Splunk 安裝教學：免費版限制、SPL 查詢入門與 ELK 比較
Splunk 是企業 SOC 最常見的日誌分析與 SIEM 平台之一，能把來自伺服器、防火牆、應用程式的 Log 集中索引，再用 SPL 查詢語言快速搜尋與製作儀表板。這篇示範 Splunk 的安裝流程、免費方案限制，並補充入門查詢語法，以及和開源 ELK 的比較。
Splunk 不是開源軟體，但同樣能夠蒐集Log的ELK，作為商業版本也有一定的市場。
更重要的是，這是全國技能競賽網路安全曾出現過的工具，希望能帶給選手們快速安裝，並實際操作過的經驗。
Splunk 是什麼?
Splunk是一個強大的分析和自動化而構建的數據平台。
官方網站： https://www.splunk.com/
Splunk 免費方案
1天提供500MB的資料索引，60天後可以選擇永久免費許可證或購買企業許可證。
使用環境
CentOS 7
怎麼安裝?
Step1. 前往 https://www.splunk.com/en_us/download.html
Step2. 點擊下載。
Step3. 你也能直接透過wget方法下載。
Step4. 解壓縮 tgz。
tar -xvf {splunk.tgz}Step5. 複製到 /opt/splunk
cp -rp splunk/* /opt/splunk
Step6. 執行splunk必須同意官方規範。
cd /opt/splunk
./splunk start --accept-license
Step7. 完成，記得開啟防火牆!
firewall-cmd --zone=public --add-port=8000/tcp --permanent
firewall-cmd --reload
Step8. 開啟瀏覽器。
討論
開源的ELK作為Log管理是一套非常好的工具，但使用Splunk不論在操作上或是安裝上，都非常的簡單快速，還有提供技術支援等優勢，不過熟悉各種工具，在各種情境上才能做靈活的變通。
補充：在 Ubuntu 上安裝
本文原本的示範環境是 CentOS 7，但 CentOS 7 已在 2024 年 6 月停止支援，新環境建議改用 Ubuntu 或 RHEL 系列。Ubuntu 可以直接下載官方的 .deb 套件安裝：
sudo dpkg -i splunk-*.deb
sudo /opt/splunk/bin/splunk start --accept-license
sudo /opt/splunk/bin/splunk enable boot-start安裝完成後，用瀏覽器開啟 http://伺服器IP:8000 登入 Splunk Web。
SPL 查詢入門
匯入資料後，在 Search & Reporting 輸入 SPL（Search Processing Language）即可查詢。幾個資安分析常用的例子：
index=main sourcetype=linux_secure "Failed password"
| stats count by src_ip
| sort - count統計 SSH 登入失敗次數最多的來源 IP，可快速找出暴力破解嘗試。
index=main sourcetype=access_combined status>=400
| timechart span=1h count by status以每小時為單位，畫出網站錯誤狀態碼的趨勢圖。
Splunk 與 ELK 比較
| 項目 | Splunk | ELK Stack |
|---|---|---|
| 授權 | 商業軟體，有免費版（每日索引量上限 500MB） | 開源核心，進階功能需付費 |
| 安裝與上手 | 安裝快、介面完整，開箱即用 | 元件較多，需自行整合與調校 |
| 查詢語言 | SPL | KQL / Lucene / ES|QL |
| 資料解析 | 內建大量 Add-on 與欄位擷取 | 常搭配 Logstash grok 自行解析 |
| 適合情境 | 企業 SOC、預算充足、需要原廠支援 | 預算有限、需要高度客製 |