Paneles de Citrix Analytics para Splunk
Nota
Atención: Citrix Content Collaboration™ y ShareFile han llegado al final de su vida útil y ya no están disponibles para los usuarios.
Esta función está en versión preliminar.
Requisito previo
Para usar los siguientes paneles de Citrix Analytics, asegúrese de haber configurado e instalado la aplicación Citrix Analytics para Splunk.
Descripción general de la puntuación de riesgo del usuario
Este panel proporciona una vista consolidada de los usuarios de riesgo en su organización. Los usuarios se clasifican por niveles de riesgo: alto, medio y bajo. Los niveles de riesgo se basan en las anomalías en las actividades del usuario y, en consecuencia, se asigna una puntuación de riesgo. Para obtener más información sobre los tipos de usuarios de riesgo, consulte el panel Usuarios.
Para ver este panel, haga clic en Citrix Analytics- Dashboards > Citrix Analytics- User Risk Scores Overview.
Seleccione un rango de tiempo preestablecido o un rango de tiempo personalizado para ver la cronología de los usuarios de riesgo y sus detalles.
La tabla Usuarios de riesgo proporciona la siguiente información:
-
Usuario: Indica el nombre de usuario. Haga clic en un nombre de usuario para ver los detalles sobre el comportamiento de riesgo del usuario en el panel Citrix Analytics - Entity Details.
-
Riesgos de puntos finales comprometidos encontrados: Indica el número de indicadores de riesgo activados por el usuario que pertenecen a la categoría de riesgo de puntos finales comprometidos.
-
Riesgos de usuarios comprometidos encontrados: Indica el número de indicadores de riesgo activados por el usuario que pertenece a la categoría de riesgo de usuarios comprometidos.
-
Riesgos de exfiltración de datos encontrados: Indica el número de indicadores de riesgo activados por el usuario que pertenece a la categoría de riesgo de exfiltración de datos.
-
Riesgos de amenazas internas encontrados: Indica el número de indicadores de riesgo activados por el usuario que pertenece a la categoría de riesgo de amenazas internas.
-
Puntuación de riesgo: Indica la puntuación de riesgo del usuario.
También puede buscar un usuario por su nombre de usuario y obtener los detalles necesarios.
Para obtener más información, consulte categorías de riesgo.
Información general del indicador de riesgo
El panel proporciona una vista consolidada de los indicadores de riesgo activados por los usuarios de su organización.
Para ver el panel, haga clic en Citrix Analytics- Dashboards > Citrix Analytics- Risk Indicator Overview.
Seleccionar categoría para ver el informe
Busque los indicadores de riesgo seleccionando una o varias categorías:
-
Intervalo de tiempo: Seleccione un intervalo de tiempo preestablecido o un intervalo de tiempo personalizado para ver los indicadores de riesgo activados durante ese período.
-
Tipo de indicador de riesgo: Seleccione el tipo de indicador de riesgo: integrado o personalizado.
-
Tipo de entidad: Seleccione un usuario para ver los indicadores de riesgo asociados.
-
Grupo: Seleccione un criterio para agrupar los eventos de usuario por origen de datos, categoría de indicador, nombre de indicador, tipo de indicador o tipo de entidad y ver los indicadores de riesgo asociados.
Ver informe
Utilice los siguientes informes para ver los detalles de los indicadores de riesgo seleccionando una o varias categorías:
-
Número de indicadores de riesgo activados: Muestra el número de indicadores de riesgo activados para el período seleccionado. Utilice este informe para identificar el patrón y las áreas de actividades de riesgo. Además, identifique las principales actividades de riesgo en su organización.
-
Recuento total y distinto de entidades de eventos de indicadores de riesgo: Muestra el total de eventos y los eventos únicos correspondientes a un indicador de riesgo. Utilice este informe para identificar las ocurrencias de cada indicador de riesgo y los principales indicadores de riesgo en su organización. También puede identificar cuántos usuarios únicos activaron un indicador de riesgo particular y comprobar si el indicador de riesgo es activado por un grupo de usuarios más grande o más pequeño.
-
Indicadores de riesgo por ubicación: Muestra el número de indicadores de riesgo activados por los usuarios en diferentes ubicaciones. Utilice este informe para identificar las ubicaciones que muestran más actividades de riesgo y comprobar si las ubicaciones están fuera del área de operación de su organización.
-
Detalles del indicador de riesgo: Muestra los detalles sobre el indicador de riesgo, como el origen de datos asociado, la categoría del indicador, el tipo de indicador y el número de ocurrencias.
Detalles del indicador de riesgo
El panel proporciona información detallada sobre los indicadores de riesgo integrados y personalizados activados por los usuarios. Para obtener más información, consulte Indicadores de riesgo de usuario de Citrix y Indicadores de riesgo personalizados.
