GUIDE TECHNIQUE · SPLUNK
Collecter les logs avec Splunk
Définir un input et vérifier le triplet index, source et sourcetype pour retrouver efficacement les événements lors d’un incident.
L’ESSENTIEL EN BREF
Les étapes clés
Ce guide présente 4 étapes, de « Définir le périmètre de recette » à « Valider et fiabiliser ».
Avant de commencer : Disposer d’un environnement Splunk et d’un compte habilité à l’exercice.
01 · CADRAGE
Périmètre et résultat visé
Résultat attendu : L’input ne lit que le chemin autorisé.
Public concerné : Ingénieurs supervision, administrateurs Splunk, support N2/N3 et responsables RUN.
Splunk Enterprise/Cloud avec autorisations de collecte et d’index ; Universal Forwarder géré par équipe plateforme.
Contrôlez les versions, les droits et les options disponibles dans votre environnement avant de suivre la procédure.
02 · AVANT DE COMMENCER
Prérequis et points de contrôle
- Disposer d’un environnement Splunk et d’un compte habilité à l’exercice.
- Utiliser un index et un host fictifs sans données personnelles ni identifiants clients.
- Vérifier connectivité, politique d’accès, coût d’ingestion et plan de retour arrière.
03 · VUE D’ENSEMBLE
Comprendre l’architecture et les flux
04 · TUTORIEL
Procédure complète, étape par étape
Suivez les étapes dans l’ordre et contrôlez chaque résultat avant de poursuivre. Renseignez les paramètres adaptés à votre environnement.
ÉTAPE 1 / 4
Définir le périmètre de recette
Un périmètre de collecte fermé empêche d’ingérer des fichiers inappropriés.
- Choisir un fichier de recette sans données personnelles, une politique de rétention et un index dont l’accès est limité.
- Conserver les paramètres non sensibles, l’utilisateur d’exécution et les critères de réussite dans un ticket de recette.
[monitor:///var/log/ma-demo/app.log]
disabled = false
index = lab_ops
sourcetype = adn:app:labÀ vérifier : L’input ne lit que le chemin autorisé.
Point de vigilance : Valider les droits et la compatibilité avec la version de Splunk ; ne jamais publier les credentials ni contourner TLS.
ÉTAPE 2 / 4
Préparer la configuration
Une configuration revue assure la cohérence de l’index et des accès.
- Configurer un monitor input dans inputs.conf pour ce chemin exclusivement, en fixant index et sourcetype pertinents.
- Conserver les paramètres non sensibles, l’utilisateur d’exécution et les critères de réussite dans un ticket de recette.
index=lab_ops sourcetype="adn:app:lab" | stats count by host, sourceÀ vérifier : Les événements sont affectés au bon index et sourcetype.
Point de vigilance : Valider les droits et la compatibilité avec la version de Splunk ; ne jamais publier les credentials ni contourner TLS.
ÉTAPE 3 / 4
Exécuter et observer
Les événements doivent être observés depuis la source jusqu’à la recherche.
- Déployer la configuration avec le processus centralisé de l’équipe Splunk, relancer les composants concernés de façon contrôlée.
- Conserver les paramètres non sensibles, l’utilisateur d’exécution et les critères de réussite dans un ticket de recette.
index=lab_ops | head 10À vérifier : Le nombre et l’horodatage des événements correspondent à la recette.
Point de vigilance : Valider les droits et la compatibilité avec la version de Splunk ; ne jamais publier les credentials ni contourner TLS.
ÉTAPE 4 / 4
Valider et fiabiliser
La recette doit démontrer aussi les cas d’absence de données et d’échec.
- Vérifier l’indexation en SPL, les timestamps, host, source et sourcetype ; comparer volume émis et reçu sur la même fenêtre.
- Conserver les paramètres non sensibles, l’utilisateur d’exécution et les critères de réussite dans un ticket de recette.
index=lab_ops | head 10À vérifier : Le nombre et l’horodatage des événements correspondent à la recette.
Point de vigilance : Valider les droits et la compatibilité avec la version de Splunk ; ne jamais publier les credentials ni contourner TLS.
RÉFÉRENCES TECHNIQUES
Documentation officielle
Retrouvez les prérequis, les fonctionnalités et les versions prises en charge par Splunk. Vérifiez les commandes sur un environnement de test avant leur utilisation en production.
05 · RECETTE
Comment vérifier que tout fonctionne ?
L’input ne lit que le chemin autorisé.
Les événements sont affectés au bon index et sourcetype.
Le nombre et l’horodatage des événements correspondent à la recette.
06 · DIAGNOSTIC
Problèmes fréquents et résolution
Sourcetype incorrect
Cause probable : Valeur forcée au mauvais niveau de configuration
Que faire : Contrôler btool et les niveaux de précédence.
Events truncated
Cause probable : Lignes longues ou événements multilignes
Que faire : Réexaminer le parsing et les limites côté collecteur/indexer.
Index empty
Cause probable : Droit d’écriture/index non créé
Que faire : Vérifier permission d’index et état du forwarder.
07 · QUESTIONS PRATIQUES
Questions fréquentes
Comment vérifier qu’il n’y a pas de perte d’événements ?
Comparer une fenêtre temporelle stable et le volume émis/reçu en conservant les écarts et limites connues.
Peut-on appliquer directement cet exemple en production ?
Non, la collecte et les alertes nécessitent l’accord des propriétaires d’index, du RUN et de la sécurité.
Pourquoi distinguer index et sourcetype ?
L’index organise stockage et permissions ; le sourcetype décrit le format des données pour leur interprétation.
AUTRES TECHNOLOGIES
Guides complémentaires
VOTRE ENVIRONNEMENT
Besoin d’aller plus loin sur votre environnement ?
Échangeons sur votre environnement Splunk : pratiques, sécurité et exploitation.
Échanger avec ADN Consulting