Splunk Enterprise 10.2 发布 - 搜索、分析和可视化，数据全面洞察平台

sysin
13 阅读10分钟

Splunk Enterprise 10.2 (macOS, Linux, Windows) - 搜索、分析和可视化，数据全面洞察平台

Search, analysis, and visualization for actionable insights from all of your data

请访问原文链接：sysin.org/blog/splunk… 查看最新版。原创作品，转载请保留出处。

作者主页：sysin.org

Splunk Enterprise

对所有数据进行搜索、分析和可视化，获得可执行的洞察。

Splunk

工作原理

Splunk 平台实现了从边缘到云的端到端可视化

Splunk 平台基于统一平台，融合安全与可观测能力，由 Splunk AI 提供支持

搜索您的数据

探索任何类型和价值的数据——无论它存在于您的数据生态系统中的何处。

服务监控与洞察仪表盘示例

分析您的数据

通过监控、告警和运营报告，推动业务韧性。

指标工作区动画

可视化您的数据

创建自定义仪表盘和数据可视化 (sysin)，从任何地方解锁洞察——无论是在运营中心、桌面、现场还是移动中。

随时随地体验 Splunk 的强大功能

基于数据采取行动

利用来自组织任何地方的数据，让您快速做出有意义的决策。

企业将数据转化为行动

核心功能

随时随地访问您的数据

无论是在本地、家中、数据中心，还是多种环境的统一混合体验，均可利用平台。

机器学习与人工智能

机器学习与人工智能

预测与预防，而非仅仅反应。通过为数据赋予机器级智能，提升安全性和业务成果。

数据流处理

数据流处理

通过实时流处理，在毫秒级别内采集、处理并分发数据到 Splunk 及其他目的地。

可扩展索引

可扩展索引

从数千个数据源采集和摄取数据 (sysin)，规模达数 TB 级别。

协作工具

协作工具

借助移动设备、电视和增强现实功能，实现随时随地的互动与协作。

分析工作区

分析工作区

即时响应，利用可视化功能。将日志转换为指标，提升搜索和监控性能，简化告警功能。

强大仪表盘

强大仪表盘

使用直观的仪表盘构建体验，轻松传达即使是最复杂的数据故事。

系统要求

Splunk Enterprise 10 要求以下系统：

  • Linux x64：

Universal Forwarder 几乎兼容所有架构的类 Unix 系统。

Universal Forwarder 兼容 Windows 10 及以上版本，包含 32-bit 和 64-bit。

macOS Tahoe 暂未列出。

新增功能

Splunk Enterprise 10.2 版本新增内容（完整版本）

  • 预览更新 2：字段过滤器默认启用，并支持 tstats 命令

    为了保护个人可识别信息（PII）和受保护的健康信息（PHI），并满足 GDPR 等数据隐私法规要求，可以在 Splunk 平台中使用字段过滤器来限制对敏感数据的访问 (sysin)。字段过滤器允许通过对事件中的字段进行脱敏或混淆来限制对机密信息的访问，并支持基于角色的豁免。

    在 Preview Update 2 中：

    • 字段过滤器默认对客户可见，无需管理员再通过 limits.conf 和 web-features.conf 启用
    • 字段过滤器现在原生支持 tstats 命令
    • 在受字段过滤器保护的索引上，tstats 命令可不受限制使用

    重要说明（READ THIS FIRST）： 字段过滤器功能强大，但并不适合所有组织。

    • 如果你的环境中使用了下游配置（如加速数据模型、基于数据模型的 ES 检测、用户级搜索时字段提取），在部署字段过滤器前必须评估其影响
    • 如果运行 Splunk Enterprise Security，或严重依赖默认被字段过滤器限制的命令（如 mpreview、mstats），在充分规划前不应在生产环境中启用字段过滤器

  • Edge Processor 向 Amazon S3 发送数据时支持 Parquet 格式

    从 Edge Processor 向 Amazon S3 发送数据时，现在可以选择将数据存储为 Parquet 文件格式。

  • Edge Processor 在 Splunk Enterprise 上支持的操作系统版本变更

    由于 Splunk Enterprise 10.2 中针对 CVE 的修复，Edge Processor 的操作系统支持发生了破坏性变更：

    不再支持：

    • Amazon Linux 2
    • CentOS 7
    • Debian 10、11
    • Red Hat Enterprise Linux 8.0
    • SUSE Linux Enterprise 15.0
    • Ubuntu 20.04 LTS

    新增支持：

    • Debian 12 及以上
    • Red Hat Enterprise Linux 9.0 及以上
    • Rocky Linux 9 及以上
    • SUSE Linux Enterprise 15 SP6 及以上
    • Ubuntu 24.04 LTS

    在非受支持操作系统上运行数据管理控制平面或 Edge Processor 的用户 (sysin)，必须先升级操作系统，再升级到 Splunk Enterprise 10.2，以避免 Edge Processor 数据丢失。数据管理控制平面之外的其他 Splunk Enterprise 组件不受影响。

  • Edge Processor 支持 JSON 数组作为输入格式

    Edge Processor 现在支持 JSON 数组格式输入，允许输入中包含方括号，并使用逗号分隔多个对象。

  • Edge Processor 监控仪表板

    Edge Processor 解决方案包含更新后的用户界面，可用于：

    • 查看每条流水线的入站和出站数据量
    • 查看 Edge Processor 日志
    • 按不同时间范围分析数据
    • 可视化数据流向目标队列并检查管道连接状态

