検索対象データをユーザー毎に制限する方法 - セキュリティ事業

Splunk Webの「設定」>「ロール」を選択します。
「新しいロール」をクリックします。
ロール名を記載します。
「4. 制限」タブの「サーチフィルター」に、検索時に適用する文字列を記載します。
例えば、GETと記載すると、必ずGETという文字列を含むイベントのみ検索結果として表示を行います。
また、特定の文字列に合致したイベントを表示したくない場合、下記のように記載します。
NOT (clientip=233.77.49.50 OR clientip=192.1.2.35)
「1. 継承」または「2. 権限」から作成するロールに与えたい権限を選択します。
※特に理由がなければ、「1. 継承」でuserを選択することをお勧めします。
「保存」を押します。
「設定」>「ユーザー」を選択します。
「新規ユーザー」をクリックします。
ユーザー名を記載します。
ロールの割り当ての「選択済みアイテム」に6.で作成したロールを指定します。
パスワードを設定し「保存」します。

上記の設定によって作られたユーザーは、検索実行時に、「サーチフィルター」にて指定した文字列が含まれるイベントのみ、表示するようになります。

※NOTを指定した場合は、その文字列だけを表示しないようになります。

以上

株式会社マクニカ　 Splunk 担当

お問い合わせ資料請求

月～金 8：45～17：30