{"id":901,"date":"2023-11-17T12:34:22","date_gmt":"2023-11-17T09:34:22","guid":{"rendered":"https:\/\/testblogbh.com\/blog\/?p=901"},"modified":"2025-09-24T14:44:04","modified_gmt":"2025-09-24T11:44:04","slug":"splunk-the-animal-is-unknown-and-where-it-lives","status":"publish","type":"post","link":"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/","title":{"rendered":"SPLUNK \u2013 \u043d\u0435\u0432\u0435\u0434\u043e\u043c\u0430 \u0437\u0432\u0435\u0440\u0443\u0448\u043a\u0430 \u0438 \u0433\u0434\u0435 \u043e\u043d\u0430 \u043e\u0431\u0438\u0442\u0430\u0435\u0442"},"content":{"rendered":"

При централизованном управлении распределенных систем возникает вопрос в мониторинге этих систем, причем желательно в режиме реального времени, с возможностью оперативного вмешательства в случае наступления инцидента.<\/p>\n\n\n\n

Эффективно решить такую задачу позволяет централизация сбора, хранения и обработки журналов наблюдаемых систем. Также, централизованное хранение логов позволяет восстановить ход событий даже в случае полного уничтожения целевой системы, включая журналы событий.<\/p>\n\n\n\n

Сегодня расскажем о подключении OS на базе Linux систем простыми (надеюсь) словами.<\/p>\n\n\n\n

За основу комплекса взят Splunk-сервер актуальной версии 9.0.5, который уже успешно принимает данные от Windows и других систем. При установке сервера назначен отдельный порт 39801, на котором сервис-listener и будет принимать у нас все данные от агентов.<\/p>\n\n\n\n

Перед началом подключения следует определиться: каким именно способом собирать данные с серверов, и как Вы потом будете их обрабатывать. Постройте себе цепочку от события, которое может гипотетически произойти на сервере, которое Вы хотите отследить, и до реакции на это событие.<\/p>\n\n\n\n

Возьмем в качестве примера несложный инцидент: повышение (или попытка повышения) прав пользователя с «обычного» до уровня root в OS LINUX. Цепочка будет такой:<\/p>\n\n\n\n

    \n
  1. Пользователь<\/a> успешно (или неуспешно) повысил себе права до root введя команду sudo<\/strong> -i<\/strong>.<\/li>\n\n\n\n
  2. Событие зафиксировалось в логах сервера (клиента — по отношению к серверу Splunk)<\/li>\n\n\n\n
  3. Событие передается с клиента на сервер<\/a> Splunk<\/li>\n\n\n\n
  4. На сервере Splunk событие попадает в определенный индекс, где будет обрабатываться и главное – храниться для ретроспективного анализа.<\/li>\n<\/ol>\n\n\n\n

    Дополнительно, для некоторых событий, их можно нормализировать еще на стороне клиента, но лучше, чтобы они попадали на сервер<\/a> в чистом, незамутнённом виде. Особенно критические.<\/p>\n\n\n\n

    Итак, событие произошло, и оно должно быть отражено в логах клиента. Два основных метода – сбор «родных» логов LINUX и сбор демоном auditd. Оба способа имеют свои отличия в настройке и обработке.<\/p>\n\n\n\n

      \n
    1. Штатно, логи собираются в папке \/var\/log\/. Возможно, этого будет вполне достаточно, но это зависит от того, какие у Вас сервисы и каталоги должны мониториться. Будем стараться мониторить всю папку и посмотрим, какие данные попадут в индекс автоматически. <\/li>\n\n\n\n
    2. Можно установить auditd<\/strong> – этот демон будет собирать все события в один файл. Auditd имеет свой собственный файл конфигурации, и можно указывать что и каким образом он будет собирать. Минусом auditd можно считать излишнюю нагрузку на систему, но это регулируется или его тонкими настройками, или увеличением объема памяти. По умолчанию файл создается по адресу \/var\/log\/audit\/audit.log
      Учтите этот момент, если будете настраивать одновременно мониторинг папки \/var\/log\/ и журнала демона auditd, чтобы у Вас не дублировались записи событий.<\/li>\n<\/ol>\n\n\n\n

