Splunk audit 的设定

最近公司要检查splunk audit 的情况

1: 先看audit 有没有打开：

2:看到audit 是打开的，下面看一下官方文档：

audit.conf - Splunk Documentation

 

 3: 下面把audit 关闭，测试：

$SPLUNK_HOME/etc/system/local/audit.conf

[default]
queueing = false
 

4: 重启splunk, 然后看index=_audit, 发现audit 没有日志过来。