Integration mit Splunk
Sie können jetzt Citrix ADM in Splunk integrieren, um Analysen für WAF- und Bot-Verstöße in Ihrem Splunk-Dashboard anzuzeigen. Das Splunk-Add-on ermöglicht Ihnen:
-
Kombinieren Sie alle anderen externen Datenquellen.
-
Bieten Sie eine bessere Sichtbarkeit von Analysen an einem zentralen Ort.
Citrix ADM sammelt Bot- und WAF-Ereignisse und sendet sie regelmäßig an Splunk. Das Splunk Common Information Model (CIM) -Add-on konvertiert die Ereignisse in CIM-kompatible Daten. Als Administrator können Sie anhand der CIM-kompatiblen Daten die WAF- und Bot-Verstöße im Splunk-Dashboard anzeigen.
Voraussetzungen
Für die Splunk-Integration müssen Sie:
Globale Einstellung einrichten
-
Melden Sie sich bei Splunk an.
-
Navigieren Sie zu Einstellungen > Dateneingaben > HTTP-Ereignissammler. Die Seite des HTTP-Ereignissammlers wird angezeigt.
-
Klicken Sie auf Allgemeine Einstellungen.
-
Geben Sie die folgenden Parameter an und klicken Sie auf Speichern.
Hinweis
Standardmäßig gibt die HTTP-Portnummer den Standardport an. Wenn Sie eine andere bevorzugte Portnummer haben, können Sie die erforderliche Portnummer angeben.
Den HTTP-Ereignis-Collector-Endpunkt in Splunk einrichten
-
Melden Sie sich bei Splunk an.
-
Navigieren Sie zu Einstellungen > Dateneingaben > HTTP-Ereignissammler. Die Seite des HTTP-Ereignissammlers wird angezeigt.
-
Klicke auf Neues Token.
-
Geben Sie Folgendes an:
-
Name: Geben Sie einen Namen Ihrer Wahl an.
-
Quellnamenüberschreibung (optional): Wenn Sie einen Wert festlegen, überschreibt dieser den Quellwert für den HTTP-Ereignissammler.
-
Beschreibung (optional): Geben Sie eine Beschreibung an.
-
Ausgabegruppe (optional): Standardmäßig ist diese Option als Keine ausgewählt.
-
Indexerbestätigung aktivieren: Diese Option ist standardmäßig nicht ausgewählt.
-
Klicken Sie auf Weiter
-
Geben Sie auf der Seite Eingabeeinstellungen den Quelltyp, den App-Kontextund den Indexan, und klicken Sie dann auf Überprüfen.
-
Überprüfen Sie, ob alles, was Sie angegeben haben, korrekt ist, und klicken Sie dann auf Senden. Ein Token wird generiert. Sie müssen dieses Token verwenden, wenn Sie Details in Citrix ADM hinzufügen.
-
Splunk Common Information Model installieren
In Splunk müssen Sie das Splunk CIM installieren, um sicherzustellen, dass die Daten im Dashboard ausgefüllt werden.
-
Melden Sie sich bei Splunk an.
-
Navigieren Sie zu Apps > Weitere Apps suchen.
-
Geben Sie CIM in die Suchleiste ein und drücken Sie die Eingabetaste, um das Splunk Common Information Model (CIM) -Add-on aufzurufen, und klicken Sie auf Installieren.
Citrix CIM-Normalizer installieren
Nachdem Sie Splunk CIM installiert haben, müssen Sie den Citrix CIM-Normalisierer installieren, um die Ereignisse in Splunk CIM umzuwandeln.
-
Melden Sie sich auf der Citrix-Downloadseite an und laden Sie das Citrix CIM-Add-on für Splunkherunter.
-
Navigieren Sie im Splunk-Portal zu Apps > Apps verwalten.
-
Klicken Sie auf App aus Datei installieren.
-
Laden Sie die .spl - oder .tgz-Datei hoch und klicken Sie auf Hochladen.
Auf der Seite Apps erhalten Sie eine Benachrichtigung, dass das Add-On installiert ist.
Splunk-HTTP-Collector und Token-Details hinzufügen
Nachdem Sie ein Token generiert haben, müssen Sie Details in Citrix ADM hinzufügen, um es mit Splunk zu integrieren.
-
Melden Sie sich bei Citrix ADM an.
-
Navigieren Sie zu Einstellungen > Ökosystemintegration.
-
Klicken Sie auf der Seite Abonnements auf Hinzufügen.
-
Auf der Registerkarte Zu abonnierende Funktionen auswählen können Sie die Funktionen auswählen, die Sie exportieren möchten, und auf Weiterklicken.
-
Echtzeit-Export — Die ausgewählten Verstöße werden sofort nach Splunk exportiert.
