用途
该技能用于借助 Splunk Enterprise Security 和 SPL（Search Processing Language）调查安全事件。适用场景包括：需要跨多个日志源关联的安全事件调查；使用已知 TTP 和 IOC 进行对手活动狩猎；为特定攻击模式构建检测规则；从分散日志源重建事件时间线；分析认证异常、横向移动或数据外泄模式。
不适用于实时数据包级分析；全数据包捕获分析应使用 Wireshark 或 Zeek。
主要能力
技能围绕六个步骤展开：
- 确定调查范围：基于事件分类数据定义搜索参数，使用 stats 和 sort 确定哪些日志源包含相关数据。
- 分析认证事件：利用 Windows 安全事件日志检测暴力破解与撞库（EventCode 4625）、检测 Pass-the-Hash（Logon Type 9）、检测通过 RDP 的横向移动（Logon Type 10）。
- 追踪进程执行：使用 Sysmon 日志重建进程执行链，包括进程创建与父链（Event ID 1）、可疑 PowerShell 执行、LSASS 凭据转储（Event ID 10）。
- 分析网络活动：关联网络日志与终端事件，检测 C2 信标模式、DNS 隧道（高查询量单域名）、大数据传输（潜在外泄）。
- 构建事件时间线：跨所有日志源重建统一时间线，使用 eval case 生成事件摘要。
- 创建检测规则：将调查发现转化为持久化 Splunk 关联搜索，例如检测 Office 应用生成的 PowerShell，并标记 MITRE 技术编号。
使用方式
技能提供可直接参考的 SPL 查询示例，覆盖从范围界定到检测规则创建的完整流程。使用时需具备 Splunk Enterprise 或 Splunk Cloud 并安装 Enterprise Security (ES) 应用；已摄取日志源包括 Windows 事件日志（通过 Splunk Universal Forwarder 或 WEF）、防火墙、代理、DNS、EDR、邮件网关；配置 Splunk CIM 数据模型以规范化字段名；具备中级或以上 SPL 熟练度；拥有带 search 和 accelerate_search 能力的基于角色的访问权限。
适用场景
典型场景如调查撞库导致账户接管：安全运营收到单个账户在 30 分钟窗口内从地理分散 IP 多次成功登录的告警。处理方式包括查询 Event ID 4624 映射所有登录源与时间、使用 Splunk 查找表将登录 IP 与威胁情报源关联、检查代理日志、搜索横向移动、构建时间线、创建关联搜索检测其他账户的类似模式。
限制与注意事项
技能明确不适用于实时数据包级分析。常见陷阱包括：仅搜索最近 24 小时而撞库可能持续数周；未检查 VPN 日志中同一账户的不可能旅行距离；未跨不同时区日志源规范化时间戳。输出格式为 Splunk 调查报告，包含事件编号、分析师、调查周期、搜索范围、关键发现、使用的 SPL 查询、发现的检测缺口和推荐检测。
关键概念
SPL 是 Splunk 的查询语言，用于搜索、过滤、转换和可视化机器数据。CIM 是字段规范化标准，将供应商特定字段名映射为通用名称以支持跨源查询。Notable Event 是 Splunk ES 中基于关联搜索匹配而标记供分析师审查的事件。Data Model 是索引数据的结构化表示，支持加速搜索和基于透视的分析。Sourcetype 是定义特定日志类型格式和解析规则的分类标签。Correlation Search 是持续运行的计划搜索，条件满足时生成 notable 事件。Timechart 是创建时间序列可视化的 SPL 命令。
工具与系统
Splunk Enterprise Security (ES)：高级 SIEM 应用，提供关联搜索、基于风险的告警和调查工作台。Splunk SOAR：与 Splunk ES 集成的编排平台，用于自动化响应剧本。Sysmon：Microsoft 系统监控工具，提供详细的进程、网络和文件变更遥测。Splunk Attack Analyzer：自动化威胁分析，引爆可疑文件和 URL 并将结果送入 Splunk。BOSS of the SOC (BOTS)：SANS/Splunk 训练数据集，用于练习事件调查 SPL 查询。