[Splunk] SPL

Introduction
Le SPL est le langage de requête propriétaire à Splunk. Il est extrêmement puissant mais utilise une syntaxe peu triviale.
Cheat-sheet
Index
Pour chercher dans un index :
index="main"
Opérateurs
Opérateurs
=
!=
>
>=
<
<=
Supprimer un champ de l'affichage
index="main" sourcetype="WinEventLog:Sysmon" EventCode=1 | fields - User
Créer un tableau
index="main" sourcetype="WinEventLog:Sysmon" EventCode=1 | table _time, host, Image
Ici un tableau sera affiché avec trois colonnes : _time, host et Image.
Renommer un champ
index="main" sourcetype="WinEventLog:Sysmon" EventCode=1 | rename Image as Process
Supprimer les doublons
Vous pouvez supprimer les doublons en vous basant sur un champ :
index="main" sourcetype="WinEventLog:Sysmon" EventCode=1 | dedup Image
Ici, si un même process apparaît plusieurs fois dans les logs, il n'y aura quand même qu'un seul résultat affiché.
Trier
Par exemple pour trier dans le temps :
index="main" sourcetype="WinEventLog:Sysmon" EventCode=1 | sort - _time
Statistiques
Pour avoir des statistiques, par exemple le count :
index="main" sourcetype="WinEventLog:Sysmon" EventCode=3 | stats count by _time, Image
Graphiques
Vous pouvez faire une visualisation avec le mot clé chart :
index="main" sourcetype="WinEventLog:Sysmon" EventCode=3 | chart count by _time, Image
Eval
Pour effectuer des opérations basiques comme mettre en minuscule un champ :
index="main" sourcetype="WinEventLog:Sysmon" EventCode=1 | eval Process_Path=lower(Image)
Regex
Pour effectuer une regex :
index="main" EventCode=4662 | rex max_match=0 "[^%](?<guid>{.*})" | table guid
Lookup table
Après avoir importé votre CSV dans Splunk, vous pouvez effectuer des vérifications pour ajouter un champ :
index="main" sourcetype="WinEventLog:Sysmon" EventCode=1 | rex field=Image "(?P<filename>[^\\\]+)$" | eval filename=lower(filename) | lookup malware_lookup.csv filename OUTPUTNEW is_malware | table filename, is_malware
Time range
index="main" earliest=-7d latest=-1d EventCode!=1
Transaction
Permet de regrouper plusieurs events qui partagent un champ commun :
index="main" sourcetype="WinEventLog:Sysmon" (EventCode=1 OR EventCode=3) | transaction Image startswith=eval(EventCode=1) endswith=eval(EventCode=3) maxspan=1m | table Image |  dedup Image 
Le maxspan sert à spécifier une fenêtre de temps maximale entre les deux events.
Subsearches
Permet de faire une sous-recherche comme filtre dans sa requête :
index="main" sourcetype="WinEventLog:Sysmon" EventCode=1 NOT [ search index="main" sourcetype="WinEventLog:Sysmon" EventCode=1 | top limit=100 Image | fields Image ] | table _time, Image, CommandLine, User, ComputerName
Eventcount
Pour obtenir le nombre d'events de votre query :
| eventcount summarize=false index=* | table index
Metadata
| metadata type=sourcetypes
Sourcetype
Filtrer par sourcetype permet d'augmenter les performances de la query :
sourcetype="WinEventLog:Security" | table _raw
Fieldsummary
Pour avoir un récapitulatif de statistiques :
sourcetype="WinEventLog:Security" | fieldsummary