jisccti/misp-splunk-forwarder 镜像文档

镜像概述和主要用途

此容器设计为jisccti/misp-web的附加组件，用于将相关日志转发至Splunk。

注意：默认情况下，按照以下步骤操作时，TLS验证处于禁用状态，因为Splunk默认使用自签名证书。在生产环境中，应将Splunk HEC（HTTP事件收集器）监听器配置为使用可信证书，然后将Docker配置中的splunk-insecureskipverify设置为"false"，并将.env文件中的SPLUNK_HEC_VERIFY设置为true。

使用方法

1 - 配置Docker日志

通过以下任一方式配置Docker以将日志转发至HTTP事件收集器：

• 配置Docker引擎在/etc/docker/daemon.json中的默认日志配置文件
• 在docker-compose.yml中为每个服务配置日志

选项1 - Docker引擎（/etc/docker/daemon.json）

{
    "log-driver": "splunk",
    "log-opts": {
        "splunk-token": "00000000-1111-2222-3333-444444444444",
        "splunk-url": "[***]",
        "splunk-insecureskipverify": "true",
        "splunk-sourcetype": "_json",
        "splunk-index": "default",
        "tag": "image={{.ImageName}} containerId={{.ID}}",
        "labels": "org.opencontainers.image.title,org.opencontainers.image.version",
        "env": "FQDN,HTTPS_PORT"
    }
}

选项2 - Docker Compose服务（docker-compose.yml）

    logging:
      driver: splunk
      options:
        splunk-token: 00000000-1111-2222-3333-444444444444
        splunk-url: [***]
        splunk-insecureskipverify: true
        splunk-sourcetype: _json
        splunk-index: default
        tag: image={{.ImageName}} containerId={{.ID}}
        labels: org.opencontainers.image.title,org.opencontainers.image.version
        env: FQDN,HTTPS_PORT

2 - 配置环境变量

将所需环境变量添加到.env文件中。强烈建议覆盖所有这些设置。

3 - 将splunk_forwarder服务添加到docker-compose.yml

  splunk-forwarder:
    depends_on:
      web:
        condition: service_healthy
    environment:
      - FQDN=${FQDN:-misp.local}
      - HTTPS_PORT=${HTTPS_PORT:-443}
      - SPLUNK_HEC_KEY=${SPLUNK_HEC_KEY:-00000000-1111-2222-3333-444444444444}
      - SPLUNK_HEC_URI=${SPLUNK_HEC_URI:-[***]}
      - SPLUNK_HEC_VERIFY=${SPLUNK_HEC_VERIFY:-false}
      - SPLUNK_INDEX=${SPLUNK_INDEX:-default}
      - SPLUNK_PASSWORD=${SPLUNK_PASSWORD:-ChangeMeChangeMeChangeMe}
      - SPLUNK_START_ARGS=--accept-license
    hostname: misp_splunk
    image: jisccti/misp-splunk-forwarder:latest
    restart: unless-stopped
    volumes:
      # 映射基础镜像的卷
      - ./persistent/${COMPOSE_PROJECT_NAME}/splunk/etc/:/opt/splunkforwarder/etc/
      - ./persistent/${COMPOSE_PROJECT_NAME}/splunk/var/:/opt/splunkforwarder/var/
      # 挂载MISP特定卷
      - ./persistent/${COMPOSE_PROJECT_NAME}/data/:/opt/misp_docker/:ro

4 - 正常启动MISP

docker compose up -d