      Определившись с тем, что и как мы будем собирать, можно переходить к этапу передачи этой информации на сервер<\/a>. Для этого будем использовать универсальный сервис от Splunk – Splunk Forwarder. Для различных систем его можно загрузить по ссылке : https:\/\/www.splunk.com\/en_us\/download\/universal-forwarder.html#tabs\/linux<\/a>  (требуется регистрация).<\/p>\n\n\n\n

      Задача форвардера – передать информацию из точки А в точку Б, где точкой А выступает лог-файл, а точной Б – сервер<\/a> Splunk. Кроме этого, форвардер может передавать данные «по цепочке»: например, с нескольких серверов в одном сегменте сети, которые не имеют прямого доступа к серверу Splunk, клиентские форвардеры передают данные на консолидирующий форвардер, а он в свою очередь передает на сервер<\/a> по отдельному, специально для него выделенному каналу, в другую подсеть.<\/p>\n\n\n\n

      Установка форвардера на наблюдаемый сервер<\/a> начинается с создания индивидуального пользователя и группы, под которым форвардер  и будет запускаться. По умолчанию это пользователь<\/a> splunk<\/em><\/strong> <\/em>и группа splunk<\/em><\/strong>.<\/p>\n\n\n\n

      Создайте пользователя и группу:<\/p>\n\n\n\n

      #useradd -m splunk<\/p>\n\n\n\n

      #groupadd splunk<\/p>\n\n\n\n

      Создайте домашнюю директорию для форвардера:<\/p>\n\n\n\n

      #export SPLUNK_HOME=»\/opt\/splunkforwarder»<\/p>\n\n\n\n

      #mkdir $SPLUNK_HOME<\/p>\n\n\n\n

      Скачaнный дистрибутив в архиве .tgz распакуйте в папку \/opt\/splunkforwarder\/ и назначьте владельцем нового пользователя:<\/p>\n\n\n\n

      #chown -R splunk:splunk $SPLUNK_HOME<\/p>\n\n\n\n

      Переключитесь на нового пользователя splunk<\/em> или любого другого непривилегированного пользователя и зайдите в папку \/opt\/splunkforwarder\/bin\/ и найдите скрипт splunk.<\/p>\n\n\n\n

      Выполните первый запуск скрипта, при котором он проинсталлирует необходимые компоненты<\/p>\n\n\n\n

      $sudo $SPLUNK_HOME\/bin\/splunk start —accept-license<\/p>\n\n\n\n

      В дальнейшем этот скрипт понадобится для перезапуска форвардера, остальные настройки указываются только в конфигурационных файлах.<\/p>\n\n\n\n

      .\/splunk stop – остановка сервиса<\/p>\n\n\n\n

      .\/splunk start – запуск сервиса<\/p>\n\n\n\n

      .\/splunk status – проверка текущего статуса<\/p>\n\n\n\n

      После инсталляции в папке \/opt\/splunkforwarder\/etc\/system\/ появятся три интересующие нас папки с настройками<\/p>\n\n\n\n

      \/default – в этой папке находятся все конфигурационные файлы, которые действуют по умолчанию. Изменять их нельзя.<\/p>\n\n\n\n

      \/README – подробное описание каждого параметра в каждом файле.<\/p>\n\n\n\n

      \/local – интересующая нас папка. Все конфигурационные файлы, помещенные в эту папку, имеют приоритет над дефолтными настройками.<\/p>\n\n\n\n

      Для простой передачи данных с клиента на сервер<\/a> Splunk нам потребуется два файла, определяющие «что» собирать, и «куда» отправлять.<\/p>\n\n\n\n

      outputs.conf – указывает адрес целевого сервера или узлового форвардера.<\/p>\n\n\n\n

      Для одного сервера достаточно следующей конфигурации:<\/p>\n\n\n\n

      \"\"<\/figure>\n\n\n\n

      [tcpout]<\/p>\n\n\n\n

      defaultGroup = default-autolb-group<\/p>\n\n\n\n

      [tcpout:default-autolb-group]<\/p>\n\n\n\n

      server = 10.10.10.5: 39801<\/p>\n\n\n\n

      Несмотря на то, что сервер<\/a> и клиент один, предварительно нужно указать группу по умолчанию, в которую будет входить клиент. Когда клиентов будет несколько, нужно указывать ту же самую группу.<\/p>\n\n\n\n