  • 更新 systemd 配置说明

    更新了用于管理 Edge Processor 实例底层进程的 systemd 配置说明，以实现更平滑的关闭流程。之前在使用 systemctl restart 或 stop 时，Edge Processor supervisor 和 systemd 会同时发送终止信号，导致实例异常退出。现在可通过在 systemd 单元文件中设置 KillMode=mixed 来避免该问题。

  • 支持第三方和外部应用的 OAuth 2.0

    管理员现在可以为第三方应用配置 OAuth 2.0，通过 REST API 安全连接 Splunk 平台，使用户能够更快获取数据与洞察并做出决策。

  • Dashboard Studio 中 O11y 指标与图表改进

    用户可以在已发布和导出的仪表板中使用 Splunk Observability Cloud 的服务地图视图，并对相关指标和图表进行了持续优化和缺陷修复。

  • Splunk Enterprise 的 Search 应用中提供 SPL 的 Splunk AI Assistant

    Splunk AI Assistant for SPL 现已在混合本地部署环境中可用，可帮助用户：

    • 使用自然语言生成 SPL
    • 解释 SPL 查询
    • 翻译 SPL 语句

    使用该功能前需安装 1.3.2 或更高版本的 Splunk AI Assistant for SPL 应用。

  • 移除 Node.js

    Splunk 已正式移除 Node.js。依赖 Node.js 的应用必须自行打包 Node.js，否则可能出现功能退化或异常行为。

  • SPL2

    SPL2 在现有 SPL 基础上引入多项增强：

    • 同时支持 SPL 与 SQL 语法
    • 统一的搜索与流式处理语言
    • 支持索引搜索、联邦数据存储访问和流式数据准备
    • 与 SPL 完全兼容，可并行运行

  • 联邦提供程序名称不区分大小写

    从该版本开始，联邦搜索中的提供程序名称大小写不敏感 (sysin)。如果升级前存在仅大小写不同的提供程序名称，必须修改为唯一名称，否则可能产生破坏性影响。

  • Dashboard Studio 支持 SPL2

    在 Dashboard Studio 中，可以通过以下方式使用 SPL2：

    • 在仪表板中直接创建 SPL2 查询
    • 引用 SPL2 模块中的现有视图

  • Dashboard Studio 其他增强

    Dashboard Studio 获得了多项功能和体验方面的改进。

  • Ingest-Tier Scaling

    Ingest-Tier Scaling 为自管理的 Splunk 部署提供高吞吐、可扩展的数据摄取能力，提升弹性、运维效率，并实现摄取层与索引层的清晰分离。

  • 索引间批量数据迁移（集群）

    支持在非 SmartStore 集群环境中，根据搜索条件在索引之间高效迁移数据，无需删除整个索引。

  • OTel Collector 生效配置可视化

    增强了对 OpenTelemetry Collector 配置的可见性，可查看通过 OpAMP 通信的完整、生效配置。

  • Agents Lookup

    新增代理查找功能，通过使用缓存的 CSV 查找文件而非直接查询索引，大幅降低 UI 加载时间，提升大规模代理管理性能。

  • 代理管理 UI / UX 改进

    Forwarder 与 OpenTelemetry 管理整合到统一控制台，并引入自动化向导以简化服务器类创建。

  • 代理管理中的目标配置

    现在可以直接在代理管理中配置 S3 和文件系统目标，并自动同步到已连接的代理 (sysin)。该功能需要代理管理版本 10.2 或更高。

  • 排队的临时搜索配额

    新增系统级和角色级的临时搜索排队限制，以防止无限排队对系统性能和资源利用率造成影响。

  • Sidecar 之间通信的 TLS 校验

    Sidecar 在通过直连端口通信时使用 TLS，并验证目标 sidecar 的证书，以确保通信安全。

  • 使用 Nascent 确保搜索头集群配置正确

    Nascent sidecar 负责管理 etcd 集群，确保搜索头集群中配置一致，并支持 Storage sidecar 的正常运行。

  • 审计日志 v2：结构化审计日志格式

    Audit Trail Log v2 使用符合 CIM 的 JSON 结构，包含更丰富的元数据，更适用于合规与审计场景。

  • 可选使用 Python 3.13

    Splunk 平台默认仍使用 Python 3.9，但 Splunk Web 仅使用 Python 3.13，用户可以选择切换。

  • KV Store Server 8.0 可用

    Splunk Enterprise 10.2 支持 KV Store Server 8.0，7.0 将在未来版本中移除。

  • 无需 root 运行 Splunk Enterprise

    Splunk Enterprise 默认不再以 root 身份运行。如需使用 root，必须显式添加 --run-as-root 参数。

  • Monitoring Console 概览仪表板（Beta）重设计

    概览仪表板已重新设计，用于：

    • 查看许可证使用情况
    • 监控资源使用状态
    • 自定义关键指标
    • 快速执行常用操作
    • 监控 Forwarder 状态并接收缺失告警

下载地址

Splunk Enterprise 10.2 for macOS, Linux, Windows (2026-01-15)

相关参考：Gartner Magic Quadrant for Security Information and Event Management 2025

更多：HTTP 协议与安全

avatar
文章
阅读
粉丝