GUIDE TECHNIQUE · SPLUNK
Installer Splunk Universal Forwarder
Installer et configurer un Universal Forwarder de recette pour expédier des journaux Linux vers un récepteur Splunk autorisé.
L’ESSENTIEL EN BREF
Les étapes clés
Ce guide présente 4 étapes, de « Définir le périmètre de recette » à « Valider et fiabiliser ».
Avant de commencer : Disposer d’un environnement Splunk et d’un compte habilité à l’exercice.
01 · CADRAGE
Périmètre et résultat visé
Résultat attendu : Le forwarder démarre et pointe vers un récepteur autorisé.
Public concerné : Ingénieurs supervision, administrateurs Splunk, support N2/N3 et responsables RUN.
Splunk Universal Forwarder compatible avec le déploiement Splunk Enterprise ou Splunk Cloud ; chemin d’installation et méthode d’enrôlement selon l’OS.
Contrôlez les versions, les droits et les options disponibles dans votre environnement avant de suivre la procédure.
02 · AVANT DE COMMENCER
Prérequis et points de contrôle
- Disposer d’un environnement Splunk et d’un compte habilité à l’exercice.
- Utiliser un index et un host fictifs sans données personnelles ni identifiants clients.
- Vérifier connectivité, politique d’accès, coût d’ingestion et plan de retour arrière.
03 · VUE D’ENSEMBLE
Comprendre l’architecture et les flux
04 · TUTORIEL
Procédure complète, étape par étape
Suivez les étapes dans l’ordre et contrôlez chaque résultat avant de poursuivre. Renseignez les paramètres adaptés à votre environnement.
ÉTAPE 1 / 4
Définir le périmètre de recette
Un périmètre de collecte fermé empêche d’ingérer des fichiers inappropriés.
- Vérifier l’architecture, le paquet signé fourni par Splunk, les droits système et les ports de destination avant installation.
- Conserver les paramètres non sensibles, l’utilisateur d’exécution et les critères de réussite dans un ticket de recette.
$SPLUNK_HOME/bin/splunk versionÀ vérifier : Le forwarder démarre et pointe vers un récepteur autorisé.
Point de vigilance : Valider les droits et la compatibilité avec la version de Splunk ; ne jamais publier les credentials ni contourner TLS.
ÉTAPE 2 / 4
Préparer la configuration
Une configuration revue assure la cohérence de l’index et des accès.
- Installer le forwarder selon la procédure éditeur et accepter les conditions de licence uniquement dans le processus approuvé.
- Conserver les paramètres non sensibles, l’utilisateur d’exécution et les critères de réussite dans un ticket de recette.
$SPLUNK_HOME/bin/splunk list forward-serverÀ vérifier : Les événements apparaissent dans le bon index et le bon sourcetype.
Point de vigilance : Valider les droits et la compatibilité avec la version de Splunk ; ne jamais publier les credentials ni contourner TLS.
ÉTAPE 3 / 4
Exécuter et observer
Les événements doivent être observés depuis la source jusqu’à la recherche.
- Configurer le serveur cible via deployment server ou outputs.conf géré centralement, avec TLS et certificat de confiance.
- Conserver les paramètres non sensibles, l’utilisateur d’exécution et les critères de réussite dans un ticket de recette.
$SPLUNK_HOME/bin/splunk statusÀ vérifier : Les flux sont chiffrés et les secrets restent hors des journaux.
Point de vigilance : Valider les droits et la compatibilité avec la version de Splunk ; ne jamais publier les credentials ni contourner TLS.
ÉTAPE 4 / 4
Valider et fiabiliser
La recette doit démontrer aussi les cas d’absence de données et d’échec.
- Activer un input de recette limité, vérifier la connexion depuis list forward-server puis rechercher les événements reçus avec host et sourcetype.
- Conserver les paramètres non sensibles, l’utilisateur d’exécution et les critères de réussite dans un ticket de recette.
$SPLUNK_HOME/bin/splunk statusÀ vérifier : Les flux sont chiffrés et les secrets restent hors des journaux.
Point de vigilance : Valider les droits et la compatibilité avec la version de Splunk ; ne jamais publier les credentials ni contourner TLS.
RÉFÉRENCES TECHNIQUES
Documentation officielle
Retrouvez les prérequis, les fonctionnalités et les versions prises en charge par Splunk. Vérifiez les commandes sur un environnement de test avant leur utilisation en production.
05 · RECETTE
Comment vérifier que tout fonctionne ?
Le forwarder démarre et pointe vers un récepteur autorisé.
Les événements apparaissent dans le bon index et le bon sourcetype.
Les flux sont chiffrés et les secrets restent hors des journaux.
06 · DIAGNOSTIC
Problèmes fréquents et résolution
Forward server inactive
Cause probable : Destination, port ou handshake TLS incorrect
Que faire : Contrôler outputs.conf, firewall et chaîne de certificats.
No events found
Cause probable : Input absent ou index non autorisé
Que faire : Inspecter inputs.conf et la recherche index/sourcetype.
Forwarder offline
Cause probable : Service arrêté ou droits sur logs insuffisants
Que faire : Examiner splunkd.log et les permissions du compte système.
07 · QUESTIONS PRATIQUES
Questions fréquentes
Comment vérifier qu’il n’y a pas de perte d’événements ?
Comparer une fenêtre temporelle stable et le volume émis/reçu en conservant les écarts et limites connues.
Peut-on appliquer directement cet exemple en production ?
Non, la collecte et les alertes nécessitent l’accord des propriétaires d’index, du RUN et de la sécurité.
Pourquoi distinguer index et sourcetype ?
L’index organise stockage et permissions ; le sourcetype décrit le format des données pour leur interprétation.
AUTRES TECHNOLOGIES
Guides complémentaires
VOTRE ENVIRONNEMENT
Besoin d’aller plus loin sur votre environnement ?
Échangeons sur votre environnement Splunk : pratiques, sécurité et exploitation.
Échanger avec ADN Consulting