      Обязательно проверьте, виден ли указанный вами порт с клиентской машины (например, с помощью  команды: $ telnet 10.10.10.5 39801).<\/p>\n\n\n\n

      Inputs.conf – перечисляет что именно собирать и в какой индекс отправлять.<\/p>\n\n\n\n

      \"\"<\/figure>\n\n\n\n

      В начале укажем конфигурацию, которая будет считаться по умолчанию<\/p>\n\n\n\n

      [default]<\/p>\n\n\n\n

      index = linux-debian – индекс, куда будут попадать данные, если не указанно другое.<\/p>\n\n\n\n

      host = $decideOnStartup – имя данного сервера, как он в последствии будет отображаться в логах спланка. Важный момент – если оставить значение $decideOnStartup, то будет взято имя сервера, которое он получил при инсталляции. Но в случае виртуализированных серверов, и если они создавались клонированием, то Вы получите одинаковые имена хостов, которые смешаются в индексе. Так же не следует привязываться к IP адресу машины – многие события не имеют привязки к адресу и никак его не отображают. Гораздо надежнее будет вручную указать имя сервера, как Вы хотите видеть его логах спланка.<\/p>\n\n\n\n

      Укажем черный список файлов, их расположение, которые не надо мониторить<\/p>\n\n\n\n

      [blacklist:$SPLUNK_HOME\/etc\/auth]<\/p>\n\n\n\n

      [blacklist:$SPLUNK_HOME\/etc\/passwd]<\/p>\n\n\n\n

      Указываем, что нужно мониторить и куда складывать, в какой индекс:<\/p>\n\n\n\n

      [monitor:\/\/var\/log\/audit\/audit.log] – это файл, который создает демон auditd.<\/p>\n\n\n\n

      index = linux_auditd – обратите внимание, для него создан отдельный индекс на сервере. Если этот параметр не указать, то будет выбран индекс linux-debian, указанный в блоке [default] в начале файла.<\/p>\n\n\n\n

      [monitor:\/\/var\/log\/] – данный пункт указывает что мониторить нужно всю папку  \/var\/log\/. Поскольку не указан дополнительный параметр index, данные попадут по умолчанию в index = linux-debian<\/p>\n\n\n\n

      Обращаем внимание — в такой конфигурации будет повторно мониториться файл \/var\/log\/audit\/audit.log, и информация из него будет «попадать» в два индекса: и  linux-debian, и linux_auditd<\/p>\n\n\n\n

      Не забываем про мониторинг самого форвардера, ведь в случае его отключения мы перестанем получать логи системы:<\/p>\n\n\n\n

      [monitor:\/\/$SPLUNK_HOME\/var\/log\/splunk]<\/p>\n\n\n\n

      index = linux-debian<\/p>\n\n\n\n

      sourcetype = splunk<\/p>\n\n\n\n

      [monitor:\/\/$SPLUNK_HOME\/var\/log\/watchdog\/watchdog.log]<\/p>\n\n\n\n

      index = linux-debian<\/p>\n\n\n\n

      sourcetype = splunk<\/p>\n\n\n\n

      [monitor:\/\/$SPLUNK_HOME\/var\/log\/splunk\/license_usage_summary.log]<\/p>\n\n\n\n

      index = linux-debian<\/p>\n\n\n\n

      sourcetype = splunk<\/p>\n\n\n\n

      [monitor:\/\/$SPLUNK_HOME\/var\/log\/splunk\/splunk_instrumentation_cloud.log*]<\/p>\n\n\n\n

      index = linux-debian<\/p>\n\n\n\n

      sourcetype = splunk<\/p>\n\n\n\n

      sourcetype = splunk_cloud_telemetry<\/p>\n\n\n\n

      [monitor:\/\/$SPLUNK_HOME\/var\/log\/splunk\/configuration_change.log]<\/p>\n\n\n\n

      index = linux-debian<\/p>\n\n\n\n

      sourcetype = splunk<\/p>\n\n\n\n

      В данном случае, при добавлении переменной sourcetype = splunk информация о работе форвардера будет попадать в общий индекс, но тип данных будет указан как splunk. Это будет полезно для последующего анализа данных и построении запросов.<\/p>\n\n\n\n

