Wie man Logs aus Splunk für die Sicherheitsanalyse exportiert

Die kurze Antwort: Suche ausführen, klicken Sie Exportieren in der Job-Werkzeugleiste unter der Suchleiste und wählen Sie Rohereignisse, CSV or JSON. Für ein paar tausend Ereignisse reicht das aus. Für größere Extraktionen, überspringen Sie den Browser und verwenden Sie das Splunk-Suche-CLI oder den REST-Export-Endpunkt. Beide streamen Ergebnisse, anstatt dass Splunk Web eine riesige Datei für Sie erstellt.

Warum überhaupt aus Splunk exportieren, wenn die Daten bereits indexiert sind? Normalerweise, weil jemand außerhalb Ihres Splunks es anschauen muss: ein IR-Partner, ein Kollege aus einem anderen Team oder Sie selbst auf einem Laptop, ohne eine Stunde lang SPL zu schreiben. Prime Core hat 23.674 Erkennungsregeln für Splunk, die 676 MITRE ATT&CK-Techniken zugeordnet sind. Das ist eine Menge Erkennungslogik, die Sie gegen einen kleinen Ausschnitt Ihrer Daten ausführen können, sobald dieser exportiert ist. Unten erfahren Sie, wie Sie diesen Ausschnitt erhalten, ihn bereinigen und kostenlos in LogTotal untersuchen können.

Kostenlos starten

TL;DR

Bevor Sie anfangen

Drei Dinge entscheiden, welche Route für Sie funktioniert: Wo Ihr Splunk läuft, was Ihre Rolle durchsuchen kann und ob Sie die Daten herausnehmen dürfen.

• Indexzugriff. Sie können nur das exportieren, was Ihre Rolle durchsuchen kann. Wenn eine Suche leer zurückkommt, aber Sie wissen, dass die Daten da sind, überprüfen Sie die erlaubten Indizes Ihrer Rolle, bevor Sie SPL umschreiben. Setzen Sie index= explizit in die Suche; verlassen Sie sich nicht auf Standardindizes.
• Splunk Cloud vs. Enterprise. Auf der Splunk Cloud-Plattform gibt es keine Shell, daher ist der CLI-Weg ausgeschlossen. Die REST-API ist ebenfalls standardmäßig nicht aktiviert: jemand muss den Zugriff auf Ihren Stack anfordern, und kostenlose Testversionen können es überhaupt nicht nutzen. Der Splunk Web-Export funktioniert überall.
• Erlaubnis zum Exportieren. Rohprotokolle beinhalten Benutzernamen, Hostnamen, interne IPs, manchmal Tokens in URLs. LogTotal bereinigt Uploads vor der Analyse, aber die Datenhandhabungsrichtlinie Ihres Unternehmens gilt trotzdem. Holen Sie sich vorher die Zustimmung. Das dauert fünf Minuten, und Sie werden es schriftlich wollen, wenn sich daraus ein Vorfall entwickelt.

Die untenstehenden Befehle folgen der aktuellen Dokumentation von Splunk für Splunk Enterprise und Splunk Cloud Platform, überprüft im Oktober 2026. Links zu jeder von uns verwendeten Seite finden Sie am Ende.

Schritt 1: Begrenzen Sie die Suche, bevor Sie etwas exportieren

Der häufigste Fehler ist das Exportieren eines gesamten Indexes „nur für den Fall“. Sie enden mit einer Datei, die niemand öffnen möchte. Entscheiden Sie, welche Frage Sie beantworten, und dann legen Sie Index, Sourcetype, Host und Zeit fest:

index=linux sourcetype=linux_secure host=web-03 earliest=-24h@h latest=@h

Für Windows-Sicherheitsereignisse gesammelt durch das Splunk Add-on für Windows im XML-Modus:

index=wineventlog source="XmlWinEventLog:Security" host=dc-01 earliest=-24h@h latest=@h

Zwei Regeln halten den Export nützlich.

