Splunk è una piattaforma per cercare, monitorare e analizzare dati generati dalle macchine, come log, eventi e telemetria provenienti da server, endpoint e servizi cloud. I team di sicurezza la usano per trasformare grandi volumi di dati grezzi in qualcosa che possano interrogare, visualizzare e su cui possano impostare avvisi. Questo rende Splunk prezioso nella difesa informatica perché molti attacchi sono visibili solo come piccoli cambiamenti nel comportamento del sistema: accessi insoliti, errori ripetuti, nuovi processi, attività di rete sospette o un picco di eventi di accesso negato.
Nella pratica, i difensori usano Splunk per creare ricerche di indicatori di compromissione, dashboard per una rapida consapevolezza situazionale e avvisi che si attivano quando un modello supera una soglia. Gli attaccanti possono inoltre essere rilevati attraverso le proprie tracce nei log che lasciano dietro di sé, ed è per questo che la messa a punto delle ricerche e della logica degli avvisi è importante. Se i dati sono incompleti, rumorosi o mal organizzati, le minacce possono passare inosservate; se le regole sono troppo ampie, gli avvisi diventano rumore. Splunk è quindi sia uno strumento di visibilità sia una disciplina operativa.