      Рекомендуется мониторить следующие директории и источники:<\/p>\n\n\n\n

      \/etc<\/p>\n\n\n\n

      \/var\/log<\/p>\n\n\n\n

      \/home\/*\/.bash_history<\/p>\n\n\n\n

      \/root\/.bash_history<\/p>\n\n\n\n

      \/var\/adm<\/p>\n\n\n\n

      \/Library\/Logs<\/p>\n\n\n\n

      После внесения изменений в любые файлы конфигурации необходимо перезапустить форвардер, что бы они вступили в силу<\/p>\n\n\n\n

      .\/splunk stop – остановка сервиса<\/p>\n\n\n\n

      .\/splunk start – запуск сервиса<\/p>\n\n\n\n

      В процессе настройки рекомендуется включить на сервере запрос index=»linux-debian» или index=»linux_auditd» а период времени поставить REAL-TIME — 5 minute window. Вы сразу же увидите данные, поступившие в индекс после перезапуска форвардера – или их изменение, или что они вообще начали поступать на сервер<\/a>.<\/p>\n\n\n\n

      Если все было проделано правильно, то после окончательного старта сервиса forwareder в самом сервере Splunk увидим «ожившие» новые индексы:<\/p>\n\n\n\n

      \"\"<\/figure>\n\n\n\n

      И теперь можно привлекать весь потенциал продукта Splunk для построения системы мониторинга событий и выявления инцидентов.<\/p>\n\n\n\n

      Например, с чего, собственно, начиналась статья – событие получения пользователем root прав. Для этого пишем простой запрос, с учетом того индекса, куда мы заливаем данные.<\/p>\n\n\n\n

      index=»linux_auditd» acct=root audit_description=»User session start»| table UID host<\/p>\n\n\n\n

      Данный запрос вернет все события начала сессии с правами root и выведет в табличку имя пользователя и имя хоста, на котором это случилось. Данный запрос сохраняем как алерт, назовем, к примеру «ROOT на серверах» Укажем тип алерта “Real-time” и длительность в 365 дней (да, тут надо помнить, что через год он отключиться). Добавим действие, которое нужно выполнить при возникновении события – будем отправлять сообщения в телеграмм. В поле сообщения введем «Внимание!! На сервере $result.host$ пользователь<\/a> $result.UID$ получил ROOT права!» — это сформирует нам нужное сообщение из получаемых полей.<\/p>\n\n\n\n

      \"\"<\/figure>\n\n\n\n

      Если все правильно, то в телеграмм должны приходить сообщения с задержкой примерно 5-8 секунд.<\/p>\n\n\n\n

      \"\"<\/figure>\n\n\n\n

      По аналогии, можно сделать другой алерт, который будет срабатывать не тогда, когда пользователь<\/a> успешно получит права, а когда он не смог их получить, хотя и пытался. Для этого сделаем такой запрос:<\/p>\n\n\n\n

      index=»linux_auditd»  action=failure  type=USER_AUTH | table  UID host addr<\/p>\n\n\n\n

      Этот запрос выдаст нам ошибки при авторизации пользователя. Сделаем из него алерт, но с тем отличием от предыдущего, что срабатывать он будет не по однократному событию (может просто админ не с первого раза по клавиатуре попал), а при возникновении 10 таких событий в период 5 минут. Так же учтем, что после срабатывания алерта он должен временно отключиться на 6 минут, чтобы не пересчитывать значения за последние 5 минут, которые уже посчитал.<\/p>\n\n\n\n

      \"\"<\/figure>\n\n\n\n

      В таком случае Вы получите такое сообщение в телеграме:<\/p>\n\n\n\n

      \"\"<\/figure>\n\n\n\n

      В данном примере мы учитываем количество повторений в течении 5 минут значения поля UID, но можно настроить алерт просто на количество ошибок, если предположить, что подбор пароля осуществляется не для одной учетной записи, а для различных учеток, хотя чаще всего подбирают пароль к пользователю root или другому, заранее известному, пользователю.<\/p>\n\n\n\n