Para ver el panel, haga clic en Citrix Analytics- Dashboards > Citrix Analytics- Risk Indicator Details.
Seleccionar categoría para ver los informes
Vea los detalles de los indicadores de riesgo seleccionando una o varias categorías:
-
Rango de tiempo: Seleccione un rango de tiempo preestablecido o un rango de tiempo personalizado para ver los detalles de los indicadores de riesgo activados durante ese período.
-
Tipo de entidad: Seleccione un usuario para ver los detalles de los indicadores de riesgo asociados.
-
Tipo de indicador de riesgo- Seleccione el tipo de indicador de riesgo (integrado o personalizado) para ver sus detalles.
-
Origen de datos- Seleccione el origen de datos para ver los detalles de los indicadores de riesgo asociados.
-
Categoría de indicador de riesgo- Seleccione la categoría de riesgo para ver los detalles de los indicadores de riesgo asociados.
-
Indicador de riesgo- Seleccione el indicador de riesgo para ver sus detalles.
Ver los informes
Por ejemplo, en la lista Seleccionar indicador de riesgo, seleccione Fallo de autenticación inusual (Citrix Content Collaboration), haga clic en Enviar y vea la siguiente información:
-
Los 10 usuarios principales asociados con el indicador de riesgo
-
Detalles sobre el indicador de riesgo, como
-
Fecha y hora de activación
-
Origen de datos asociado
-
Categoría de riesgo asociada
-
ID de entidad asociado y tipo de entidad de usuario
-
Gravedad del riesgo: alta, media o baja
-
Probabilidad de riesgo del evento de usuario
-
Identidad única del indicador de riesgo (UUID)
-
En Las 10 entidades principales por indicadores de riesgo, haga clic en una entidad para ver sus detalles en el panel de control Citrix Analytics - Detalles de la entidad.
Haga clic en cada fila de la tabla Detalles del indicador de riesgo para ver el resumen del evento, los detalles del evento y los eventos sin procesar del indicador de riesgo seleccionado.
En la sección Resumen de eventos del indicador de riesgo, haga clic en el enlace de la interfaz de usuario de Citrix Analytics para ir directamente a la cronología del usuario en Citrix Analytics for Security™ desde su Splunk. En la cronología del usuario, vea el indicador de riesgo, los eventos asociados y las acciones aplicadas para el usuario.
Para obtener más información sobre el resumen de eventos y los detalles de los eventos, consulte Formato de datos de Citrix Analytics para SIEM.
Detalles de la entidad
Utilice el panel de control para ver los detalles sobre un usuario de entidad de usuario y su comportamiento de riesgo.
Para ver el panel de control, haga clic en Citrix Analytics - Paneles de control > Citrix Analytics - Detalles de la entidad.
Ver el informe
Introduzca un rango de tiempo y la entidad (nombre de usuario) y haga clic en Enviar para ver la información detallada.
Alternativamente, también puede ver la información detallada sobre una entidad desde los siguientes paneles:
-
En Citrix Analytics - Detalles del indicador de riesgo, vaya a Las 10 principales entidades por indicadores de riesgo y haga clic en una entidad.
-
En Citrix Analytics - Resumen de puntuación de riesgo, vaya a Usuarios de riesgo y haga clic en un nombre de usuario.
Se muestra la siguiente información detallada:
-
Puntuación de riesgo actual y la cronología de la puntuación de riesgo para el rango de tiempo seleccionado.
-
Distribución porcentual de los indicadores de riesgo. Le ayuda a analizar el patrón de actividades de riesgo de la entidad.
-
Distribución geográfica de los indicadores de riesgo. Le ayuda a identificar las ubicaciones inusuales y de alto riesgo.
-
Detalles de la IP del cliente asociados con las actividades de riesgo.
-
Detalles del dispositivo de usuario asociados con las actividades de riesgo.
-
Detalles del indicador de riesgo, como la fuente de datos asociada, la categoría de riesgo, la gravedad del riesgo, etc.
Correlacione las IP de cliente y los dispositivos de usuario asociados con actividades de riesgo con los eventos recopilados de otras fuentes de seguridad conectadas a su Splunk. Por ejemplo, haga clic en una fila de la tabla Detalles de IP de cliente.
En el panel Citrix Analytics Event Correlation, puede ver los eventos asociados a la IP de cliente seleccionada que se correlacionan desde sus otras fuentes de datos de seguridad (según el índice y el tipo de origen). Estos eventos proporcionan información más detallada sobre las actividades maliciosas asociadas a la IP de cliente.
Información general del perfil de usuario
Utilice el panel para ver las métricas de eventos asociadas a los usuarios de su organización.
Para ver el panel, haga clic en Citrix Analytics- Dashboards > Citrix Analytics- User Profile Overview.