-
Periodischer Export — Die ausgewählten Verstöße werden basierend auf der von Ihnen ausgewählten Dauer nach Splunk exportiert.
-
-
Auf der Registerkarte Exportkonfiguration angeben:
-
Endpunkttyp — Wählen Sie Splunk aus der Liste aus.
-
Endpunkt — Geben Sie die Splunk-Endpunktdetails an. Der Endpunkt muss das Format https://SPLUNK_PUBLIC_IP:SPLUNK_HEC_PORT/services/collector/event haben.
Hinweis
Aus Sicherheitsgründen wird die Verwendung von HTTPS empfohlen.
-
SPLUNK_PUBLIC_IP — Eine gültige IP-Adresse, die für Splunk konfiguriert wurde.
-
SPLUNK_HEC_PORT — Gibt die Portnummer an, die Sie während der Konfiguration des HTTP-Ereignisendpunkts angegeben haben. Die Standardportnummer ist 8088.
-
Services/Collector/Event — Gibt den Pfad für die HEC-Anwendung an.
-
-
Authentifizierungstoken — Kopieren Sie das Authentifizierungstoken von der Splunk-Seite und fügen Sie es
-
Klicken Sie auf Weiter.
-
-
Auf der Seite Abonnieren :
-
Exporthäufigkeit — Wählen Sie Täglich oder Stündlich aus der Liste Basierend auf der Auswahl exportiert Citrix ADM die Details nach Splunk.
Hinweis
Gilt nur, wenn Sie im Periodischen ExportVerstöße ausgewählt haben.
-
Abonnementname — Geben Sie einen Namen Ihrer Wahl an.
-
Wählen Sie das Kontrollkästchen Benachrichtigungen aktivieren aus.
-
Klicken Sie auf Submit.
Hinweis
-
Wenn Sie zum ersten Mal mit der Option Periodischer Export konfigurieren, werden die ausgewählten Feature-Daten sofort an Splunk übertragen. Die nächste Exporthäufigkeit erfolgt basierend auf Ihrer Auswahl (täglich oder stündlich).
-
Wenn Sie zum ersten Mal mit der Option Echtzeitexport konfigurieren, werden die ausgewählten Feature-Daten sofort an Splunk übertragen, sobald die Verstöße in Citrix ADM erkannt werden.
-
-
Details in Splunk überprüfen
Nachdem Sie Details in Citrix ADM hinzugefügt haben, können Sie überprüfen, ob Splunk die Ereignisse empfängt.
-
Klicken Sie auf der Splunk-Startseite auf Search & Reporting.
-
Geben Sie in der Suchleiste die Details in die Suchleiste ein, wählen Sie die Dauer aus der Liste aus und klicken Sie auf das Suchsymbol oder drücken Sie die Eingabetaste. Sie können beispielsweise
sourcetype=”bot”odersourcetype=”waf”odersourcetype="ml"eingeben, um die Details zu überprüfen.
Das folgende Suchergebnis ist ein Beispiel für einen WAF-Verstoß:
Das folgende Suchergebnis ist ein Beispiel für einen Bot-Verstoß:
Zugriff auf Pivot
Sie müssen den Datenmodelltyp angeben, um die Pivot-Details anzuzeigen. Das Splunk-Add-On konvertiert beispielsweise die WAF- und Bot-Ereignisse in das CIM-Format, wobei der nächstgelegene Datenmodelltyp wie Alert und Intrusion Detection verwendet wird.
So greifen Sie auf die Ereignisse in Splunk zu:
-
Navigieren Sie zu Einstellungen > Datenmodelle.
-
Identifizieren Sie das Intrusion Detection-Datenmodell und klicken Sieauf
-
Wählen Sie einen Datensatz aus. Im folgenden Beispiel ist die Option IDS-Angriffe ausgewählt.
Die Gesamtzahl der IDS-Angriffe wird angezeigt.
Sie können auch auf die Schaltfläche + klicken, um der Tabelle weitere Details hinzuzufügen. Im folgenden Beispiel werden die Details basierend auf Schweregrad, Kategorie und Signatur-ID angezeigt:
Splunk-Dashboard
Mithilfe eines Dashboards können Sie sich Details der WAF- und Bot-Verstoßanalysen in Ansichten wie Diagrammen, Tabellen, Listen usw. anzeigen lassen. Sie können Folgendes konfigurieren:
-
Dashboard mit Anwendungen, die CIM-kompatible Daten verwenden.
-
Benutzerdefiniertes Dashboard, das Daten aus den CIM-Datenmodellen abruft.
Je nach Ihrer Wahl können Sie das Dashboard erstellen. Weitere Informationen finden Sie im Abschnitt Über das Dashboard in der Splunk-Dokumentation.