      Так же можно настраивать и другие реакции. Например, при 1000 ошибках в течении 5 минут выполнить скрипт, который добавит или включит на фаерфоле правило, изолирующее атакующий хост. IP этого хоста нам вернет переменная addr из нашего запроса.<\/p>\n\n\n\n

      Таким образом, уважаемые читатели, мы с Вами разобрались, что програмное решение Splunk  — это весьма мощный инструмент для централизованного сбора, хранения и обработки журналов OS LINUX.         <\/p>\n\n\n\n

      Изучили, как производится инсталляция, конфигурирование и управление Splunk’om.     <\/p>\n\n\n\n

      На примере LINUX-daemon’a auditd научились поставлять события в индекс Splunk, и пронаблюдали, как производится настройка и отправка оповещений Splunk’a во внешний канал (Telegram).<\/p>\n\n\n\n

      Продолжение – следует!<\/p>\n","protected":false},"excerpt":{"rendered":"","protected":false},"author":4,"featured_media":3445,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[67,45,92],"tags":[],"class_list":["post-901","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-knowledge-base","category-all","category-all-posts"],"yoast_head":"\nSPLUNK \u2013 \u043d\u0435\u0432\u0435\u0434\u043e\u043c\u0430 \u0437\u0432\u0435\u0440\u0443\u0448\u043a\u0430 \u0438 \u0433\u0434\u0435 \u043e\u043d\u0430 \u043e\u0431\u0438\u0442\u0430\u0435\u0442 –<\/title>\n<meta name=\"description\" content=\"\u041e\u0442\u043a\u0440\u043e\u0439\u0442\u0435 \u0434\u043b\u044f \u0441\u0435\u0431\u044f \u043c\u0438\u0440 SPLUNK \u0441 \u043d\u0430\u0448\u0438\u043c \u043f\u043e\u043b\u043d\u044b\u043c \u0433\u0438\u0434\u043e\u043c. \u0423\u0437\u043d\u0430\u0439\u0442\u0435, \u043a\u0430\u043a \u044d\u0442\u0430 \u043c\u043e\u0449\u043d\u0430\u044f \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 \u043f\u043e\u043c\u043e\u0433\u0430\u0435\u0442 \u0432 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u0438 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439 \u0434\u043b\u044f \u0432\u0430\u0448\u0435\u0433\u043e \u0431\u0438\u0437\u043d\u0435\u0441\u0430.\" \/>\n<meta name=\"robots\" content=\"noindex, nofollow\" \/>\n<meta property=\"og:locale\" content=\"ru_RU\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"SPLUNK \u2013 \u043d\u0435\u0432\u0435\u0434\u043e\u043c\u0430 \u0437\u0432\u0435\u0440\u0443\u0448\u043a\u0430 \u0438 \u0433\u0434\u0435 \u043e\u043d\u0430 \u043e\u0431\u0438\u0442\u0430\u0435\u0442 –\" \/>\n<meta property=\"og:description\" content=\"\u041e\u0442\u043a\u0440\u043e\u0439\u0442\u0435 \u0434\u043b\u044f \u0441\u0435\u0431\u044f \u043c\u0438\u0440 SPLUNK \u0441 \u043d\u0430\u0448\u0438\u043c \u043f\u043e\u043b\u043d\u044b\u043c \u0433\u0438\u0434\u043e\u043c. \u0423\u0437\u043d\u0430\u0439\u0442\u0435, \u043a\u0430\u043a \u044d\u0442\u0430 \u043c\u043e\u0449\u043d\u0430\u044f \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 \u043f\u043e\u043c\u043e\u0433\u0430\u0435\u0442 \u0432 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u0438 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439 \u0434\u043b\u044f \u0432\u0430\u0448\u0435\u0433\u043e \u0431\u0438\u0437\u043d\u0435\u0441\u0430.