Запись вебинара: http://ciscoclub.ru/podderzhka-i-razvitie-intfrastruktury-cisco-putem-analiza-logov-i-prognozirovaniya-klyuchevyh-pokaza Применение комплексной системы мониторинга информационной безопасности и реагирования на инциденты на базе решения компании Splunk, технологического партнера компании Cisco

1. © 2017 SPLUNK INC.© 2017 SPLUNK INC.© 2017 SPLUNK INC.© 2017 SPLUNK INC.
Оперативная аналитика с помощью
Splunk
Алексей Матвеев
Splunk Expert, RRC Russia
Ноябрь 2017

2. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Обзор компании Splunk
▶ Глобальные HQ:
• San Francisco
• London
• Hong Kong
▶ 2,700+ сотрудников по
всему миру
▶ Годовая выручка:
$950M (рост от года к
году +42%)
▶ NASDAQ: SPLK
Компания
▶ Полноценная
бесплатная пробная
версия
▶ Продукты Splunk
• Splunk Enterprise
• Splunk Cloud
• Splunk Light
• Premium Solutions
Продукты
▶ 13,000+ заказчиков
▶ Из 110+ стран
▶ От малого бизнеса до
корпораций
▶ Более 85 компаний из
списка Fortune 100
▶ Самая большая
лицензия:
• 1+ Петабайт/день
Заказчики

3. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Большие данные генерируют машины
Volume | Velocity | Variety | Variability
© 2017 SPLUNK INC.
GPS,
RFID,
Hypervisor,
Web Servers,
Email, Messaging,
Clickstreams, Mobile,
Telephony, IVR, Databases,
Sensors, Telematics, Storage,
Servers, Security Devices, Desktops

4. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
© 2017 SPLUNK INC.© 2017 SPLUNK INC.

5. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
СБОР ДАННЫХ ОТКУДА
УГОДНО
ПОИСК И АНАЛИЗ ЧЕГО
УГОДНО
ОПЕРАЦИОННАЯ
АНАЛИТИКА В РЕЖИМЕ
РЕАЛЬНОГО ВРЕМЕНИ
Почему Splunk такой крутой

6. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Увеличение
доходов за счет
снижения времени
простоя
Сокращение
расходов за счет
предотвращения
фрода
Увеличение
доходов за счет
более быстрого
запуска продукта
Снижение потребления
топлива за счет
анализа данных с
датчиков
Сокращение
выплат по SLA
Сокращение
простоев за счет
предотвращения
APT
$11.0 M
$11.0 M
$25.0 M
$25.0 M
$10.0 M
$10.0 M
$200+ M
$200+ M
$1.8 M
$1.8 M
$1.0 + B
$1.0+ B
Нефтегаз Телекоммуникации ТранспортФинансовые
рынки
Технологическое
производство
Онлайн
сервисы
Доказанная эффективность по отраслям

7. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Проверено на 13,000+ заказчиков из 110+ стран
Более 85 из списка Fortune 100
Технологии Путешествия и отдых
ПроизводствоГоссектор
Образование
Здравоохранение
Телекоммуникации
Энергетика и коммунальные услуги
Медиа
Финансовые услуги и страхование
Розничная торговля
Облачные и онлайн сервисы

8. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Почему Splunk?
FAST TIME-TO-VALUE
ONE PLATFORM, MULTIPLE USE CASES
VISIBILITY ACROSS STACK, NOT JUST SILOS
ASK ANY QUESTION OF DATA
ANY DATA, ANY SOURCE OR DEPLOYMENT MODEL

9. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Почему Splunk?
SQL Search
Schema at Write Schema at Read
Traditional Splunk
ETL Universal Indexing
Volume Velocity Variety
Unstructured
Structured
RDBMS

