Splunk Enterprise 10.2.2 (macOS, Linux, Windows) - 搜索、分析和可视化数据全面洞察平台Search, analysis, and visualization for actionable insights from all of your data请访问原文链接https://sysin.org/blog/splunk-10/ 查看最新版。原创作品转载请保留出处。作者主页sysin.orgSplunk Enterprise对所有数据进行搜索、分析和可视化获得可执行的洞察。工作原理Splunk 平台实现了从边缘到云的端到端可视化搜索您的数据探索任何类型和价值的数据——无论它存在于您的数据生态系统中的何处。分析您的数据通过监控、告警和运营报告推动业务韧性。[外链图片转存中…(img-YSjpcVXm-1775029072115)]可视化您的数据创建自定义仪表盘和数据可视化 (sysin)从任何地方解锁洞察——无论是在运营中心、桌面、现场还是移动中。基于数据采取行动利用来自组织任何地方的数据让您快速做出有意义的决策。系统要求Splunk Enterprise 10 要求以下系统Linux x64RHEL 8、9、10 及其兼容发行版Ubuntu 22.04、Ubuntu 24.04Debian 11、12参看Linux 产品链接汇总Universal Forwarder 几乎兼容所有架构的类 Unix 系统。Windows x64Windows Server 2025OVFWindows Server 2022OVFWindows Server 2019OVFWindows Server 2016OVF参看Windows 下载汇总Universal Forwarder 兼容 Windows 10 及以上版本包含 32-bit 和 64-bit。macOS (x64, AArch64)macOS Tahoe 26macOS Sequoia 15macOS Sonoma 14参看macOS 下载汇总 (系统、应用和教程)新增功能Splunk Enterprise 10.2.2 此版本修复了一些已知问题。新增功能同下。Splunk Enterprise 10.2.2修复的问题本节包含在 Splunk Enterprise 各版本中已修复的关键问题信息。联邦搜索问题解决日期问题编号描述2026-03-10SPL-298039, SPL-297790由于提供程序名称大小写不一致在升级到 Splunk Cloud 版本 10.2.2510.x 后联邦搜索无法正常工作未分类问题解决日期问题编号描述2026-03-10SPL-297162, SPL-297460, SPL-297461, SPL-297462, SPL-297463, SPL-297464, SPL-297465, SPL-297466在无法获取应用程序转储的堆栈上Splunk WebUI 和 bundle 推送无法正常工作Splunk Enterprise 10.2 版本新增内容完整版本预览更新 2字段过滤器默认启用并支持tstats命令为了保护个人可识别信息PII和受保护的健康信息PHI并满足 GDPR 等数据隐私法规要求可以在 Splunk 平台中使用字段过滤器来限制对敏感数据的访问 (sysin)。字段过滤器允许通过对事件中的字段进行脱敏或混淆来限制对机密信息的访问并支持基于角色的豁免。在 Preview Update 2 中字段过滤器默认对客户可见无需管理员再通过limits.conf和web-features.conf启用字段过滤器现在原生支持tstats命令在受字段过滤器保护的索引上tstats命令可不受限制使用重要说明READ THIS FIRST字段过滤器功能强大但并不适合所有组织。如果你的环境中使用了下游配置如加速数据模型、基于数据模型的 ES 检测、用户级搜索时字段提取在部署字段过滤器前必须评估其影响如果运行 Splunk Enterprise Security或严重依赖默认被字段过滤器限制的命令如mpreview、mstats在充分规划前不应在生产环境中启用字段过滤器Edge Processor 向 Amazon S3 发送数据时支持 Parquet 格式从 Edge Processor 向 Amazon S3 发送数据时现在可以选择将数据存储为 Parquet 文件格式。Edge Processor 在 Splunk Enterprise 上支持的操作系统版本变更由于 Splunk Enterprise 10.2 中针对 CVE 的修复Edge Processor 的操作系统支持发生了破坏性变更不再支持Amazon Linux 2CentOS 7Debian 10、11Red Hat Enterprise Linux 8.0SUSE Linux Enterprise 15.0Ubuntu 20.04 LTS新增支持Debian 12 及以上Red Hat Enterprise Linux 9.0 及以上Rocky Linux 9 及以上SUSE Linux Enterprise 15 SP6 及以上Ubuntu 24.04 LTS在非受支持操作系统上运行数据管理控制平面或 Edge Processor 的用户 (sysin)必须先升级操作系统再升级到 Splunk Enterprise 10.2以避免 Edge Processor 数据丢失。数据管理控制平面之外的其他 Splunk Enterprise 组件不受影响。