---
title: Splunkでログ分析を体験しよう！(よわよわセキュリティLT用）
tags: 
author: [gorosuke5656](https://docswell.com/user/gorosuke5656)
site: [Docswell](https://www.docswell.com/)
thumbnail: https://bcdn.docswell.com/page/97298291JR.jpg?width=480
description: Splunkでログ分析を体験しよう！(よわよわセキュリティLT用） by gorosuke5656
published: October 24, 26
canonical: https://docswell.com/s/gorosuke5656/KVJNR4-2026-10-24-100954
---
# Page. 1

![Page Image](https://bcdn.docswell.com/page/97298291JR.jpg)

Splunkでログ分析を体験しよう！
よわよわセキュリティ勉強会資料
（2026/10/25）
@GenkgGorosuke


# Page. 2

![Page Image](https://bcdn.docswell.com/page/DJY46Y447M.jpg)

【自己紹介】
名前
：原 光宏（はら みつひろ） SNS：X（@GenkgGorosuke）
現在のお仕事：とある組織のセキュリティ担当者
過去の職歴 ：音声通信網（デジタルPBX/VoIP/UC）設計/構築と関連するネットワーク設計構築/運営業務
⇒ １０年ぐらい前からサイバーセキュリティ業務（SOC運用、ログ分析が主）を担当
保有資格
：CEH Ver12（Certified Ethical Hacker）/電気通信主任技術者（伝送交換）/工事担任者（総合種）
その他
：Interop Tokyo ShowNet2033のSTM（Show Net Team Menber）として活動
【Interop Tokyo ShowNet2033のSTMとして活動】（＠幕張メッセ）
https://archive.interop.jp/2023/shownet/noc/


# Page. 3

![Page Image](https://bcdn.docswell.com/page/V7NYZPY6E8.jpg)

【本日のお品書き】
１ Splunkって何？？
２ Splunkによるセキュリティログ分析例
３ Splunkを今後勉強するにあたって
4
参考資料
注意：私はSplunk社の人ではありません
お仕事でSplunkをぼちぼち使っているただのSplunk好きな人です！


# Page. 4

![Page Image](https://bcdn.docswell.com/page/YJ9PZ3PR73.jpg)

１
Splunkって何？？


# Page. 5

![Page Image](https://bcdn.docswell.com/page/GJ8D1MDGJD.jpg)

１
Splunkって何？？
ログを中心としたマシンデータ（インフラ、アプリケーション、デバイス等）を収集/分析することが
できるソフトウェア
インデックス化、サーチ、 アラート、レポート・可視化等必要な機能を全て提供しています！！
① 時系列データベース
アスキーテキスト
Ad hoc
search
Monitor
and alert
Report and
analyze
Custom
dashboards
Developer
Platform
③ 高速+リアルタイム
サーチ
データの収集と
インデックス化
② カスタム
アダプター不要
DB Connect
Splunk storage
Hadoop
他のBig Data
(RDB)


# Page. 6

![Page Image](https://bcdn.docswell.com/page/LJLMQ3MXER.jpg)

１
Splunkって何？？
Splunkを使うとこんなことができる！！
これが
データソース
各種ログ
Customer ID
こうなる
Order ID
Product ID
Order Processing
Order ID
Customer ID
Middleware
Error
Time Waiting On Hold
Customer ID
Care IVR
Twitter ID
Twitter
Company’s Twitter ID
Customer’s Tweet


# Page. 7

![Page Image](https://bcdn.docswell.com/page/47MY1DY37W.jpg)

１
Splunkって何？？
SPL（Search Processing Language）→ Splunkを操ることができる言語
SPLとはSplunk社独自のサーチ言語の略称です。
取り込んだ様々な形式のデータをSPLを使うことで串刺し検索が可能です！
【ＳＰＬの形式】
index=△△ Sourcetype＝●●
“ フィールド名” ＝ 条件（文字列）
｜ 各種コマンド&関数 ｜ 各種コマンド&関数
ご注意～
ＩＮＤＥＸ=＊でも記述可能です。（が検索時間がかかるため。。なるだけ絞って検索を）
単純に文字列の検索が可能ですが、フィールド名で指定するほうが確実です。
｜（パイプ）をつなげることにより、前のコマンドの出力が次のコマンドの出力になるイメージです!!


