Indexing the exported Event Logs by Splunk Universal Forwarder

6 min readAug 10, 2021

--

フォレンジックでイベントログを抽出してオフラインで見る場合、Windowsの標準ツールは使い勝手が悪い。

EZツールなどでevtxをcsvに変換して、Timeline ExplorerかSIEM(Splunk等)に入れるかの選択肢になってくる。

しかし、変換が面倒だったりする。evtxのままSplunkのエコシステムに食わせたいというのがモチベーション。

とはいえ、単体のSplunkでは取り込めなかったので一手間が必要。

ということで、 Splunk Universal Forwarder(UF)を使ってエクスポートしたイベントログを取り込めるか試してみた。

なお、evtxに対応しているOSが必要なので、

データの準備

Splunk UFをインストールするWindowsのデータをサンプルとして使う。

kapeを起動し、データを取得しておく。ここでは、保存先は D:\result に設定。

以下の構造でデータが取得できる。

作成しなくてもいいけど、appを作り設定をまとめておく。

Windowsの場合、以下にUFがインストールされる。

C:\Program Files\SplunkUniversalForwarder

appを作るには、 etc\apps\ の下に適当に splunk_evtx_forwarder_sample というフォルダを作り、合わせてそこにlocalというフォルダも作る。

つまり、パスは以下のようになる。

C:\Program Files\SplunkUniversalForwarder\etc\apps\splunk_evtx_forwarder_sample\local\

次に、以下の4つのファイルを作成する

それぞれの中身を以下に書き換える。

[install]
state = enabled[package]
check_for_updates = false[ui]
is_visible = false
is_manageable = false

[monitor://D:\result\C\Windows\System32\winevt\logs\*.evtx]
disabled = 0
sourcetype = preprocess-winevt
index = wineventlog
crcSalt = <SOURCE>

[thruput]
maxKBps = 0

[tcpout]
defaultGroup = primary_indexers 
forceTimebasedAutoLB = true[tcpout:primary_indexers]
server = 172.20.1.121:9997

準備ができたので、Splunk UFを起動する。

C:\Program Files\SplunkUniversalForwarder\bin>splunk.exe restart

Splunk (Linux)側でデータが取得できているか見てみる。

無事に取得。