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/\" \/>\n<meta property=\"article:published_time\" content=\"2023-11-17T09:34:22+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2025-09-24T11:44:04+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/blog.bithide.io\/wp-content\/uploads\/2024\/07\/Splunk-System.png\" \/>\n\t<meta property=\"og:image:width\" content=\"736\" \/>\n\t<meta property=\"og:image:height\" content=\"502\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"BitHide Team\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"\u041d\u0430\u043f\u0438\u0441\u0430\u043d\u043e \u0430\u0432\u0442\u043e\u0440\u043e\u043c\" \/>\n\t<meta name=\"twitter:data1\" content=\"BitHide Team\" \/>\n\t<meta name=\"twitter:label2\" content=\"\u041f\u0440\u0438\u043c\u0435\u0440\u043d\u043e\u0435 \u0432\u0440\u0435\u043c\u044f \u0434\u043b\u044f \u0447\u0442\u0435\u043d\u0438\u044f\" \/>\n\t<meta name=\"twitter:data2\" content=\"9 \u043c\u0438\u043d\u0443\u0442\u0430\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/\",\"url\":\"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/\",\"name\":\"SPLUNK \u2013 \u043d\u0435\u0432\u0435\u0434\u043e\u043c\u0430 \u0437\u0432\u0435\u0440\u0443\u0448\u043a\u0430 \u0438 \u0433\u0434\u0435 \u043e\u043d\u0430 \u043e\u0431\u0438\u0442\u0430\u0435\u0442 –\",\"isPartOf\":{\"@id\":\"https:\/\/blog.bithide.io\/ru\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/#primaryimage\"},\"image\":{\"@id\":\"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/blog.bithide.io\/wp-content\/uploads\/2024\/07\/Splunk-System.png\",\"datePublished\":\"2023-11-17T09:34:22+00:00\",\"dateModified\":\"2025-09-24T11:44:04+00:00\",\"author\":{\"@id\":\"https:\/\/blog.bithide.io\/ru\/#\/schema\/person\/63c7564eded72c3c9f0818c0049988a6\"},\"description\":\"\u041e\u0442\u043a\u0440\u043e\u0439\u0442\u0435 \u0434\u043b\u044f \u0441\u0435\u0431\u044f \u043c\u0438\u0440 SPLUNK \u0441 \u043d\u0430\u0448\u0438\u043c \u043f\u043e\u043b\u043d\u044b\u043c \u0433\u0438\u0434\u043e\u043c. \u0423\u0437\u043d\u0430\u0439\u0442\u0435, \u043a\u0430\u043a \u044d\u0442\u0430 \u043c\u043e\u0449\u043d\u0430\u044f \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 \u043f\u043e\u043c\u043e\u0433\u0430\u0435\u0442 \u0432 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u0438 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439 \u0434\u043b\u044f \u0432\u0430\u0448\u0435\u0433\u043e \u0431\u0438\u0437\u043d\u0435\u0441\u0430.\",\"breadcrumb\":{\"@id\":\"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/#breadcrumb\"},\"inLanguage\":\"ru-RU\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"ru-RU\",\"@id\":\"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/#primaryimage\",\"url\":\"https:\/\/blog.bithide.io\/wp-content\/uploads\/2024\/07\/Splunk-System.png\",\"contentUrl\":\"https:\/\/blog.bithide.io\/wp-content\/uploads\/2024\/07\/Splunk-System.png\",\"width\":736,\"height\":502},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\/\/blog.bithide.io\/ru\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"SPLUNK \u2013 \u043d\u0435\u0432\u0435\u0434\u043e\u043c\u0430 \u0437\u0432\u0435\u0440\u0443\u0448\u043a\u0430 \u0438 \u0433\u0434\u0435 \u043e\u043d\u0430 \u043e\u0431\u0438\u0442\u0430\u0435\u0442\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/blog.bithide.io\/ru\/#website\",\"url\":\"https:\/\/blog.bithide.io\/ru\/\",\"name\":\"BitHide\",\"description\":\"\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/blog.bithide.io\/ru\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"ru-RU\"},{\"@type\":\"Person\",\"@id\":\"https:\/\/blog.bithide.io\/ru\/#\/schema\/person\/63c7564eded72c3c9f0818c0049988a6\",\"name\":\"BitHide Team\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"ru-RU\",\"@id\":\"https:\/\/blog.bithide.io\/ru\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/bf4da9362065932074415dc332983a17a56bcc3875f35873f7681f15fe6fc2d2?s=96&d=mm&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/bf4da9362065932074415dc332983a17a56bcc3875f35873f7681f15fe6fc2d2?s=96&d=mm&r=g\",\"caption\":\"BitHide