Tystysgrif Splunk i Ddechreuwr: Cynllun Cychwyn Go Iawn

Mae Splunk yn ymddangos mewn cyhoeddiadau swyddi ar gyfer swyddi SOC analyst, security engineer, a IT operations yn gyson, ac mae'r llwybr tystysgrif yn un o'r rhai mwy hygyrch yn y rhanbarth offer diogelwch. Mae hefyd yn un o'r rhai mwy camddealledig — mae pobl yn rhagdybio ei fod yn dystysgrif codio, ac nid yw. Mae'n dystysgrif data. Rydych yn dysgu sut i chwilio, trawsnewid, a delweddu data peiriant, gan mwyaf logiau.

Beth mae'r tystysgrif yn ei gwarchod mewn gwirionedd

Mae gan lwybr dechreuwr-gyfeillgar Splunk ddwy arholiad sy'n werth eu targedu yn gyntaf: Splunk Core Certified User a Splunk Core Certified Power User. Mae arholiad y Defnyddiwr yn gwirio a ydych chi'n deall llywio sylfaenol, rhedeg chwiliadau, a defnyddio'r iaith chwilio (SPL) ar lefel wyneb — pethau fel stats, table, a phlocwyr amser sylfaenol. Mae arholiad Power User yn mynd yn ddyfnach i SPL, gan gwarchod gorchymynion fel eval, rex, lookup, a adeiladu dashboards gyda adroddiadau ac hysbysiadau.

Nid yw'r naill arholiad na'r llall yn cyffwrdd gweinyddu Splunk (gosod indexers, ffurfweddu forwarders, rheoli drwyddedau) — mae hwnnw'n lwybr Enterprise Certified Admin ar wahân ar gyfer yn nes ymlaen. Dylai dechreuwr anwybyddu cynnwys gweinyddu yn hollol i ddechrau; dim ond yn ychwanegu sŵn y mae.

Cael amgylchedd go iawn cyn i chi astudio dim byd

Na ddechrau gyda sleidiau. Dechrau gyda Splunk ei hun. Llwythwch Splunk Enterprise's treial am ddim (60 diwrnod, hyd at 500MB/diwrnod indexing) neu tro i fyny y treial Splunk Cloud ostyngeddig os nad ydych chi eisiau rheoli VM. Mae'r naill neu'r llall yn gweithio'n dda ar gyfer paratoi tystysgrif.

Un waith ei fod yn rhedeg, llwythwch y set ddata sampl mae Splunk yn ei nerthylu — y tutorialdata.zip ffeil y cyfeirir ati yn y dogfennau tiwtorial swyddogol Splunk. Mae'n cynnwys logiau mynediad gwe wedi'i fformadu ar gyfer eu cherddi, ac mae bron pob cwestiwn ymarfer y byddwch yn ei gwrdd yn mapio'n ôl i strwythur y set ddata honno.

Dysgu SPL trwy dorri pethau, nid cofio cystrawen

Mae SPL yn gwobrwyo arbrofi. Yn lle cofio bod stats count by status yn grwpio canlyniadau, ei rhedeg mewn gwirionedd yn erbyn eich data sampl, ac yna newid count ar gyfer avg(bytes) a gweld beth sy'n newid. Ceisiwch:

index=main sourcetype=access_combined status>=400
| stats count by status, uri_path
| sort -count

Ac yna tynnu darnau allan un ar y tro i weld beth sy'n torri. Mae hyn yn gyflymach ar gyfer cadw na darllen tabl cyfeiria oer. Canolbwyntio yn arbennig ar:

• stats, eventstats, streamstats — mae'r gwahaniaethau yn dal pobl i fyny bron pawb yn gyntaf
• eval gyda rhesymeg amod (if, case)
• rex ar gyfer tynnu maes gan ddefnyddio regex
• lookup ar gyfer cyfoethogi digwyddiadau gyda data CSV allanol
• Newidwyr amser fel earliest=-24h@h

Defnyddiwch hyfforddiant am ddim Splunk ei hun, nid dim ond cyrsiau trydydd parti

Mae Splunk yn cynnig modiwlau eLearning am ddim trwy Addysg Splunk wedi'i anelu'n benodol at y Core Certified User a Power User arholiadau. Nid ydynt yn rwtsh marchnata — maent yn adeiladu'n uniongyrchol oddi ar amcanion arholiad, a mae'r cwestiynau ymarfer ar ddiwedd pob modiwl yn debyg i frawddegau arholiad go iawn yn ddigon agos i fod yn ddefnyddiol mewn gwirionedd. Paru hynny gyda'r PDF cynllun arholiad swyddogol, sydd yn rhestru pob parth pwnc a'i bwysau ar yr arholiad. Os yw parth wedi'i bwyso 20%, peidiwch ei hepgor oherwydd ei fod yn ymddangos yn ddiflas.},{ Mae edafedd Reddit a grwpiau astudio Discord (mae gan Splunk gymuned Slack weithgar) yn dda ar gyfer egluro achosion ymyl SPL penodol, ond ei drin fel atodiadau, nid deunydd cynradd.

Adeiladu un prosiect bach cyn yr arholiad

Dewis set ddata sydd gennych fynediad iddi eisoes — logiau Apache, logiau firewall, hyd yn oed rhywbeth fel set ddata logiau gweinydd gwe NASA sydd yn eiddo cyhoeddus — ac adeiladu dashboard gyda thri phaneli: siart amser digwyddiadau, tabl top-10 o ryw faes, a phaneli sengl-werth gyda lliw trothwy. Mae hyn yn ei orfodi i gyffwrdd neiltuoedd XML dashboard sylfaenol, fformadu paneli, a mapio chwilio-i-ddelweddu, yr holl rai sy'n ymddangos ar arholiad Power User fel cwestiynau senario.

Beth mae diwrnod yr arholiad mewn gwirionedd yn teimlo

Mae'r ddau arholiad wedi'u goruchwylio ar-lein trwy Pearson VUE, tua 60 cwestiwn, 60-90 munud yn dibynnu ar ba arholiad. Mae cwestiynau'n bennaf ateb lluoswedd a seiliedig ar senario (