或扫描侦察行为。 ### 顶级 Bad Request (HTTP 400) 源 IP - 检测格式错误的请求。 - 识别可能存在安全风险或配置错误的客户端。 ### HTTP 响应分布 - 分析 HTTP 响应码的整体分布。 - 了解服务器的响应行为。 ## 使用的技术 | 技术 | 用途 | |------------|---------| | Splunk Enterprise | 日志管理 | | SPL | 查询语言 | | HTTP Server Logs | 数据集 | | Dashboard Studio / Classic Dashboard | 可视化 | ## SPL 查询示例 ### 顶级源 IP ``` index=http_logs | top src_ip ``` ### 顶级目标 IP ``` index=http_logs | top dest_ip ``` ### HTTP 响应分布 ``` index=http_logs | top res ``` ### 顶级 HTTP 404 请求 ``` index=http_logs res=404 | top uri ``` ### 顶级 Bad Request ``` index=http_logs res=400 | top src_ip ``` ## 展现的技能 - 日志分析 - Splunk 仪表板开发 - 搜索处理语言 (SPL) - HTTP 流量监控 - SIEM 基础 - 网络流量分析 - 安全监控 - 数据可视化 ## 仓库结构 ``` splunk-http-log-analysis/ │ ├── README.md ├── images/ │ ├── dashboard-overview.png │ ├── top-source-ips.png │ ├── top-destination-ips.png │ ├── response-distribution.png │ ├── http-404-analysis.png │ └── bad-request-analysis.png │ ├── queries/ │ ├── top_source_ips.spl │ ├── top_destination_ips.spl │ ├── response_distribution.spl │ ├── http_404_analysis.spl │ └── bad_request_analysis.spl │ └── docs/ └── dashboard-report.pdf ``` ## 未来改进 - 仪表板过滤器 - 时间范围选择器 - Geo-IP 可视化 - User-Agent 分析 - HTTP method 分析 - 响应时间监控 - 告警创建 - 威胁狩猎仪表板 ## 学习成果 本项目帮助我巩固了对以下内容的理解： - Splunk 搜索处理语言 (SPL) - 仪表板创建 - HTTP 服务器日志分析 - Web 流量监控 - 数据可视化 - 安全事件分析 ## 与我联系 如果您有任何建议或反馈，欢迎在 LinkedIn 上与我联系，或在本仓库中提交 issue。 ⭐ 如果您觉得这个项目对您有帮助，请考虑给它点个 Star。

标签：SPL, 安全运营, 扫描框架