Sammi Notes

Properties1
tagsdocumentation

02 - Requisitos Previos

Antes de instalar el Universal Forwarder, verificar lo siguiente en el PC objetivo y en el indexer.

En el PC (POISONXPLOIT)

  • Windows 11 Education x64 (confirmado).
  • Permisos de administrador local para instalar servicios y editar ACLs/registry. -utedStringered UF en disco: NO se requiere; lo instalan winget.
  • winget disponible (Windows App Installer).

Comprobar:

$PSVersionTable
whoami
whoami /groups | Select-String 'S-1-16-12288|Mandatory Label\High'  # Admin level if present
Get-ComputerInfo | Select-Object CsName,OsName,OsArchitecture
winget --version

En el indexer

Servicios esperados antes de instalar el UF:

Get-Service Splunkd
Test-NetConnection 127.0.0.1 -Port 8000    # Web UI (debe ser True)
Test-NetConnection 127.0.0.1 -Port 8089    # splunkd mgmt (debe ser True)

Si el indexer está en otra máquina (Splunk remoto) ajusta:

  • Puerto 9997 abierto en firewall del indexer.
  • outputs.conf apuntará a <ip_indexer>:9997 en lugar de 127.0.0.1.
  • Conectividad de red verificada con Test-NetConnection <ip> -Port 9997.

Software complementario

Sysmon64

Verificar servicio y configuration XML:

Get-Service Sysmon64
Get-Process Sysmon64
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Services\Sysmon64' | Select-Object ImagePath
Test-Path C:\Windows\sysmonconfig.xml   # ruta habitual de config

Si no está presente: ver guía 07 - Hardening Logging SOC > Despliegue Sysmon (opcional, recomendado). En este PC ya estaba instalado durante este proyecto (no tocamos su config).

Winget

winget search Splunk
# deberias ver:  Splunk.UniversalForwarder 10.x.x  Id  Splunk.UniversalForwarder

Firewall

En indexer local (Splunk en este mismo PC) el firewall de Windows no afecta a conexiones 127.0.0.1 (loopback está exento). No obstante, si hay reglas restrictive启用.

Si posteriormente añades un segundo PC que envía a este PC como indexer:

# En el indexer (admin)
New-NetFirewallRule -DisplayName 'Splunk Receiving 9997' `
    -Direction Inbound -Protocol TCP -LocalPort 9997 -Action Allow -Profile Any

Cuentas

El servicio UF se instala por defecto como NT AUTHORITY\SYSTEM (cuenta LocalSystem), suficiente para leer WinEventLog/Perfmon. No hace falta cuenta domain.

Espacio en disco

Cada índice win_* tiene maxTotalDataSizeMB = 5000 (~5 GB). 14 índices -> hasta ~70 GB si todo se llena. Revisar $SPLUNK_DB en indexer:

Get-ChildItem 'C:\Program Files\Splunk\var\lib\splunk' -Directory |
  ForEach-Object { [PSCustomObject]@{ Name=$_.Name; GB=[math]::Round(((Get-ChildItem $_.FullName -Recurse -ErrorAction SilentlyContinue | Measure-Object Length -Sum).Sum/1GB),2) } } |
  Sort-Object GB -Descending | Select-Object -First 20

Volver a: 00 - MOC Monitorización PC Local

Vista Gráfica