# Page. 8

![Page Image](https://bcdn.docswell.com/page/P7R9L49RE9.jpg)

１ Splunkって何？？
SplunkにおけるSourcetypeとindexについて
イメージ図
Sourcetype:
取り込みデータの種類、形式
Access.combined_wcookie
（Webサーバのアクセスログ）
Cisco:asa
（Firewallのログ）
一般ユーザ
（Index Bのみにアクセス可能）
【Indexでできること】
データ容量の定義
データへのアクセス権による管理
index:
データの入れ物（容器）
Ａ
Ｂ
管理者
Index AとBにアクセス可能


# Page. 9

![Page Image](https://bcdn.docswell.com/page/PJXQW2QY7X.jpg)

２
Splunkによる
セキュリティログ分析体験


# Page. 10

![Page Image](https://bcdn.docswell.com/page/3JK9VM94JD.jpg)

２
Splunkによるセキュリティログ分析体験
今回はSplunkBOTS環境を使用してセキュリティログ分析の一例を紹介します！！
Boss of the SOC(BOTS)とは
SOCのセキュリティアナリストの方々を対象に、Splunkがご提供するワークショップです。
現場の方々のスキル習得・熟練度の確認のために、現実に近い環境で、セキュリティハンティング
を体験できます！！


# Page. 11

![Page Image](https://bcdn.docswell.com/page/LE3WMYWDE5.jpg)

２
Splunkによるセキュリティログ分析体験
今回ご紹介するサイト ” bots.splunk.com “ について
先に紹介したBoss of the SOC(BOTS）のデータが入ったSplunkにアクセスが可能です！
注意！！：” bots.splunk.com “ にログインするにはSplunkサイトに登録が必要です


# Page. 12

![Page Image](https://bcdn.docswell.com/page/8EDK65K27G.jpg)

２
Splunkによるセキュリティログ分析体験
今回取り込まれたログソースのマッピングイメージ
とある会社のシステム
攻撃者（Attacker）
NGFW
（Fortigate）
【ドメイン： imreallynotbatman.com】
IPS
（Suricata）
スイッチ
（ポートミラー）
Webサーバー
192.168.250.0/24
The Internet
Splunk
Stream
Webサイトに
攻撃を実施！！
Management-segment
(192.168.0.0/24)
Splunk
【取込ログ一覧】
ミドルウェアログ（IIS）
OSイベントログ（Windows）
Streamデータ（Wiredata)
IPSシグニチャ検知（Suricata）
NGFWログ(Fortigate）
Splunkにアクセス
→SPLを駆使して分析！
セキュリティ担当者


# Page. 13

![Page Image](https://bcdn.docswell.com/page/V7PKYGKLJ8.jpg)

２
Splunkによるセキュリティログ分析体験
bots.splunk.comからSplunkへのアクセス


# Page. 14

![Page Image](https://bcdn.docswell.com/page/2JVVG6V6JQ.jpg)

２
Splunkによるセキュリティログ分析体験
bots.splunk.comからSplunkへのアクセス
今回は
”Web Site Defacement“を使用します！


# Page. 15

![Page Image](https://bcdn.docswell.com/page/5EGL8NL2JL.jpg)

２
Splunkによるセキュリティログ分析体験
bots.splunk.comからSplunkへのアクセス
使用するSplunkサーバーのURL
及びクレデンシャルが記述されています！


# Page. 16

![Page Image](https://bcdn.docswell.com/page/4JQY9QY97P.jpg)

２
Splunkによるセキュリティログ分析体験
bots.splunk.comからSplunkへのアクセス
先ほどあったSplunkサーバーのアドレス及びクレデンシャルを使用してアクセス
示されたクレデンシャル情報を
使用してアクセス！！


# Page. 17

![Page Image](https://bcdn.docswell.com/page/K74WXNZRE1.jpg)

