Integración con Elasticsearch
Nota
Ponte en contacto con CAS-PM-Ext@cloud.com para solicitar asistencia con la integración de Elasticsearch, la exportación de datos a Elasticsearch o para enviar comentarios.
Integra Citrix Analytics for Security con Elasticsearch mediante el motor de Logstash. Esta integración te permite exportar y correlacionar los datos de los usuarios de tu entorno de TI de Citrix a Elasticsearch y obtener información más detallada sobre la postura de seguridad de tu organización. También puedes usar Elasticsearch con los servicios de visualización y SIEM como Kibana y LogRhythm respectivamente.
Para obtener más información sobre los beneficios de la integración y el tipo de datos procesados que se envían a tu SIEM, consulta Integración de la gestión de eventos e información de seguridad.
Requisitos previos
-
Activa el procesamiento de datos para al menos un origen de datos. Esto ayuda a Citrix Analytics for Security™ a iniciar el proceso de integración con Elasticsearch.
-
Asegúrate de que el siguiente punto final esté en la lista de permitidos de tu red.
Punto final Región de Estados Unidos Región de la Unión Europea Región de Asia Pacífico Sur Kafka brokers casnb-0.citrix.com:9094casnb-eu-0.citrix.com:9094casnb-aps-0.citrix.com:9094casnb-1.citrix.com:9094casnb-eu-1.citrix.com:9094casnb-aps-1.citrix.com:9094casnb-2.citrix.com:9094casnb-eu-2.citrix.com:9094casnb-aps-2.citrix.com:9094casnb-3.citrix.com:9094
Integrar con Elasticsearch
-
Ve a Configuración > Exportaciones de datos.
-
En la sección Configuración de la cuenta, crea una cuenta especificando el nombre de usuario y una contraseña. Esta cuenta se utiliza para preparar un archivo de configuración, que es necesario para la integración.
-
Asegúrate de que la contraseña cumpla las siguientes condiciones:
-
Haz clic en Configurar para generar el archivo de configuración de Logstash.
-
Selecciona la ficha Elastic Search de la sección Entorno SIEM para descargar los archivos de configuración:
-
Archivo de configuración de Logstash: Contiene los datos de configuración (secciones de entrada, filtro y salida) para enviar eventos de Citrix Analytics for Security a Elasticsearch mediante el motor de recopilación de datos de Logstash. Para obtener información sobre la estructura del archivo de configuración de Logstash, consulta la documentación de Logstash.
-
Archivo JKS: Contiene los certificados necesarios para la conexión SSL.
Nota
Estos archivos contienen información confidencial. Guárdalos en un lugar seguro.
-
-
Configurar Logstash:
-
En tu máquina host Linux o Windows, instala Logstash. También puedes usar tu instancia de Logstash existente.
-
En la máquina host donde hayas instalado Logstash, coloca los siguientes archivos en el directorio especificado:
Tipo de máquina host Nombre de archivo Ruta del directorio Linux CAS_Elasticsearch_LogStash_Config.config Para paquetes Debian y RPM: /etc/logstash/conf.d/Para archivos .zip y .tar.gz: {extract.path}/configkafka.client.truststore.jks Para paquetes Debian y RPM: /etc/logstash/ssl/Para archivos .zip y .tar.gz: {extract.path}/sslWindows CAS_Elasticsearch_LogStash_Config.config C:\logstash-7.xx.x\configkafka.client.truststore.jks Para obtener información sobre la estructura de directorios predeterminada de los paquetes de instalación de Logstash, consulta la documentación de Logstash.
-
Abre el archivo de configuración de Logstash y haz lo siguiente:
-
En la sección de entrada del archivo, introduce la siguiente información:
-
Contraseña: La contraseña de la cuenta que has creado en Citrix Analytics for Security para preparar el archivo de configuración.
-
Ubicación del almacén de confianza SSL: La ubicación de tu certificado de cliente SSL. Esta es la ubicación del archivo kafka.client.truststore.jks en tu máquina host.
-
-
En la sección de salida del archivo, introduce la dirección de tu máquina host o del clúster donde se ejecuta Elasticsearch.
-
-
Reinicia tu máquina host para enviar los datos procesados de Citrix Analytics for Security a Elasticsearch.
-
Una vez completada la configuración, verifica que puedes ver los datos de Citrix Analytics en tu Elasticsearch.
Activar o desactivar la transmisión de datos
Una vez que Citrix Analytics for Security prepara el archivo de configuración, la transmisión de datos se activa para Elasticsearch.
Para detener la transmisión de datos desde Citrix Analytics for Security:
-
Ve a Configuración > Exportaciones de datos.
-
Desactiva el botón de alternancia para inhabilitar la transmisión de datos. Por defecto, la transmisión de datos siempre está activada.
Aparece una ventana de advertencia para tu confirmación. Haz clic en el botón Desactivar transmisión de datos para detener la actividad de transmisión.
Para volver a activar la transmisión de datos, activa el botón de alternancia.