Elasticsearch 的集成

Last published : Nov 04, 2026
注意：
请联系 mailto:CAS-PM-Ext@cloud.com 以请求 Elasticsearch 集成、将数据导出到 Elasticsearch 或提供反馈方面的帮助。
您可以使用 Logstash 引擎将 Citrix Analytics for Performance™ 与 Elasticsearch 集成。此集成使您能够将 Citrix IT 环境中的用户数据导出并关联到 Elasticsearch，从而更深入地了解组织的安全状况。
有关集成优势以及发送到可观测性平台的数据类型，请参阅数据导出。
Related information
数据导出到可观测性平台（预览版）

先决条件

  • 为至少一个数据源开启数据处理。这有助于 Citrix Analytics for Performance 启动 Elasticsearch 集成过程。
  • 确保以下端点在您的网络允许列表中。
    端点 美国地区 欧盟地区 亚太南部地区
    Kafka 代理 casnb-0.citrix.com:9094 casnb-eu-0.citrix.com:9094 casnb-aps-0.citrix.com:9094
    casnb-1.citrix.com:9094 casnb-eu-1.citrix.com:9094 casnb-aps-1.citrix.com:9094
    casnb-2.citrix.com:9094 casnb-eu-2.citrix.com:9094 casnb-aps-2.citrix.com:9094
    casnb-3.citrix.com:9094

与 Elasticsearch 集成

  1. 转到“设置”>“数据导出”。
  2. 在“账户设置”部分，通过指定用户名和密码来创建账户。此账户用于准备集成所需的配置文件。
    SIEM 数据导出
  3. 确保密码满足以下条件：
    SIEM 密码要求
  4. 单击“配置”以生成 Logstash 配置文件。
    Elasticsearch 的配置(/en-us/citrix-analytics/media/siem-configure-casp.png)
  5. 从“可观测性平台”部分选择“Elastic Search”选项卡以下载配置文件：
    • Logstash 配置文件：包含用于使用 Logstash 数据收集引擎将事件从 Citrix Analytics for Performance 发送到 Elasticsearch 的配置数据（输入、筛选器和输出部分）。有关 Logstash 配置文件结构的信息，请参阅 Logstash 文档。
    • JKS 文件：包含 SSL 连接所需的证书。
      注意
      这些文件包含敏感信息。请将其保存在安全的位置。
      选择 弹性搜索(/en-us/citrix-analytics/media/elasticsearch-select-casp.png)
  6. 配置 Logstash：
    1. 在您的 Linux 或 Windows 主机上，安装 Logstash。您也可以使用现有的 Logstash 实例。
    2. 在安装了 Logstash 的主机上，将以下文件放置在指定目录中：
      主机类型 文件名 目录路径
      林纳克斯 CAS_Elasticsearch_LogStash_Config.config 对于 Debian 和 RPM 软件包：/etc/logstash/conf.d/
      对于 .zip 和 .tar.gz 归档文件：{extract.path}/config
      kafka.client.truststore.jks 对于 Debian 和 RPM 软件包：/etc/logstash/ssl/
      对于 .zip 和 .tar.gz 归档文件：{extract.path}/ssl
      视窗 CAS_Elasticsearch_LogStash_Config.config C:\logstash-7.xx.x\config
      kafka.client.truststore.jks
      有关 Logstash 安装包的默认目录结构的信息，请参阅 Logstash 文档。
    3. 打开 Logstash 配置文件并执行以下操作：
      1. 在文件的输入部分中，输入以下信息：
        • 密码：您在 Citrix Analytics for Performance 中创建的用于准备配置文件的帐户的密码。
        • SSL 信任存储位置：您的 SSL 客户端证书的位置。这是主机中 kafka.client.truststore.jks 文件的位置。
        Elasticsearch 输入部分
      2. 在文件的输出部分，输入您的主机或运行 Elasticsearch 的集群的地址。
        Elasticsearch 输出部分
    4. 重启您的主机，将 Citrix Analytics for Performance 的处理数据发送到 Elasticsearch。
配置完成后，验证您可以在 Elasticsearch 中查看 Citrix Analytics 数据。

Logstash 配置

可以从 Citrix Analytics for Performance 页面下载 Logstash 配置示例。
以下是 Logstash 管道定义的一个小变体，可以支持所提供的 Kibana 仪表板示例：
filter {
  json {
    source => "message"
    remove_field => ["message"]
  }
  date {
    match => [ "timestamp", "ISO8601", "yyyy-MM-dd HH:mm:ss" ]
    target => "@timestamp"
  }
}

filter {
  mutate {
    copy => ["eventType", "[@metadata][eventTypeIndex]"]
  }
}

filter {
  mutate {
    lowercase => ["[@metadata][eventTypeIndex]"]
  }
}

output {
  elasticsearch {
    hosts => ["<your logstash host : port>"]
    index => "citrixanalytics-%{[@metadata][eventTypeIndex]}-%{+YYYY.MM.dd}"
  }
}
基于之前的配置，Logstash 使用 eventType 字段将会话和机器事件分离到不同的索引中。
您可以用上述内容替换从 Citrix Analytics 页面下载的默认配置文件中的“filter”和“output”部分，然后重启 Logstash 服务。

Kibana 仪表板示例

您可以导入 Citrix 提供的 Kibana 仪表板示例，其中包括：
  • 指标
  • 时间图表
  • 会话和基础设施遥测的其他有用可视化。
您可以从 Citrix Analytics 下载 页面下载仪表板定义（JSON 文件）。
您可以将仪表板文件导入到您的 Kibana 实例中，无论是导入到 Elasticsearch 云账户还是企业账户。
在导入仪表板之前，请确保您已正确配置 Logstash、Elasticsearch 和 Kibana 实例，并且能够在 Kibana 索引管理页面中查看 citrixanalytics 索引。
要导入仪表板和引用的数据视图，请执行以下步骤：
  1. 导航到 管理 > 已保存对象。
  2. 单击 Import 并选择给定压缩文件中包含的 ndjson 文件。
  3. 您可以选择 创建具有随机 ID 的新对象。
  4. 单击 Import。
完成上述步骤后，您可以查看四个新的已保存对象，如下图所示：
ElasticSearch 四个对象
数据视图由仪表板可视化引用，并引用了前面 Logstash 配置中定义的索引。您必须能够打开仪表板。以下是示例仪表板：
ElasticSearch 仪表板 1
ElasticSearch 仪表板 2

开启或关闭数据传输

Citrix Analytics for Performance 准备好配置文件后，Elasticsearch 的数据传输将开启。
要停止从 Citrix Analytics for Performance 传输数据：
  1. 前往 设置 > 数据导出。
  2. 关闭切换按钮以禁用数据传输。默认情况下，数据传输始终处于启用状态。
    SIEM 传输清除
  3. 将出现一个警告窗口以供您确认。单击关闭数据传输以停止传输活动。
    SIEM 传输清除警告
要再次启用数据传输，请打开切换按钮。