Sammi De Blas | Knowledge Base

01 - Arquitectura y Componentes.md

01 - Arquitectura y Componentes

Visión general

+-----------------------------+ +----------------------------------------+
| PC POISONXPLOIT (Win11) | | Indexer local (Splunkd) |
| | | |
| Sysmon64 (driver) | | Recibe en 127.0.0.1:9997 |
| | eventos -> canal | | [splunktcp://9997] en inputs.conf |
| v Microsoft-Windows- | | | |
| Sysmon/Operational | | v |
| | | Parsing/Idexing en indices win_* |
| WinEventLog Security/ | | |
| System/Application/ | | Web UI: http://127.0.0.1:8000 |
| PowerShell/Defender/RDP | | Mgmt : 8089 |
| | | |
| Perfmon CPU/Mem/Net/Disk | | Datos consumibles por analista via |
| | | SPL (search) y dashboards |
| Monitor hosts/lmhosts/... | | |
| | | | |
| v | | |
| Splunk Universal Forwarder | TCP | |
| (sonda ligera) |------->| Puerto 9997 (recibiendo) |
| - inputs.conf (qué leer) | SSL/TLS no en local |
| - outputs.conf (a dónde) | | |
+-----------------------------+ +----------------------------------------+

Componentes

1. Splunk Universal Forwarder (UF)

“La sonda”. Servicio Windows SplunkForwarder que:

  • Lee datos desde WinEventLog, perfmon, monitor de ficheros y scripts.
  • No interpreta/busca: solo reenvía al indexer (consumo mínimo CPU/RAM).
  • Se configura vía dos archivos principales en su $SPLUNK_HOME\etc\:
  • apps\SOC-Windows-Local\local\inputs.conf — qué recoger (nuestra app).
  • system\local\outputs.conf — a dónde enviar (nuestra config, 127.0.0.1:9997).

2. Splunk Indexer (Splunk Enterprise local)

  • Servicio Splunkd ya desplegado en este PC (puerto 8000 web, 8089 mgmt).
  • Habilitamos receiving en 9997 editando etc\system\local\inputs.conf con la stanza [splunktcp://9997].
  • Crea los índices win_* en su app SOC-Windows-Local.

3. Sysmon64 (preexistente)

  • Driver + service de Sysinternals que pública en Microsoft-Windows-Sysmon/Operational.
  • Offrece EIDs con hashes, parent process, network connections, DNS, etc.
  • En este PC ya está Running (ImagePath: C:\WINDOWS\sysmon64.exe). Revisar config en 09 - Verificacion y Busquedas SOC.
  1. Hardening de logs de Windows (audit policy) Activamos políticas que vienen deshabilitadas por defecto en Windows 11 Education:
  • PowerShell Script Block Logging (EID 4104) — captura el código completo ejecutado por PowerShell.
  • Module Logging (EID 4103) — captura pipelines.
  • Process Creation audit con command line (EID 4688 con CommandLine).
  • auditpol /set /subcategory:"Process Creation" activa la subcategoría.

Índices creados (CIM-friendly)

win_security, win_system, win_app, win_setup, win_sysmon, win_powershell, win_defender, win_wmi, win_rdp, win_tasks, win_print, win_perfmon, win_fim, win_status.

Cada uno se aloja en $SPLUNK_DB/<index>/db (por defecto C:\Program Files\Splunk\var\lib\splunk<index>\db).

Modelos de datos sugeridos

Tras instalar Splunk Common Information Model (CIM) y/o el Splunk Add-on for Windows, los datos mapean a:

  • Authentication ← win_security (4624/4625)
  • Endpoint.Processes ← win_sysmon / win_security (4688)
  • Endpoint.NetworkSessions ← win_sysmon EID 3
  • Endpoint.Filesystem ← win_fim + Sysmon 11
  • Endpoint.Services ← win_system
  • Performance ← win_perfmon

Habilitar acceleration en dichos datos para búsquedas tstats subsegundo.

Volver a: 00 - MOC Monitorización PC Local

Vista Gráfica

Retroenlaces