Behalten Sie _raw. Wenn die Suche mit stats, table oder chart endet, exportieren Sie eine Zusammenfassung, keine Protokolle, und Splunk Web wird das Rohereignis-Format grau hinterlegen. Exportieren Sie Ereignisse, nicht Ergebnisse. Wenn Sie sich für JSON entscheiden, trimmen Sie die extrahierten Felder, damit die Datei nicht dreimal so groß wird:

... | Felder _time host source sourcetype _raw

Verwenden Sie absolute Zeit, wenn es wichtig ist. earliest=-24h bedeutet jede Minute etwas anderes. Wenn Splunk Ihre Suche während des Exports erneut ausführen muss (mehr dazu unten), kann ein relatives Fenster einen leicht unterschiedlichen Satz von Ereignissen zurückgeben. Verwenden Sie für alles, was mit Vorfällen zu tun hat, exakte Zeitstempel.

Eine Sache, die Sie über Windows-Daten wissen sollten: Splunk behält die originalen .evtx-Dateien nicht. Es indexiert den gerenderten Ereignistext, XML oder klassische Schlüssel=Werte. Was Sie also exportieren, ist dieser Text, nicht ein binäres EVTX.

Schritt 2a: Export von Splunk Web

Geeignet für kleine, einmalige Exporte, wenn die Suche bereits auf Ihrem Bildschirm ist.

1. Führen Sie die Suche aus und lassen Sie den Job beenden. Den laufenden Job zu exportieren, gibt Ihnen nur ein unvollständiges Bild.
2. Klicken Sie auf Exportieren (den Download-Pfeil) in der Reihe von Job-Aktionen unter der Suchleiste.
3. Wählen Sie das Format. Rohereignisse geben Ihnen die originalen Protokollzeilen genau so, wie sie indexiert wurden, was Sie für syslog-artige Quellen wie linux_secure wollen. JSON behält Host, Quelle und Sourcetype neben jedem Ereignis, was hilft, wenn der Export mehrere Hosts umfasst.
4. Benennen Sie die Datei so, dass Sie sie nächste Woche noch erkennen, zum Beispiel web-03_sshd_2026-10-19.log.
5. Lassen Sie Anzahl der Ergebnisse leer, um alles zu exportieren, was die Suche zurückgab. Wenn Sie 500 eingeben, erhalten Sie die ersten 500 und nichts sagt Ihnen, dass es mehr gab.
6. Klicken Sie auf Exportieren.

Ein Detail, das Menschen verwirrt: Export funktioniert aus dem Suchjob-Artefakt, nicht aus dem, was Sie im Browser sehen. Wenn Splunk nicht jedes Ergebnis mit dem Job gespeichert hat, warnt der Dialog, dass die Suche zuerst erneut ausgeführt wird. Das ist normal. Es dauert nur länger, weshalb der absolute Zeitbereich aus Schritt 1 wichtig ist. Sehr lange Exporte können auch das Splunk Web-Session-Timeout erreichen. Wenn der Export Minuten dauert, wechseln Sie zum CLI oder REST.

Schritt 2b: Export mit dem Splunk CLI (nur Enterprise)

Wenn Sie eine Shell auf dem Suchkopf haben, ist dies der schnellste Weg und der einfachste zu skripten. Melden Sie sich zuerst an, damit Ihr Passwort nicht in der Shell-Historie landet, wie es mit -auth geschehen würde:

$SPLUNK_HOME/bin/splunk login

$SPLUNK_HOME/bin/splunk search 
  'index=linux sourcetype=linux_secure host=web-03 earliest="10/19/2026:00:00:00" latest="10/20/2026:00:00:00"' 
  -preview 0 -maxout 0 -output rawdata > web-03_sshd.log

Was jeder Flag tut:

• -maxout 0 entfernt die Begrenzung. Standardmäßig exportiert die CLI 100 Ereignisse und stoppt ohne ein Wort. Wenn Ihre Datei genau 100 Zeilen hat, ist dies der Grund, nicht ein stiller Host.
• -preview 0 hält Vorschauergebnisse aus der Datei heraus.
• -output rawdata schreibt die originalen Zeilen. Verwenden Sie -output json, wenn Sie strukturierte Ereignisse mit Metadaten möchten.