Team\"}}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"SPLUNK \u2013 \u043d\u0435\u0432\u0435\u0434\u043e\u043c\u0430 \u0437\u0432\u0435\u0440\u0443\u0448\u043a\u0430 \u0438 \u0433\u0434\u0435 \u043e\u043d\u0430 \u043e\u0431\u0438\u0442\u0430\u0435\u0442 –","description":"\u041e\u0442\u043a\u0440\u043e\u0439\u0442\u0435 \u0434\u043b\u044f \u0441\u0435\u0431\u044f \u043c\u0438\u0440 SPLUNK \u0441 \u043d\u0430\u0448\u0438\u043c \u043f\u043e\u043b\u043d\u044b\u043c \u0433\u0438\u0434\u043e\u043c. \u0423\u0437\u043d\u0430\u0439\u0442\u0435, \u043a\u0430\u043a \u044d\u0442\u0430 \u043c\u043e\u0449\u043d\u0430\u044f \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 \u043f\u043e\u043c\u043e\u0433\u0430\u0435\u0442 \u0432 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u0438 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439 \u0434\u043b\u044f \u0432\u0430\u0448\u0435\u0433\u043e \u0431\u0438\u0437\u043d\u0435\u0441\u0430.","robots":{"index":"noindex","follow":"nofollow"},"og_locale":"ru_RU","og_type":"article","og_title":"SPLUNK \u2013 \u043d\u0435\u0432\u0435\u0434\u043e\u043c\u0430 \u0437\u0432\u0435\u0440\u0443\u0448\u043a\u0430 \u0438 \u0433\u0434\u0435 \u043e\u043d\u0430 \u043e\u0431\u0438\u0442\u0430\u0435\u0442 –","og_description":"\u041e\u0442\u043a\u0440\u043e\u0439\u0442\u0435 \u0434\u043b\u044f \u0441\u0435\u0431\u044f \u043c\u0438\u0440 SPLUNK \u0441 \u043d\u0430\u0448\u0438\u043c \u043f\u043e\u043b\u043d\u044b\u043c \u0433\u0438\u0434\u043e\u043c. \u0423\u0437\u043d\u0430\u0439\u0442\u0435, \u043a\u0430\u043a \u044d\u0442\u0430 \u043c\u043e\u0449\u043d\u0430\u044f \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 \u043f\u043e\u043c\u043e\u0433\u0430\u0435\u0442 \u0432 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u0438 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439 \u0434\u043b\u044f \u0432\u0430\u0448\u0435\u0433\u043e \u0431\u0438\u0437\u043d\u0435\u0441\u0430.","og_url":"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/","article_published_time":"2023-11-17T09:34:22+00:00","article_modified_time":"2025-09-24T11:44:04+00:00","og_image":[{"width":736,"height":502,"url":"https:\/\/blog.bithide.io\/wp-content\/uploads\/2024\/07\/Splunk-System.png","type":"image\/png"}],"author":"BitHide Team","twitter_card":"summary_large_image","twitter_misc":{"\u041d\u0430\u043f\u0438\u0441\u0430\u043d\u043e \u0430\u0432\u0442\u043e\u0440\u043e\u043c":"BitHide Team","\u041f\u0440\u0438\u043c\u0435\u0440\u043d\u043e\u0435 \u0432\u0440\u0435\u043c\u044f \u0434\u043b\u044f \u0447\u0442\u0435\u043d\u0438\u044f":"9 \u043c\u0438\u043d\u0443\u0442\u0430"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/","url":"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/","name":"SPLUNK \u2013 \u043d\u0435\u0432\u0435\u0434\u043e\u043c\u0430 \u0437\u0432\u0435\u0440\u0443\u0448\u043a\u0430 \u0438 \u0433\u0434\u0435 \u043e\u043d\u0430 \u043e\u0431\u0438\u0442\u0430\u0435\u0442 –","isPartOf":{"@id":"https:\/\/blog.bithide.io\/ru\/#website"},"primaryImageOfPage":{"@id":"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/#primaryimage"},"image":{"@id":"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/#primaryimage"},"thumbnailUrl":"https:\/\/blog.bithide.io\/wp-content\/uploads\/2024\/07\/Splunk-System.png","datePublished":"2023-11-17T09:34:22+00:00","dateModified":"2025-09-24T11:44:04+00:00","author":{"@id":"https:\/\/blog.bithide.io\/ru\/#\/schema\/person\/63c7564eded72c3c9f0818c0049988a6"},"description":"\u041e\u0442\u043a\u0440\u043e\u0439\u0442\u0435 \u0434\u043b\u044f \u0441\u0435\u0431\u044f \u043c\u0438\u0440 SPLUNK \u0441 \u043d\u0430\u0448\u0438\u043c \u043f\u043e\u043b\u043d\u044b\u043c \u0433\u0438\u0434\u043e\u043c. \u0423\u0437\u043d\u0430\u0439\u0442\u0435, \u043a\u0430\u043a \u044d\u0442\u0430 \u043c\u043e\u0449\u043d\u0430\u044f \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 \u043f\u043e\u043c\u043e\u0433\u0430\u0435\u0442 \u0432 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u0438 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439 \u0434\u043b\u044f \u0432\u0430\u0448\u0435\u0433\u043e \u0431\u0438\u0437\u043d\u0435\u0441\u0430.","breadcrumb":{"@id":"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/#breadcrumb"},"inLanguage":"ru-RU","potentialAction":[{"@type":"ReadAction","target":["https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/"]}]},{"@type":"ImageObject","inLanguage":"ru-RU","@id":"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/#primaryimage","url":"https:\/\/blog.bithide.io\/wp-content\/uploads\/2024\/07\/Splunk-System.png","contentUrl":"https:\/\/blog.bithide.io\/wp-content\/uploads\/2024\/07\/Splunk-System.png","width":736,"height":502},{"@type":"BreadcrumbList","@id":"https:\/\/blog.bithide.io\/ru\/knowledge-base\/splunk-the-animal-is-unknown-and-where-it-lives\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/blog.bithide.io\/ru\/"},{"@type":"ListItem","position":2,"name":"SPLUNK \u2013 \u043d\u0435\u0432\u0435\u0434\u043e\u043c\u0430 \u0437\u0432\u0435\u0440\u0443\u0448\u043a\u0430 \u0438 \u0433\u0434\u0435 \u043e\u043d\u0430 \u043e\u0431\u0438\u0442\u0430\u0435\u0442"}]},{"@type":"WebSite","@id":"https:\/\/blog.bithide.io\/ru\/#website","url":"https:\/\/blog.bithide.io\/ru\/","name":"BitHide","description":"","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/blog.bithide.io\/ru\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"ru-RU"},{"@type":"Person","@id":"https:\/\/blog.bithide.io\/ru\/#\/schema\/person\/63c7564eded72c3c9f0818c0049988a6","name":"BitHide Team","image":{"@type":"ImageObject","inLanguage":"ru-RU","@id":"https:\/\/blog.bithide.io\/ru\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/bf4da9362065932074415dc332983a17a56bcc3875f35873f7681f15fe6fc2d2?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/bf4da9362065932074415dc332983a17a56bcc3875f35873f7681f15fe6fc2d2?s=96&d=mm&r=g","caption":"BitHide Team"}}]}},"_links":{"self":[{"href":"https:\/\/blog.bithide.io\/ru\/wp-json\/wp\/v2\/posts\/901","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.bithide.io\/ru\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.bithide.io\/ru\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.bithide.io\/ru\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.bithide.io\/ru\/wp-json\/wp\/v2\/comments?post=901"}],"version-history":[{"count":9,"href":"https:\/\/blog.bithide.io\/ru\/wp-json\/wp\/v2\/posts\/901\/revisions"}],"predecessor-version":[{"id":8512,"href":"https:\/\/blog.bithide.io\/ru\/wp-json\/wp\/v2\/posts\/901\/revisions\/8512"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/blog.bithide.io\/ru\/wp-json\/wp\/v2\/media\/3445"}],"wp:attachment":[{"href":"https:\/\/blog.bithide.io\/ru\/wp-json\/wp\/v2\/media?parent=901"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.bithide.io\/ru\/wp-json\/wp\/v2\/categories?post=901"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.bithide.io\/ru\/wp-json\/wp\/v2\/tags?post=901"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}