Integración con Splunk
Ahora puede integrar Citrix ADM con Splunk para ver los análisis de las infracciones de WAF y Bot en su panel de control de Splunk. El complemento Splunk le permite:
-
Combine todas las demás fuentes de datos externas.
-
Proporcione una mayor visibilidad de los análisis en un lugar centralizado.
Citrix ADM recopila eventos de Bot y WAF y los envía a Splunk periódicamente. El complemento del modelo de información común (CIM) de Splunk convierte los eventos en datos compatibles con CIM. Como administrador, utilizando los datos compatibles con CIM, puede ver las infracciones de WAF y Bot en el panel de control de Splunk.
Requisitos previos
Para la integración con Splunk, debe:
-
Configure el punto final del recopilador de eventos HTTP en Splunk
-
Instale el complemento del modelo de información común (CIM) de Splunk
-
Agregue los detalles del recopilador HTTP y del token de Splunk
Configurar la configuración global
-
Inicia sesión en Splunk.
-
Vaya a Configuración > Entradas de datos > Recopilador de eventos HTTP. Aparece la página del recopilador de eventos HTTP .
-
Haga clic en Configuración global.
-
Especifique los siguientes parámetros y haga clic en Guardar.
Nota
De forma predeterminada, el número de puerto HTTP indica el puerto predeterminado. Si tiene cualquier otro número de puerto preferido, puede especificar el número de puerto requerido.
Configure el punto final del recopilador de eventos HTTP en Splunk
-
Inicia sesión en Splunk.
-
Vaya a Configuración > Entradas de datos > Recopilador de eventos HTTP. Aparece la página del recopilador de eventos HTTP .
-
Haga clic en Nuevo token.
-
Especifique lo siguiente:
-
Nombre: especifique un nombre de su elección.
-
Anulación del nombre de origen (opcional): si establece un valor, anula el valor de origen del recopilador de eventos HTTP.
-
Descripción (opcional): especifique una descripción.
-
Grupo de salida (opcional): de forma predeterminada, esta opción aparece seleccionada como Ninguna.
-
Habilitar el reconocimiento del indexador: de forma predeterminada, esta opción no está seleccionada.
-
Haga clic en Siguiente
-
En la página Configuración de entrada, especifique el tipo de fuente, el contexto de la aplicación, elíndicey, después, haga clic enRevisar.
-
Compruebe si todo lo que ha especificado es correcto y, a continuación, haga clic en Enviar. Se genera un token. Debe usar este token cuando agregue detalles en Citrix ADM.
-
Instale el modelo de información común de Splunk
En Splunk, debe instalar el CIM de Splunk para asegurarse de que los datos se rellenen en el panel de control.
-
Inicia sesión en Splunk.
-
Vaya a Aplicaciones > Buscar más aplicaciones.
-
Escriba CIM en la barra de búsqueda y pulse Entrar para obtener el complemento del modelo de información común (CIM) de Splunk y haga clic en Instalar.
Instale el normalizador CIM de Citrix
Después de instalar el CIM de Splunk, debe instalar el normalizador CIM de Citrix para transformar los eventos en el CIM de Splunk.
-
Inicie sesión en la página de descargas de Citrix y descargue el complemento CIM de Citrix para Splunk.
-
En el portal de Splunk, vaya a Aplicaciones > Administrar aplicaciones.
-
Haga clic en Instalar aplicación desde un archivo.
-
Cargue el archivo .spl o .tgz y haga clic en Cargar.
Recibirá un mensaje de notificación en la página Aplicaciones que indica que el complemento está instalado.
Agregue los detalles del recopilador HTTP y del token de Splunk
Después de generar un token, debe agregar detalles en Citrix ADM para integrarlo con Splunk.
-
Inicie sesión en Citrix ADM.
-
Vaya a Configuración > Integración de ecosistemas.
-
En la página Suscripciones, haga clic en Agregar.