10. © 2017 SPLUNK INC.© 2017 SPLUNK INC.© 2017 SPLUNK INC.
Преобразование машинных данных в ценность для бизнеса
Индексируйте «сырые» данные: из любого источника, любого типа и объема Задавайте любые вопросы
Доставка приложений
Безопасность,
соответствие и фрод
Эксплуатация ИТ систем
Бизнес аналитика
Промышленные данные
и интернет вещей
On-Premises
Частное облако
Публичное
облако
Хранилища
Корзина в
онлайн магазине
Телеконфер
енции
ПК
Безопасность
Веб
сервисы
Сети
Контейнеры
Веб
Clickstreams
RFID
Смартфоны и
устройства
Сервера
Переписка
GPS
координаты
Готовые
приложения
Собственные
разработки
Оналйн
сервисы
Базы
данных
Записи
разговоров
Датчики
Межсетевые
экраны
Предотвращение
вторжений

11. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Начинайте откуда угодно с помощью Splunk
CIO
End User
Computing
Infrastructure
and Operations
Security
Analytics / BI /
EDW
Architecture
Application
Development
Mobile Apps
Web Ops /
Ecommerce
Cloud
Computing
Fraud
Compliance
Services and
Customer
Support
Business and
SaaS App
Management
Server, Storage,
Network
Sales and
Marketing
Product and
Engineering
Finance, HR,
Legal
Line of Business

12. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Полностью интегрированная платформа
HA / DR Admin Data Security Apps SDK / APIScale
Collect
Data
Index
Data
Enrich
Data
Search &
Explore
Analyze
& Predict
Report &
Visualize
Alert &
Action

13. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Создание стоимости данных на стыке ИТ и бизнеса
Платформа разработки (REST API, SDKs)
Эксплуатация
ИТ
Доставка
приложений
Бизнес
аналитика
Интернет вещей
и
промышленные
данные
Безопасность
соответствие
и фрод
Платформа для операционной аналитики

14. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Платформа разработки (REST API, SDKs)
Создание стоимости данных на стыке ИТ и бизнеса
Эксплуатация
ИТ
Доставка
приложений
Бизнес
аналитика
Интернет вещей
и
промышленные
данные
Безопасность
соответствие
и фрод
Платформа для операционной аналитики

15. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Платформа для доставки приложений и эксплуатации ИТ
ROOT CAUSE
AND ISSUE
RESOLUTION
PROACTIVE
MONITORING
AND REAL-TIME
ALERTING
DELIVER BETTER
QUALITY CODE
FASTER
CLOUD APP AND
INFRASTRUCTURE
MONITORING
MOBILE APP
TROUBLESHOOTING
USER & USAGE
ANALYTICS

16. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
▶ Reduced error rates by 2 orders of magnitude
in a couple of weeks
▶ Rapidly found and fixed one line of code
responsible for 30,000+ errors
▶ Real-time dashboards on error rates and
production impact
▶ In-depth visibility as they strategically migrate
apps to AWS Cloud
TECHNOLOGY – SECURITY, IT OPERATIONS
Better Code, Faster Development
and Migration to Cloud

17. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Splunk Apps для доставки приложений и эксплуатации ИТ
Splunk Apps for
VMware and Exchange
300+ IT Ops and App
Delivery Apps
Operational Intelligence
for Mobile Apps
*nix

18. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Мониторинг
приложений
Ландшафт систем доставки приложений и эксплуатации ИТ
API
SDKs UI
Сервера,
хранилища, сети
Серверная
виртуализация
Операционные
системы
Собственные
разработки
Бизнес
приложения
Облачные
сервисы
Системы
HelpDesk/баг-трекинг
Мобильные
приложения
Web IntelligenceStream

19. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Создание стоимости данных на стыке ИТ и бизнеса
Платформа разработки (REST API, SDKs)
Эксплуатация
ИТ
Доставка
приложений
Бизнес
аналитика
Интернет вещей
и
промышленные
данные
Безопасность
соответствие
и фрод
Платформа для операционной аналитики

20. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Безопасность
SECURITY AND
COMPLIANCE
REPORTING
REAL-TIME
MONITORING OF
KNOWN THREATS
INCIDENT
INVESTIGATIONS
AND FORENSICS
FRAUD
DETECTION
DETECT
UNKNOWN
THREATS
INSIDER
THREAT

21. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
▶ Four Years in a Row as a Leader
▶ Furthest overall in Completeness of Vision
▶ Splunk also scores highest in 2016
Critical Capabilities for SIEM report
in all three Use Cases
Splunk позиционируется как лидер
Магический квадрат Gartner 2016 Security Information and Event Management*
*Gartner, Inc., 2016 Magic Quadrant for Security Information and Event Management, and Critical Capabilities for Security
Information and Event Management, Oliver Rochford, Kelly M. Kavanagh, Toby Bussa. 10 August 2016 This graphic was
published by Gartner, Inc. as part of a larger research document and should be evaluated in the context of the entire
document. The Gartner document is available upon request from Splunk. Gartner does not endorse any vendor, product or
service depicted in its research publications, and does not advise technology users to select only those vendors with the
highest ratings or other designation. Gartner research publications consist of the opinions of Gartner's research organization
and should not be construed as statements of fact. Gartner disclaims all warranties, expressed or implied, with respect to this
research, including any warranties of merchantability or fitness for a particular purpose.

22. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Splunk is a leader in
The Forrester Wave:
Security Analytics
Platforms, Q1 2017
Splunk позиционируется как лидер
в сегменте Security Analytics Platforms
*The Forrester Wave™ is copyrighted by Forrester Research, Inc. Forrester and Forrester Wave™ are
trademarks of Forrester Research, Inc. The Forrester Wave™ is a graphical representation of Forrester's call
on a market and is plotted using a detailed spreadsheet with exposed scores, weightings, and comments.
Forrester does not endorse any vendor, product, or service depicted in the Forrester Wave. Information is
based on best available resources. Opinions reflect judgment at the time and are subject to change.
™
Splunk receives highest possible
scores in 17 criteria
*

23. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
▶ Gained comprehensive situational awareness to visualize threats
▶ Leveraged Splunk ES as the nerve center of their
modern day Command Center
▶ Saved hundreds of hours of time by quickly finding
and resolving issues
▶ Quickly identified and prevented cybersecurity threats
and protect intellectual property
Leveraging Analytics-Driven Security
to Achieve Operational Intelligence
“ Jabil has used Splunk Enterprise for years to monitor the health of our
global networks, and the platform has saved teams hundreds of hours
of time by quickly finding and resolving issues. Splunk ES has been a
natural fit as the security nerve center at Jabil because it speeds our
response times, makes us more proactive and delivers a clear picture of
what is happening.”
– Devin Cambridge, Global Managing Cybersecurity Officer, Jabil
SECURITY

24. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Splunk для безопасности
Splunk
Enterprise Security
500+
Security Apps
Splunk User
Behavior Analytics
Palo Alto
Networks
Symantec DNS
OSSEC
NetFlow
Logic
Cisco
Security Suite
F5 Security
PCI
Compliance
Active
Directory
Blue Coat
Proxy SG

25. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Создание стоимости данных на стыке ИТ и бизнеса
Платформа разработки (REST API, SDKs)
Бизнес
аналитика
Платформа для операционной аналитики
Эксплуатация
ИТ
Доставка
приложений
Безопасность
соответствие
и фрод
Интернет вещей
и
промышленные
данные

26. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Платформа для операционной аналитики
Splunk для бизнес аналитики
Анализ бизнес
процессов
Анализ работы с
клиентами
Анализ продукта
Цифровой
маркетинг

27. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Optimize Multi-Channel Marketing Campaigns
Initial WebOps Use Case
▶ WebOps – site monitoring, errors
▶ Troubleshoot issues with releases
▶ Reduced MTTR from days to seconds
▶ Network monitoring in real time
Expansion to
Business Analytics
▶ Multi-channel analytics for web, mobile
and 10,000+ store locations
▶ Real-time revenue insights, product mix
and promotion effectiveness
▶ Marketing campaign optimization
▶
Data sources: weblogs, mobile, app logs, transaction logs, in-store POS data
© 2017 SPLUNK INC.

28. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Splunk для бизнес аналитики
Приложения
▶ DB Connect
▶ Splunk Stream
▶ ODBC Driver
▶ Data Models
▶ Pivot
Features Партнёры

29. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Создание стоимости данных на стыке ИТ и бизнеса
Платформа разработки (REST API, SDKs)
Интернет вещей
и
промышленные
данные
Платформа для операционной аналитики
Эксплуатация
ИТ
Доставка
приложений
Безопасность
соответствие
и фрод
Бизнес
аналитика

30. © 2017 SPLUNK INC.© 2017 SPLUNK INC.© 2017 SPLUNK INC.
Splunk для IoT и промышленных данных
Мониторинг и
диагностика
Безопасность и
соответствие требованиям
Предиктивное
обслуживание
IT OT IoT
Управление жизненным
циклом активов

31. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
▶ Ingest, correlate sensor, diagnostic codes, geolocation
data in real-time to
• Gain insights into asset health, condition
• Perform root cause analysis
• Generate locomotive maintenance recommendations
TRANSPORTATION
Improve Customer Service, Reduce Costs by
Increasing Locomotive Availability and
Reliability

32. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Splunk для IoT и промышленных данных
DBConnect
REST API and SNMP
Modular Inputs
Universal Forwarder
for Raspberry Pi
REST
Приложения Features Партнеры

33. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Портфолио Splunk
Богатая экосистема
приложений и Add-on
Splunk Premium
Solutions
Mainframe
Data
Relational
Databases
MobileForwarders
Syslog/
TCP
IoT
Devices
Network
Wire Data
Hadoop
Платформа для операционной аналитики

34. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Splunk Quick Starts
+ + + =
Splunk Apps
+ Add-Ons
Expert
Guidance
Edu Credits +
.conf Passes
Splunk Quick Start
Infrastructure
Monitoring
Application
Management
Service
Intelligence
SIEM

35. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Продвинутое сообщество
dev.splunk.com
40,000+ вопросов и
ответов
1,300+ приложений
Local User Groups and
SplunkLive! events
© 2017 SPLUNK INC.

36. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Бесплатный облачный
триал
Бесплатная загрузка
Бесплатные AMAZON
MACHINE IMAGES (AMI)
Легко попробовать и начать
1 2 3

37. © 2017 SPLUNK INC.© 2017 SPLUNK INC.© 2017 SPLUNK INC.© 2017 SPLUNK INC.
Спасибо

38. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Приложение

39. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
ORDER, 2016-05-21T14:04:12.484,10098213,569281734,67.17.10.12,43CD1A7B8322,SA-2100
MAY 21 14:04:12.996 wl-01.acme.com Order 569281734 failed for customer 10098213.
Exception follows: weblogic.jdbc.extensions.ConnectionDeadSQLException:
weblogic.common.resourcepool.ResourceDeadException: Could not create pool connection. The
DBMS driver exception was: [BEA][Oracle JDBC Driver] Error establishing socket to host and port:
ACMEDB-01:1521. Reason: Connection refused
05/21 16:33:11.238 [CONNEVENT] Ext 1207130 (0192033): Event 20111, CTI Num:ServID:Type
0:19:9, App 0, ANI T7998#1, DNIS 5555685981, SerID 40489a07-7f6e-4251-801a-
13ae51a6d092, Trunk T451.16
05/21 16:33:11:242 [SCREENPOPEVENT] SerID 40489a07-7f6e-4251-801a-13ae51a6d092
CUSTID 10098213
05/21 16:37:49.732 [DISCEVENT] SerID 40489a07-7f6e-4251-801a-13ae51a6d092
{actor:{displayName: “Go Boys!!”,followersCount:1366,friendsCount:789,link:
http://dallascowboys.com/,location:{displayName:“Dallas, TX”,objectType:“place”},
objectType:“person”,preferredUsername:“B0ysF@n80”,statusesCount:6072},body: “Can’t buy
this device from @ACME. Site doesn’t work! Called, gave up on waiting for them to answer! RT if
you hate @ACME!!”,objectType:“activity”,postedTime:“2016-05-21T16:39:40.647-0600”}
Как выглядят машинные данные?
SOURCES
Order Processing
Twitter
Care IVR
Middleware Error

40. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Машинные данные содержат критически важную информацию
SOURCES
Order Processing
Twitter
Care IVR
Middleware Error
Customer ID Order ID Product ID
ORDER, 2016-05-21T14:04:12.484,10098213,569281734,67.17.10.12,43CD1A7B8322,SA-2100
MAY 21 14:04:12.996 wl-01.acme.com Order 569281734 failed for customer 10098213.
Exception follows: weblogic.jdbc.extensions.ConnectionDeadSQLException:
weblogic.common.resourcepool.ResourceDeadException: Could not create pool connection. The
DBMS driver exception was: [BEA][Oracle JDBC Driver] Error establishing socket to host and port:
ACMEDB-01:1521. Reason: Connection refused
05/21 16:33:11.238 [CONNEVENT] Ext 1207130 (0192033): Event 20111, CTI Num:ServID:Type
0:19:9, App 0, ANI T7998#1, DNIS 5555685981, SerID 40489a07-7f6e-4251-801a-
13ae51a6d092, Trunk T451.16
05/21 16:33:11:242 [SCREENPOPEVENT] SerID 40489a07-7f6e-4251-801a-13ae51a6d092
CUSTID 10098213
05/21 16:37:49.732 [DISCEVENT] SerID 40489a07-7f6e-4251-801a-13ae51a6d092
{actor:{displayName: “Go Boys!!”,followersCount:1366,friendsCount:789,link:
http://dallascowboys.com/,location:{displayName:“Dallas, TX”,objectType:“place”},
objectType:“person”,preferredUsername:“B0ysF@n80”,statusesCount:6072},body: “Can’t buy
this device from @ACME. Site doesn’t work! Called, gave up on waiting for them to answer! RT if
you hate @ACME!!”,objectType:“activity”,postedTime:“2016-05-21T16:39:40.647-0600”}
Order ID
Twitter ID
Customer ID
Customer ID
Time waiting on hold
Customers Tweet
Company’s Twitter ID

41. © 2017 SPLUNK INC.© 2017 SPLUNK INC.
Машинные данные содержат критически важную информацию
SOURCES
Order Processing
Twitter
Care IVR
Middleware Error
Customer ID Order ID Product ID
ORDER, 2016-05-21T14:04:12.484,10098213,569281734,67.17.10.12,43CD1A7B8322,SA-2100
MAY 21 14:04:12.996 wl-01.acme.com Order 569281734 failed for customer 10098213.
Exception follows: weblogic.jdbc.extensions.ConnectionDeadSQLException:
weblogic.common.resourcepool.ResourceDeadException: Could not create pool connection. The
DBMS driver exception was: [BEA][Oracle JDBC Driver] Error establishing socket to host and port:
ACMEDB-01:1521. Reason: Connection refused
05/21 16:33:11.238 [CONNEVENT] Ext 1207130 (0192033): Event 20111, CTI Num:ServID:Type
0:19:9, App 0, ANI T7998#1, DNIS 5555685981, SerID 40489a07-7f6e-4251-801a-
13ae51a6d092, Trunk T451.16
05/21 16:33:11:242 [SCREENPOPEVENT] SerID 40489a07-7f6e-4251-801a-13ae51a6d092
CUSTID 10098213
05/21 16:37:49.732 [DISCEVENT] SerID 40489a07-7f6e-4251-801a-13ae51a6d092
{actor:{displayName: “Go Boys!!”,followersCount:1366,friendsCount:789,link:
http://dallascowboys.com/,location:{displayName:“Dallas, TX”,objectType:“place”},
objectType:“person”,preferredUsername:“B0ysF@n80”,statusesCount:6072},body: “Can’t buy
this device from @ACME. Site doesn’t work! Called, gave up on waiting for them to answer! RT if
you hate @ACME!!”,objectType:“activity”,postedTime:“2016-05-21T16:39:40.647-0600”}
Order ID
Twitter ID
Customer ID
Customer ID
Time waiting on hold
Customers Tweet
Company’s Twitter ID