Edge Processor 支持 JSON 数组作为输入格式Edge Processor 现在支持 JSON 数组格式输入允许输入中包含方括号并使用逗号分隔多个对象。Edge Processor 监控仪表板Edge Processor 解决方案包含更新后的用户界面可用于查看每条流水线的入站和出站数据量查看 Edge Processor 日志按不同时间范围分析数据可视化数据流向目标队列并检查管道连接状态更新systemd配置说明更新了用于管理 Edge Processor 实例底层进程的systemd配置说明以实现更平滑的关闭流程。之前在使用systemctl restart或stop时Edge Processor supervisor 和systemd会同时发送终止信号导致实例异常退出。现在可通过在systemd单元文件中设置KillModemixed来避免该问题。支持第三方和外部应用的 OAuth 2.0管理员现在可以为第三方应用配置 OAuth 2.0通过 REST API 安全连接 Splunk 平台使用户能够更快获取数据与洞察并做出决策。Dashboard Studio 中 O11y 指标与图表改进用户可以在已发布和导出的仪表板中使用 Splunk Observability Cloud 的服务地图视图并对相关指标和图表进行了持续优化和缺陷修复。Splunk Enterprise 的 Search 应用中提供 SPL 的 Splunk AI AssistantSplunk AI Assistant for SPL 现已在混合本地部署环境中可用可帮助用户使用自然语言生成 SPL解释 SPL 查询翻译 SPL 语句使用该功能前需安装 1.3.2 或更高版本的 Splunk AI Assistant for SPL 应用。移除 Node.jsSplunk 已正式移除 Node.js。依赖 Node.js 的应用必须自行打包 Node.js否则可能出现功能退化或异常行为。SPL2SPL2 在现有 SPL 基础上引入多项增强同时支持 SPL 与 SQL 语法统一的搜索与流式处理语言支持索引搜索、联邦数据存储访问和流式数据准备与 SPL 完全兼容可并行运行联邦提供程序名称不区分大小写从该版本开始联邦搜索中的提供程序名称大小写不敏感 (sysin)。如果升级前存在仅大小写不同的提供程序名称必须修改为唯一名称否则可能产生破坏性影响。Dashboard Studio 支持 SPL2在 Dashboard Studio 中可以通过以下方式使用 SPL2在仪表板中直接创建 SPL2 查询引用 SPL2 模块中的现有视图Dashboard Studio 其他增强Dashboard Studio 获得了多项功能和体验方面的改进。Ingest-Tier ScalingIngest-Tier Scaling 为自管理的 Splunk 部署提供高吞吐、可扩展的数据摄取能力提升弹性、运维效率并实现摄取层与索引层的清晰分离。索引间批量数据迁移集群支持在非 SmartStore 集群环境中根据搜索条件在索引之间高效迁移数据无需删除整个索引。OTel Collector 生效配置可视化增强了对 OpenTelemetry Collector 配置的可见性可查看通过 OpAMP 通信的完整、生效配置。Agents Lookup新增代理查找功能通过使用缓存的 CSV 查找文件而非直接查询索引大幅降低 UI 加载时间提升大规模代理管理性能。代理管理 UI / UX 改进Forwarder 与 OpenTelemetry 管理整合到统一控制台并引入自动化向导以简化服务器类创建。代理管理中的目标配置现在可以直接在代理管理中配置 S3 和文件系统目标并自动同步到已连接的代理 (sysin)。该功能需要代理管理版本 10.2 或更高。排队的临时搜索配额新增系统级和角色级的临时搜索排队限制以防止无限排队对系统性能和资源利用率造成影响。Sidecar 之间通信的 TLS 校验Sidecar 在通过直连端口通信时使用 TLS并验证目标 sidecar 的证书以确保通信安全。使用 Nascent 确保搜索头集群配置正确Nascent sidecar 负责管理 etcd 集群确保搜索头集群中配置一致并支持 Storage sidecar 的正常运行。审计日志 v2结构化审计日志格式Audit Trail Log v2 使用符合 CIM 的 JSON 结构包含更丰富的元数据更适用于合规与审计场景。可选使用 Python 3.13Splunk 平台默认仍使用 Python 3.9但 Splunk Web 仅使用 Python 3.13用户可以选择切换。KV Store Server 8.0 可用Splunk Enterprise 10.2 支持 KV Store Server 8.07.0 将在未来版本中移除。无需 root 运行 Splunk EnterpriseSplunk Enterprise 默认不再以 root 身份运行。如需使用 root必须显式添加--run-as-root参数。Monitoring Console 概览仪表板Beta重设计概览仪表板已重新设计用于查看许可证使用情况监控资源使用状态自定义关键指标快速执行常用操作监控 Forwarder 状态并接收缺失告警下载地址Splunk Enterprise 10.2.2 for macOS, Linux, Windows (2026-03-31)请访问https://sysin.org/blog/splunk-10/相关参考Gartner Magic Quadrant for Security Information and Event Management 2025更多HTTP 协议与安全