Ver los eventos
Seleccione un rango de tiempo y vea las siguientes métricas:
-
Las 10 aplicaciones principales utilizadas por los usuarios
-
Los 10 dispositivos principales utilizados por los usuarios
-
Las 10 ubicaciones principales utilizadas por los usuarios
-
Número de aplicaciones web y SaaS utilizadas
-
Número de dispositivos utilizados
-
Número de usuarios que han accedido desde diferentes ubicaciones
-
Métricas de uso de datos, como archivos cargados, descargados y compartidos
Estas métricas le proporcionan información sobre las actividades de los usuarios en su organización. Puede identificar las aplicaciones y los dispositivos principales, los patrones de uso, los dispositivos y las aplicaciones no conformes, las ubicaciones inusuales, el acceso de riesgo y las actividades de archivos inusuales.
Eventos recibidos
Utilice el panel para ver los eventos recibidos de Citrix Analytics for Security. Un evento indica un tipo de actividad de usuario.
Para ver el panel, haga clic en Citrix Analytics- Dashboards > Citrix Analytics- Received Events.
Ver los informes
Seleccione un rango de tiempo para ver y comparar los distintos tipos de eventos recibidos. El panel proporciona la siguiente información:
-
Total de eventos recibidos: Es el agregado de todos los eventos recibidos de Citrix Analytics for Security, incluidos los siguientes:
-
Total de eventos de indicadores de riesgo: Indica los eventos asociados con los indicadores de riesgo activados por los usuarios.
-
Total de eventos de detalles de indicadores de riesgo: Indica los eventos asociados con los detalles de los indicadores de riesgo activados.
-
Total de eventos de cambio de puntuación de riesgo: Indica los eventos asociados con el cambio de puntuación de riesgo del usuario.
-
Eventos de puntuación de riesgo total del perfil de usuario: Indica los eventos asociados con las puntuaciones de riesgo de los usuarios.
-
Eventos de aplicación total del perfil de usuario: Indica los eventos asociados con las aplicaciones utilizadas por los usuarios.
-
Eventos de dispositivo total del perfil de usuario: Indica los eventos asociados con los dispositivos utilizados por los usuarios.
-
Eventos de uso de datos total del perfil de usuario: Indica los eventos asociados con el uso de datos de los usuarios.
-
Eventos de ubicación total del perfil de usuario: Indica los eventos asociados con las ubicaciones a las que accedieron los usuarios.
-
Correlación de eventos de ejemplo
Utilice el panel para correlacionar los eventos recibidos de Citrix Analytics for Security con los eventos recopilados de otras fuentes de datos de seguridad configuradas en su Splunk. Obtendrá información más detallada sobre las actividades de riesgo del usuario recopiladas de múltiples fuentes de datos, encontrará relaciones entre los eventos e identificará cualquier amenaza.
Para ver el panel, haga clic en SIEM Correlation- Sample Dashboards > Citrix Analytics Event Correlation.
Requisitos previos
Para realizar la correlación, asegúrese de lo siguiente:
-
Debe tener eventos de sus otras fuentes de datos de seguridad para correlacionar. Por ejemplo, eventos asociados con usuarios, dispositivos y direcciones IP de cliente recibidos de otras fuentes de datos configuradas en su Splunk.
-
Debe tener un índice de correlación ya definido durante la configuración.
Correlacionar los eventos
Puede ver las principales entidades de riesgo y las principales direcciones IP de riesgo detectadas por Citrix Analytics for Security. Para correlacionar estos eventos con otras fuentes de datos (definidas en el índice y el tipo de origen), haga clic en una entidad o en una dirección IP de las tablas.
El valor de índice que se muestra en el campo de consulta se define durante la configuración de la aplicación. Puede cambiar el valor de índice a una fuente de datos de seguridad diferente según sus requisitos.
Solución de problemas para la ausencia de eventos
Si no encuentra ningún evento en todos los paneles, podría deberse a problemas de configuración en Citrix Analytics App para Splunk y el complemento de Citrix Analytics para Splunk. En tal escenario, verificar el valor del índice y el valor del tipo de origen. Asegúrese de que los valores del índice y del tipo de origen sean los mismos tanto en la aplicación como en el complemento.
Para ver la configuración de Citrix Analytics App para Splunk:
-
Haga clic en Aplicaciones > Administrar aplicaciones.
-
Busque Citrix Analytics App para Splunk en la lista. Haga clic en Configurar.
-
Compruebe el tipo de origen y el índice.
Para ver la configuración del complemento de Citrix Analytics para Splunk:
-
Haga clic en Configuración > Entradas de datos.
-
Haga clic en Citrix Analytics Add-on.
-
Haga clic en el inquilino del que obtiene los eventos.
-
Seleccione Más ajustes.
-
Compruebe el tipo de origen y el índice.
Para obtener más información sobre la configuración, consulte Configurar el complemento de Citrix Analytics para Splunk.