２
Splunkによるセキュリティログ分析体験
bots.splunk.comからSplunkへのアクセス
App： Search&Report → サーチ


# Page. 18

![Page Image](https://bcdn.docswell.com/page/LJ1YN5RVEG.jpg)

２
Splunkによるセキュリティログ分析体験
Splunkによるセキュリティログ分析
SPLで ”index = botsv1” によりサーチを実施します！
index = botsv1
でサーチ
ログが出力される
ことを確認しましょう！
Sourcetype
全時間で設定
（今回は必ず全時間で！）


# Page. 19

![Page Image](https://bcdn.docswell.com/page/GJWG451372.jpg)

２
Splunkによるセキュリティログ分析体験
Splunkによるセキュリティログ分析
ログ分析例
【Ｑ】
Webサーバ “imreallynotbatman.com”に対して脆弱性をスキャンしたIPアドレスは何でしょうか？？
その際、脆弱性スキャンで使用されたと思わるツールは何でしょうか？？
【SPLによるログ分析例】
HTTPストリームデータを確認します。
index= botsv1 sourcetype=stream:http imreallynotbatman.com
フィールドの中からsrc（送信元アドレス）に注目する。
→カウント数が多い ”40.80.148.42"に注目 →クリック
送信元ヘッタ（src_header)を確認してみましょう！
index= botsv1 sourcetype=stream:http imreallynotbatman.com
src="40.80.148.42" ｜top limit=20 src_headers
→ 送信元IPアドレスにおける頻度の高い送信元ヘッタを確認します。
User-Agentsに注目すると
”Acunetix Web Vulnerability Scanner”が使用されたことが確認できます。
→名前をググってみましょう！


# Page. 20

![Page Image](https://bcdn.docswell.com/page/4EZL2NPG73.jpg)

２
Splunkによるセキュリティログ分析体験
ログ分析例
Splunkによるセキュリティログ分析
〇HTTPストリームデータを確認します。
index= botsv1 sourcetype=stream:http imreallynotbatman.com
フィールド”src”
をクリック
IP：40.80.148.42から
のアクセスが多い。。→
あやしい。。


# Page. 21

![Page Image](https://bcdn.docswell.com/page/Y76WV8MQ7V.jpg)

２
Splunkによるセキュリティログ分析体験
【参考：streamデータとは？？】
Splunkによるセキュリティログ分析
Splunk Stream はネットワーク装置上のネットワークトラフィック、またはサーバーに到達したネットワーク
トラフィックを 取得するための、Splunk の機能追加アドオンです！！
【Splunk Streamでできること】
情報システム内のTCP/IPネットワークトラヒックをプロトコルごとにテキストデータ化し、ログデータとして
保存します。保存したネットワークトラヒックログは以下のような活用方法があります。
・サーバ間のネットワークトラヒックを分析
→ サーバ間通信（アプリケーション通信）の可視化
・ネットワーク装置間のトラヒックを分析
→ 通信先や使用帯域の可視化
・ DNS/HTTPトラヒックを分析
→ ネットワークの偵察やデータの漏洩などの脅威の検出など


# Page. 22

![Page Image](https://bcdn.docswell.com/page/G75MD9Z274.jpg)

２
Splunkによるセキュリティログ分析体験
Splunkによるセキュリティログ分析
送信元ヘッタ情報を確認してみましょう！！
index= botsv1 sourcetype=stream:http imreallynotbatman.com src="40.80.148.42"
｜top limit=20 src_headers
脆弱性ツール？？
（ググってみましょう）


# Page. 23

![Page Image](https://bcdn.docswell.com/page/9J2982R1ER.jpg)

２
Splunkによるセキュリティログ分析体験
Splunkによるセキュリティログ分析
送信元ヘッタ情報を確認してみましょう！！
”Acunetix Web Vulnerability Scanner”
でググる！！


# Page. 24

![Page Image](https://bcdn.docswell.com/page/DEY46YD4JM.jpg)

3
Splunkを勉強するにあたって


# Page. 25

![Page Image](https://bcdn.docswell.com/page/VJNYZP6678.jpg)

