Splunk join

search A | join user [search B]

Correlaciona duas buscas Splunk por um campo comum com join, unindo eventos de fontes distintas para reconstruir a cadeia do ataque.

Execute quando precisar unir eventos de duas fontes que um campo comum conecta: o exemplo clássico é unir logons (4624) com processos criados por esse usuário, ou alertas do EDR com eventos do SIEM — o join por user dá a visão 'este usuário entrou e depois executou isso'. É a ferramenta de correlação explícita do Splunk: quando a relação entre eventos não pode ser expressa com stats ou transaction, o join une as duas buscas pelo campo. Em um IR, o join reconstrói a sequência: quem, de onde, e o que executou depois.

Não use em buscas grandes sem pensar: join é uma das operações mais caras do Splunk (os dois lados são materializados em memória) e em volumes altos explode ou demora uma eternidade — para agregações, stats com campos multivalorados ou transaction costumam ser mais eficientes. O join padrão é inner (só os que correspondem nos dois lados): se um lado não tiver o campo, os eventos são perdidos silenciosamente. E cuidado com campos duplicados: se ambos os lados trouxerem campos com o mesmo nome, é preciso renomeá-los antes ou o resultado mistura valores. Para correlações de volume (todas as alertas de um usuário), lookup ou subsearches são alternativas mais leves.