Sie können auch die CLI gegen einen entfernten Suchkopf mit -uri https://<search-head>:8089 ausführen, solange der Managementport von Ihrem Standort erreichbar ist.

Zwei schnelle Plausibilitätsprüfungen, bevor Sie hochladen:

wc -l web-03_sshd.log
head -3 web-03_sshd.log

Für einzeilige Quellen wie linux_secure sollte die Zeilenanzahl grob der Ereignisananzahl entsprechen, die Splunk Web für die gleiche Suche anzeigt. Die ersten Zeilen sollten wie Protokollzeilen aussehen, nicht wie Fehlermeldungen.

Schritt 2c: Ergebnisse über die REST-API streamen

Dies ist der Weg für große Exporte, geplante Extraktionen und Splunk Cloud (sobald der REST-Zugang für Ihren Stack aktiviert ist). Der Export-Endpunkt streamt Ergebnisse während die Suche läuft, also gibt es keinen Job zum Abfragen und keine Ergebnisseiten zum Durchgehen.

Verwenden Sie ein Authentifizierungstoken statt einem Benutzernamen und Passwort. Sie erstellen eines unter Einstellungen → Tokens, wenn Ihr Administrator die Token-Authentifizierung aktiviert hat.

export SPLUNK_TOKEN='<Ihr Token>'

curl -sS 
  -H "Authorization: Bearer $SPLUNK_TOKEN" 
  https://sh01.example.com:8089/services/search/v2/jobs/export 
  --data-urlencode search='search index=linux sourcetype=linux_secure host=web-03' 
  -d earliest_time='2026-10-19T00:00:00.000+00:00' 
  -d latest_time='2026-10-20T00:00:00.000+00:00' 
  -d output_mode=raw 
  -o web-03_sshd.log

Dinge, die Menschen stolpern lassen:

• Der Suchstring muss mit search (oder einem erzeugenden Befehl wie | tstats) beginnen. Fügen Sie Ihre Abfrage ohne dies ein und Splunk lehnt sie ab.
• output_mode=raw gibt Ihnen die originalen Linien, und es ist der schnellste Modus. output_mode=json streamt ein JSON-Objekt pro Zeile, wobei das Ereignis unter einem result-Schlüssel sitzt. Wenn Sie nur die Ereignisse selbst möchten, entfernen Sie den Umschlag mit jq: jq -c ’select(.result) | .result‘ export.json > events.ndjson. Für einen LogTotal-Upload bleiben Sie bei raw.
• Lab-Instanzen verwenden oft selbstsignierte Zertifikate, und jede Stack Overflow-Antwort wird Ihnen sagen, Sie sollten -k hinzufügen. In der Produktion richten Sie curl auf Ihr CA mit –cacert stattdessen.
• Wenn Sie an search/v2/jobs senden und von /results lesen, begrenzt der Server die Zeilen pro Anfrage, und Sie müssen mit offset blättern. Export tut dies nicht, und das ist der Grund, warum Sie es hier verwenden sollten.

Schritt 3: Hochladen, bereinigen und in LogTotal überprüfen

LogTotal ist der kostenlose Dienst von SOC Prime, um Erkennungslogik gegen eine Protokolldatei auszuführen, ohne etwas einzurichten. Es bereinigt das, was Sie hochladen, und behält Ihre Dateien nicht.

1. Hochladen. Öffnen Sie logtotal.com und ziehen Sie die Datei aus Schritt 2 hinein.
2. Bereinigen. Überprüfen Sie es, bevor Sie fortfahren. Sie kennen Ihre Umgebung besser als jede Maskierungsregel.
3. Bewerten. 

Wenn der Export schief geht