３
Splunkを勉強するにあたって
(1) 自宅Splunk環境を作って勉強する
慣れている仮想基盤(VMWorkstation/Virtual-BOX/Hyper-V等なんでもよい）で実際作ってみる！
【私の環境(例）】
Splunk(Ubuntu）
enp0s８
インタフェース設定
（ホストオンリーアダプター）
192.168.56.0/24
ホストPCから
SplunkUIにログイン/検索
Splunk COREを
ダウンロード&インストール！
Virtual BOX（Ver7.0）
Windows 11
例 環境使用例
① 紹介したBOTSVデータを取り込みして使用（INDEX化されているので便利！）
② 実際にネットワーク/ホストのログを取り込む（取り込む設定が必要です）


# Page. 26

![Page Image](https://bcdn.docswell.com/page/YE9PZ3LRJ3.jpg)

３
Splunkを勉強するにあたって
(1) 自宅Splunk環境を作って勉強する
Splunk Botsv1のデータセット
https://github.com/splunk/botsv1
index化された
ログデータ →
Splunkにインポート
今回のログを分析するために
必要なApp/Add-On


# Page. 27

![Page Image](https://bcdn.docswell.com/page/GE8D1MXGED.jpg)

３
Splunkを勉強するにあたって
その他 色々ありそうです～
(2) Splunk さんが定期的に実施しているワークショップに参加する
(3) 動画で勉強する
例： Splunkエンジニア100人の作り方（SHIFTGroup技術ブログ）
https://note.shiftinc.jp/n/n60f70be4bebb
サイト内でSplunkの学習動画のリンクが紹介されています！
【初心者向け解説】0からはじめるSplunk
https://www.youtube.com/watch?v=941REdf9mzs
(4) Splunkユーザ会に参加してみる（Gojas:Go Japan Splunk User Group）
→ 上級者向けかも・・・
https://gojas.doorkeeper.jp/


# Page. 28

![Page Image](https://bcdn.docswell.com/page/LELMQ38X7R.jpg)

３
Splunkを勉強するにあたって
GOJAS(Go Japan Splunk User Group）
https://gojas.doorkeeper.jp/


# Page. 29

![Page Image](https://bcdn.docswell.com/page/4JMY1D63JW.jpg)

４
参考資料


# Page. 30

![Page Image](https://bcdn.docswell.com/page/PJR9L4PR79.jpg)

４
参考資料
Splunkでよく使用する15のコマンド（その１）
コマンド
説明
chart/timedhart (時系列）グラフ作成のために結果を表形式で出力します。
dedup
指定した基準に一致する後続の結果を削除します。
eval
式を計算します。「よく使われるEVAL関数」を参照してください。
fields
サーチ結果からフィールドを削除します。
head/tail
最初／最後のN件の結果を返します。
lookup
外部ソースからのフィールド値を追加します。
rename
フィールドの名称を変更します。ワイルドカードを使用して、複数のフィールドを指定できます。
rex
正規表現名前付きのグループを指定し、フィールドを抽出します。
参考サイト
https://www.splunk.com/ja_jp/resources/splunk-quick-reference-guide.html


# Page. 31

![Page Image](https://bcdn.docswell.com/page/PEXQW23YJX.jpg)

４
参考資料
Splunkでよく使用する15のコマンド（その２）
コマンド
説明
search
サーチ条件に一致する結果に絞り込みます。
sort
サーチ結果を指定フィールドで並べ替えます。
stats
統計情報を提供します（必要に応じてフィールド別にグループ化します）。
「よく使われるSTATS関数」を参照してください。
table
結果セットに保存するフィールドを指定します。
データを表形式で保持します。
top/rare
最も頻度の高い／低いフィールド値を表示します。
ltransaction
サーチ結果をトランザクションにグループ化します。
rename
フィールドの名称を変更します。ワイルドカードを使用して、複数のフィールドを指定できます。
where
eval式を用いてサーチ結果にフィルタをかけます。2つの異なるフィールドを比較するために使用し
ます。
参考サイト
https://www.splunk.com/ja_jp/resources/splunk-quick-reference-guide.html