Splunk consultant met ITSI en SOAR

Als gecertificeerd Splunk Enterprise Architect richt ik Splunk in van de eerste data-onboarding tot ketenmonitoring met Splunk ITSI en geautomatiseerde opvolging met Splunk SOAR. Sinds 2019 werk ik met Splunk voor organisaties van de Rijksoverheid tot de hightech industrie, zodat de data die al binnenkomt gebruikt wordt om sneller en beter te beslissen.

Wat ik doe met Splunk

Architectuur en implementatie

Het ontwerpen en inrichten van Splunk Enterprise en Splunk Cloud, van indexers en forwarders tot rollen en retentie, zodat het platform meegroeit met de hoeveelheid data.

Data-onboarding

Het binnenhalen, parsen en normaliseren van logbestanden en metrics uit systemen en applicaties, zodat zoekopdrachten en dashboards op betrouwbare data draaien.

Ketenmonitoring met Splunk ITSI

Het samen met de stakeholders bepalen van services, KPI's en drempelwaarden, zodat zichtbaar is welke keten hapert voordat gebruikers het merken.

Automatisering met Splunk SOAR

Het bouwen van playbooks die meldingen verrijken en opvolgen, zodat het SOC minder handwerk heeft en sneller kan handelen.

SPL, dashboards en rapportages

Zoekopdrachten, dashboards en rapportages in SPL die beheer en management dezelfde cijfers geven.

Uit de praktijk

Een uitvoeringsorganisatie van de Rijksoverheid

Missiekritische assets op de kaart en storingen in één keer bij de juiste leverancier

De vraag
Een team dat de missiekritische assets van de organisatie bewaakt, moet bij een storing snel zien wat er speelt en de juiste partij of leverancier inschakelen. De informatie daarvoor zat verspreid over verschillende systemen.
De aanpak
Met de Splunk UI Toolkit heb ik een interface op maat gebouwd die alle assets op een kaart toont, zodat storingen geografisch te correleren zijn. Businesslogica bepaalt wanneer een asset een probleem heeft, met externe bronnen als stroomstoringen en weerdata van het KNMI erbij. De SLA-afspraken per dienst zijn gekoppeld, zodat een storing met weinig inspanning via TOPdesk bij de juiste leverancier gemeld wordt.
Het resultaat
Het proces van signaleren tot melden bij de leverancier is volledig geautomatiseerd. Het team heeft daarmee de inzichten die het nodig heeft om snel de juiste beslissing te nemen.
  • Splunk
  • Splunk UI Toolkit
  • TOPdesk
  • KNMI-weerdata
Een ICT-dienstverlener in de juridische sector

Incidenten automatisch afhandelen met Splunk ITSI en Node-RED

De vraag
De dienstverlening moest zo continu mogelijk zijn, terwijl het werk toenam en het team niet mee kon groeien.
De aanpak
Het in kaart brengen van het servicemodel, het inrichten van ketenmonitoring in Splunk ITSI met een koppeling in twee richtingen naar TOPdesk en het ontwerpen van Node-RED-flows die gecorreleerde events mitigeren en incidenten waar mogelijk zelf afhandelen. Voor het SOC heb ik de data-onboarding in Splunk verzorgd.
Het resultaat
De MTTR is voor het grootste deel van de incidenten flink afgenomen en het team kon de toename van werk opvangen zonder groter te worden.
  • Splunk
  • Splunk ITSI
  • Node-RED
  • TOPdesk
Een internationaal hightechbedrijf

Near-realtime projectinzicht uit Splunk-data

De vraag
Voor grote migratieprojecten ontbrak een centraal beeld van de voortgang en eindgebruikers moesten handmatig op de hoogte worden gehouden.
De aanpak
Het bouwen van een centrale interface die near-realtime wordt gevoed met data uit Splunk en van firewalls en switches via API's en Ansible, volledig in containers op Kubernetes. Daarnaast het aanvullen van de CMDB in ServiceNow met data uit Splunk en het automatiseren van de communicatie naar eindgebruikers op basis van de verzamelde loggegevens.
Het resultaat
Het management stuurt op actuele (financiële) informatie en eindgebruikers worden automatisch geïnformeerd, zodat migraties met minder handwerk verlopen.
  • Splunk
  • Ansible
  • ServiceNow
  • Kubernetes

Uit de kennisbank

Services en KPI's opzetten in Splunk ITSI

Splunk IT Service Intelligence (ITSI) laat zien hoe gezond uw IT-diensten zijn, maar alleen als de services en KPI's goed zijn opgezet. Dit artikel beschrijft hoe u dat aanpakt, van het bepalen van wat "gezond" betekent tot het groeperen van meldingen in episodes. Het is bedoeld voor beheerders en teams die ITSI gaan inrichten of een bestaande inrichting willen verbeteren.

Veelgestelde vragen

Splunk in het kort

Wat doet een Splunk consultant?

Een Splunk consultant richt het Splunk-platform in en zorgt dat het iets oplevert: de juiste data binnenhalen, de omgeving schaalbaar opzetten en zoekopdrachten, dashboards, alerts en ketenmonitoring bouwen. Bij Layer-IT hoort daar ook het automatiseren van de opvolging bij, met Splunk SOAR of Node-RED.

Welke Splunk-certificeringen heb je?

Splunk Core Certified User, Splunk Core Certified Power User, Splunk Enterprise Certified Admin en Splunk Enterprise Certified Architect. Voor Splunk SOAR heb ik de trainingen Developing Phantom Playbooks en Phantom Bootcamp gevolgd.

Wat is Splunk ITSI?

Splunk IT Service Intelligence is de uitbreiding van Splunk voor het monitoren van services en ketens. Je beschrijft welke onderdelen samen een dienst vormen en welke KPI's erbij horen. ITSI laat dan zien hoe gezond elke dienst is en welk onderdeel de oorzaak van een probleem is.

Werk je als Splunk-architect of als engineer?

Allebei. Als architect ontwerp ik de omgeving, van indexers en forwarders tot rollen en retentie. Als engineer doe ik zelf de data-onboarding, de zoekopdrachten en dashboards, de ketenmonitoring met Splunk ITSI en de playbooks in Splunk SOAR. Een bestaande omgeving verbeteren en kennis overdragen aan het team horen er ook bij.

Heb je Splunk ITSI in productie ingericht?

Ja. Voor een ICT-dienstverlener in de juridische sector heb ik het servicemodel in kaart gebracht en de ketenmonitoring in Splunk ITSI ingericht, met een koppeling in twee richtingen naar TOPdesk. Node-RED-flows reageren op de events uit ITSI en lossen incidenten waar mogelijk zelf op. De MTTR is voor het grootste deel van de incidenten flink afgenomen.

Kun je helpen met Splunk voor security?

Ja. Voor een SOC heb ik met Splunk SOAR playbooks gebouwd die meldingen verrijken en opvolgen, zodat analisten minder handwerk hebben. Daarnaast bouw ik SIEM-use-cases en detectieregels in Splunk en de Elastic Stack.

Kun je ook een bestaande Splunk-omgeving verbeteren?

Ja. Vaak gaat het om data die niet goed geparsed wordt, zoekopdrachten die traag zijn of dashboards waar niemand naar kijkt. Ik begin met een korte inventarisatie en pak eerst aan wat het meeste oplevert.

Speelt er in uw organisatie een vraagstuk rond Splunk? Ik denk graag vrijblijvend mee.

Neem contact op