Hello! We have a problem with OP SEC LEA, the splunk restarted for a problem of storage because is over a Centos7, since there we cant collect logs from checkpoint and we have the next message. 2019-05-10 17:59:58,532 +0000 log_level=ERROR, pid=2081, tid=Thread-4, file=ta_data_collector.py, func_name=index_data, code_line_no=108 | [input_name="live_checkpoint_fixed_new1" data="non_audit"] Failed to index data, reason: Traceback (most recent call last): File "/opt/splunk/etc/apps/Splunk_TA_checkpoint-opseclea/bin/splunk_ta_checkpoint_opseclea/splunktaucclib/data_collection/ta_data_collector.py", line 105, in index_data self.do_safe_index() File "/opt/splunk/etc/apps/Splunk_TA_checkpoint-opseclea/bin/splunk_ta_checkpoint_opseclea/splunktaucclib/data_collection/ta_data_collector.py", line 148, in _do_safe_index self._client = self._create_data_client() File "/opt/splunk/etc/apps/Splunk_TA_checkpoint-opseclea/bin/splunk_ta_checkpoint_opseclea/splunktaucclib/data_collection/ta_data_collector.py", line 73, in _create_data_client ckpt = self._get_ckpt() File "/opt/splunk/etc/apps/Splunk_TA_checkpoint-opseclea/bin/splunk_ta_checkpoint_opseclea/splunktaucclib/data_collection/ta_data_collector.py", line 64, in _get_ckpt return self._checkpoint_manager.get_ckpt() File "/opt/splunk/etc/apps/Splunk_TA_checkpoint-opseclea/bin/splunk_ta_checkpoint_opseclea/splunktaucclib/data_collection/ta_checkpoint_manager.py", line 32, in get_ckpt return self._store.get_state(key) File "/opt/splunk/etc/apps/Splunk_TA_checkpoint-opseclea/bin/splunk_ta_checkpoint_opseclea/splunktalib/state_store.py", line 202, in get_state state = json.load(jsonfile) File "/opt/splunk/lib/python2.7/json/init.py", line 291, in load **kw) File "/opt/splunk/lib/python2.7/json/init_.py", line 339, in loads return _default_decoder.decode(s) File "/opt/splunk/lib/python2.7/json/decoder.py", line 364, in decode obj, end = self.raw_decode(s, idx=_w(s, 0).end()) File "/opt/splunk/lib/python2.7/json/decoder.py", line 382, in raw_decode raise ValueError("No JSON object could be decoded") ValueError: No JSON object could be decoded We hope someone can help us. Regards. ... View more

Hello. Our team update the version in Checkpoint from R77 to R80, The update failed and they did the roll back, but after that action we are not receiving logs from the device, we have the next error. 2019-02-05 00:58:37,468 +0000 log_level=ERROR, pid=16939, tid=Thread-1444, file=ta_opseclea_data_collector.py, func_name=get_logs, code_line_no=62 | [input_name="live_checkpoint_new" connection="checkpoint_fw_new" data="non_audit"]log_level=0 file:lea_loggrabber.cpp func_name:check_session_end_reason code_line_no:2159 :Session end reason: SIC ERROR 147 - SIC Error for lea: Authentication error Thanks for your support. regards. ... View more

My problem is next: when I want to parse a log of a windows security event, in the process Splunk cuts the log from "the network information" to "the end of the log". Does anyone know how I can parse the entire log? **full log:** Audit Failure 01/05/2015 02:15:15 p. m. 4625 Microsoft-Windows-Security-Auditing Logon N/A my domani.com Error de una cuenta al iniciar sesión. Sujeto: Id. de seguridad: S-1-5-18 Nombre de cuenta: AJODA2$ Dominio de cuenta: AX Id. de inicio de sesión: 0x3e7 Tipo de inicio de sesión: 2 Cuenta con error de inicio de sesión: Id. de seguridad: S-1-0-0 Nombre de cuenta: Audit Dominio de cuenta: CB Información de error: Motivo del error: Nombre de usuario desconocido o contraseña incorrecta Estado: 0xc000006d Subestado: 0xc000006a Información de proceso: Id. de proceso del autor de la llamada: 0x2bc Nombre de proceso del autor de la llamada: C:\Windows\System32\process.exe Información de red: Nombre de estación de trabajo: HOST1 Dirección de red de origen: XXX.XXX.XXX.XXX Puerto de origen: 60452 Información de autenticación detallada: Proceso de inicio de sesión: Advapi Paquete de autenticación: MICROSOFT_AUTHENTICATION_PACKAGE_V2_0 Servicios transitados: - Nombre de paquete (solo NTLM): - Longitud de clave: 0 Este evento se genera cuando se produce un error en una solicitud de inicio de sesión. Lo genera el equipo al que se intentó tener acceso. Los campos de sujeto indican la cuenta del sistema local que solicitó el inicio de sesión. Suele ser un servicio como el servicio de servidor o un proceso local como Winlogon.exe o Services.exe. El campo Tipo de inicio de sesión indica la clase de inicio de sesión que se solicitó. Los tipos más comunes son 2 (interactivo) y 3 (red). Los campos Información de proceso indican la cuenta y el proceso en el sistema que solicitó el inicio de sesión. Los campos Información de red indican dónde se originó una solicitud de inicio de sesión remota. Nombre de estación de trabajo no está siempre disponible y se puede dejar en blanco en algunos casos. Los campos de información de autenticación proporcionan información detallada sobre esta solicitud de inicio de sesión específica. - Servicios transitados indica los servicios intermedios que participaron en esta solicitud de inicio de sesión. - Nombre de paquete indica el subprotocolo que se usó entre los protocolos NTLM. - Longitud de clave indica la longitud de la clave de sesión generada. Será 0 si no se solicitó una clave de sesión. **Log parse:** Audit Failure 08/04/2015 02:21:15 p. m. 4625 Microsoft-Windows-Security-Auditing Logon N/A MyDomain.com Error de una cuenta al iniciar sesión. Sujeto: Id. de seguridad: S-1-5-18 Nombre de cuenta: AJODA2$ Dominio de cuenta: AX Id. de inicio de sesión: 0x3e7 Tipo de inicio de sesión: 3 Cuenta con error de inicio de sesión: Id. de seguridad: S-1-0-0 Nombre de cuenta: Audit Dominio de cuenta: AX Información de error: Motivo del error: Nombre de usuario desconocido o contraseña incorrecta Estado: 0xc000006d Subestado: 0xc000006a Información de proceso: Id. de proceso del autor de la llamada: 0x2bc Nombre de proceso del autor de la llamada: C:\Windows\System32\process.exe Información de red: *since here splunk cut the log until the end of the log ... View more

Hi everyone, I want to send notifications of alerts through Slack, I configure an alert and added the chanel of splunk in the box, I also created a webhook. but i didn't receive any event, the query created to the alert found an event, it had to sending an alert to my channel in slack. But it didn`t happen. I have to add something else or modify a file folder? thanks for your support. ... View more

Hi, I have a doubt about an inputlookup, i have a inputlookup with some ip's and i want to know how can see comunication between my input and traffic from others indexes? ... View more