-
En la ficha Seleccionar funciones para suscribirse, puede seleccionar las funciones que quiere exportar y hacer clic en Siguiente.
-
Exportación en tiempo real : las infracciones seleccionadas se exportan inmediatamente a Splunk.
-
Exportación periódica : las infracciones seleccionadas se exportan a Splunk en función de la duración que seleccione.
-
-
En la ficha Especificar la configuración de exportación :
-
Tipo de punto final : seleccione Splunk en la lista.
-
Punto final : especifique los detalles del punto final de Splunk. El punto final debe estar en el formato https://SPLUNK_PUBLIC_IP:SPLUNK_HEC_PORT/services/collector/event.
Nota
Se recomienda utilizar HTTPS por motivos de seguridad.
-
SPLUNK_PUBLIC_IP : una dirección IP válida configurada para Splunk.
-
SPLUNK_HEC_PORT : indica el número de puerto que especificó durante la configuración del punto final del evento HTTP. El número de puerto predeterminado es 8088.
-
Servicios/coleccionador/evento : indica la ruta de la aplicación HEC.
-
-
Token de autenticación : copie y pegue el token de autenticación de la página de Splunk.
-
Haga clic en Siguiente.
-
-
En la página de suscripción :
-
Frecuencia de exportación : seleccione Diaria o Cada hora de la lista. Según la selección, Citrix ADM exporta los detalles a Splunk.
Nota
Aplicable solo si ha seleccionado infracciones en la exportación periódica.
-
Nombre de la suscripción : especifique un nombre de su elección.
-
Seleccione la casilla Activar notificaciones.
-
Haga clic en Submit.
Nota
-
Cuando se configura con la opción de exportación periódica por primera vez, los datos de las funciones seleccionadas se envían a Splunk inmediatamente. La siguiente frecuencia de exportación se realizará en función de su selección (diaria u horaria).
-
Cuando se configura con la opción Realtime Export por primera vez, los datos de las funciones seleccionadas se envían a Splunk inmediatamente tan pronto como se detectan las infracciones en Citrix ADM.
-
-
Verifique los detalles en Splunk
Después de agregar detalles en Citrix ADM, puede verificar si Splunk recibe los eventos.
-
En la página de inicio de Splunk, haga clic en Buscar e informes.
-
En la barra de búsqueda, escriba los detalles en la barra de búsqueda, seleccione la duración de la lista y haga clic en el icono de búsqueda o pulse Entrar. Por ejemplo, puede escribir
sourcetype=”bot”osourcetype=”waf”osourcetype="ml"para comprobar los detalles.
El siguiente resultado de búsqueda es un ejemplo de infracción del WAF:
El siguiente resultado de búsqueda es un ejemplo de infracción de un bot:
Accede a los detalles
Debe identificar el tipo de modelo de datos para ver los detalles de la tabla dinámica. Por ejemplo, el complemento Splunk convierte los eventos WAF y Bot en formato CIM, con el tipo de modelo de datos más parecido, como la detección de alertas e intrusiones.
Para acceder a los eventos en Splunk:
-
Vaya a Configuración > Modelos de datos.
-
Identifique el modelo de datos de detección de intrusiones y haga clic enCambiar
-
Seleccione un conjunto de datos. En el siguiente ejemplo, se selecciona la opción Ataques de IDS .
Se muestra el recuento total de ataques de IDS .
También puede hacer clic en el botón + para agregar más detalles a la tabla. El siguiente ejemplo muestra los detalles según la gravedad, la categoría y el identificador de firma:
Panel de Splunk
Mediante un panel de control, puede ver los detalles de los análisis de infracciones de WAF y Bot con paneles como gráficos, tablas, listas, etc. Puede configurar:
-
Panel de control con aplicaciones que utilizan datos compatibles con el CIM.
-
Panel de control personalizado que extrae datos de los modelos de datos CIM.
Dependiendo de su elección, puede crear el panel de control. Para obtener más información, consulta la sección Acerca del panel de control en la documentación de Splunk.