Splunk Machine Learning

| mlspl fit <algo> field=<x>

Treina um modelo de machine learning no Splunk (mlspl) sobre um campo para detectar anomalias estatísticas que as regras não veem.

Use quando a detecção por limiar fixo não funciona: o tráfego de um host, os logons de um usuário ou os bytes de uma conexão variam ao longo do tempo, e um modelo treinado na baseline detecta o desvio que um limiar estático não distingue. O comando mlspl fit treina o algoritmo (densityfunction, kmeans, etc.) no campo indicado, e o modelo resultante é aplicado em tempo real para pontuar cada evento por sua raridade. O caso típico: volume de eventos por host, comprimento de cmdlines, ou tamanho das respostas HTTP — o que se desvia do aprendido salta como anomalia.

Não use sem dados históricos suficientes e limpos: o modelo aprende da baseline — dados com ruído (agentes quebrados, janelas de manutenção) contaminam o modelo e as anomalias detectadas não significam nada. O mlspl é caro em tempo de treinamento e scoring em volumes altos: os modelos são retreinados com frequência adequada (diária, semanal) e o scoring em tempo real tem custo por evento. E cuidado com a interpretação: uma anomalia estatística não é um ataque — é uma pista que requer contexto; o SOC que alerta em toda desvio acaba com ruído nas alturas. Para a maioria das detecções, a regra com limiar continua sendo a opção correta; o ML é para os casos onde não funciona.