Paneles de Citrix Analytics para Splunk
Nota
Atención: Citrix Content Collaboration™ y ShareFile han llegado al final de su vida útil y ya no están disponibles para los usuarios.
Esta función está en vista previa.
Requisito previo
Para usar los siguientes paneles de Citrix Analytics, asegúrate de haber configurado e instalado la aplicación Citrix Analytics para Splunk.
Resumen de la puntuación de riesgo del usuario
Este panel ofrece una vista consolidada de los usuarios de riesgo en tu organización. Los usuarios se clasifican por niveles de riesgo: alto, medio y bajo. Los niveles de riesgo se basan en las anomalías en las actividades de los usuarios y, en consecuencia, se asigna una puntuación de riesgo. Para obtener más información sobre los tipos de usuarios de riesgo, consulta el panel Usuarios.
Para ver este panel, haz clic en Citrix Analytics - Paneles > Citrix Analytics - Resumen de puntuaciones de riesgo de usuario.
Selecciona un rango de tiempo preestablecido o un rango de tiempo personalizado para ver la cronología de los usuarios de riesgo y sus detalles.
La tabla Usuarios de riesgo proporciona la siguiente información:
-
Usuario: Indica el nombre de usuario. Haz clic en un nombre de usuario para ver los detalles sobre el comportamiento de riesgo del usuario en el panel Citrix Analytics - Detalles de la entidad.
-
Riesgos de puntos finales comprometidos encontrados: Indica el número de indicadores de riesgo activados por el usuario que pertenecen a la categoría de riesgo de puntos finales comprometidos.
-
Riesgos de usuarios comprometidos encontrados: Indica el número de indicadores de riesgo activados por el usuario que pertenecen a la categoría de riesgo de usuarios comprometidos.
-
Riesgos de exfiltración de datos encontrados: Indica el número de indicadores de riesgo activados por el usuario que pertenecen a la categoría de riesgo de exfiltración de datos.
-
Riesgos de amenazas internas encontrados: Indica el número de indicadores de riesgo activados por el usuario que pertenecen a la categoría de riesgo de amenazas internas.
-
Puntuación de riesgo: Indica la puntuación de riesgo del usuario.
También puedes buscar un usuario por su nombre de usuario y obtener los detalles requeridos.
Para obtener más información, consulta categorías de riesgo.
Resumen de indicadores de riesgo
El panel ofrece una vista consolidada de los indicadores de riesgo activados por los usuarios en tu organización.
Para ver el panel, haz clic en Citrix Analytics - Paneles > Citrix Analytics - Resumen de indicadores de riesgo.
Selecciona una categoría para ver el informe
Busca los indicadores de riesgo seleccionando una o varias categorías:
-
Rango de tiempo: Selecciona un rango de tiempo preestablecido o un rango de tiempo personalizado para ver los indicadores de riesgo activados durante ese período.
-
Tipo de indicador de riesgo: Selecciona el tipo de indicador de riesgo: integrado o personalizado.
-
Tipo de entidad: Selecciona un usuario para ver los indicadores de riesgo asociados.
-
Grupo: Selecciona un criterio para agrupar los eventos de usuario por origen de datos, categoría de indicador, nombre de indicador, tipo de indicador o tipo de entidad y ver los indicadores de riesgo asociados.
Ver informe
Usa los siguientes informes para ver los detalles sobre los indicadores de riesgo seleccionando una o varias categorías:
-
Número de indicadores de riesgo activados: Muestra el número de indicadores de riesgo activados durante el período seleccionado. Usa este informe para identificar el patrón y las áreas de actividades de riesgo. Además, identifica las principales actividades de riesgo en tu organización.
-
Recuento total y distinto de entidades de eventos de indicadores de riesgo: Muestra el total de eventos y los eventos únicos correspondientes a un indicador de riesgo. Usa este informe para identificar las ocurrencias de cada indicador de riesgo y los principales indicadores de riesgo en tu organización. También puedes identificar cuántos usuarios únicos activaron un indicador de riesgo particular y verificar si el indicador de riesgo es activado por un grupo de usuarios más grande o más pequeño.
-
Indicadores de riesgo por ubicación: Muestra el número de indicadores de riesgo activados por los usuarios en diferentes ubicaciones. Usa este informe para identificar las ubicaciones que muestran más actividades de riesgo y verificar si las ubicaciones están fuera del área de operación de tu organización.
-
Detalles del indicador de riesgo: Muestra los detalles sobre el indicador de riesgo, como el origen de datos asociado, la categoría del indicador, el tipo de indicador y el número de ocurrencias.
Detalles del indicador de riesgo
El panel proporciona información detallada sobre los indicadores de riesgo integrados y personalizados activados por los usuarios. Para obtener más información, consulta Indicadores de riesgo de usuario de Citrix e Indicadores de riesgo personalizados.
Para ver el panel, haz clic en Citrix Analytics - Paneles > Citrix Analytics - Detalles del indicador de riesgo.
Selecciona una categoría para ver los informes
Consulta los detalles de los indicadores de riesgo seleccionando una o varias categorías:
-
Rango de tiempo: Selecciona un rango de tiempo preestablecido o un rango de tiempo personalizado para ver los detalles de los indicadores de riesgo activados durante ese período.
-
Tipo de entidad: Selecciona un usuario para ver los detalles de los indicadores de riesgo asociados.
-
Tipo de indicador de riesgo: Selecciona el tipo de indicador de riesgo (integrado o personalizado) para ver sus detalles.
-
Origen de datos: Selecciona el origen de datos para ver los detalles de los indicadores de riesgo asociados.
-
Categoría de indicador de riesgo: Selecciona la categoría de riesgo para ver los detalles de los indicadores de riesgo asociados.
-
Indicador de riesgo: Selecciona el indicador de riesgo para ver sus detalles.
Ver los informes
Por ejemplo, en la lista Seleccionar indicador de riesgo, selecciona Fallo de autenticación inusual (Citrix Content Collaboration), haz clic en Enviar y consulta la siguiente información:
-
Los 10 principales usuarios asociados con el indicador de riesgo
-
Detalles sobre el indicador de riesgo, como:
-
Fecha y hora de activación
-
Origen de datos asociado
-
Categoría de riesgo asociada
-
ID de entidad asociada y tipo de entidad de usuario
-
Gravedad del riesgo: alta, media o baja
-
Probabilidad de riesgo del evento de usuario
-
Identidad única del indicador de riesgo (UUID)
-
En Las 10 principales entidades por indicadores de riesgo, haz clic en una entidad para ver sus detalles en el panel Citrix Analytics - Detalles de la entidad.
Haz clic en cada fila de la tabla Detalles del indicador de riesgo para ver el resumen del evento, los detalles del evento y los eventos sin procesar del indicador de riesgo seleccionado.
En la sección Resumen de eventos del indicador de riesgo, haz clic en el enlace de la interfaz de usuario de Citrix Analytics para ir directamente a la cronología del usuario en Citrix Analytics for Security™ desde tu Splunk. En la cronología del usuario, consulta el indicador de riesgo, los eventos asociados y las acciones aplicadas para el usuario.
Para obtener más información sobre el resumen y los detalles de los eventos, consulta Formato de datos de Citrix Analytics para SIEM.
Detalles de la entidad
Usa el panel para ver los detalles sobre una entidad de usuario y su comportamiento de riesgo.
Para ver el panel, haz clic en Citrix Analytics - Paneles > Citrix Analytics - Detalles de la entidad.
Ver el informe
Introduce un rango de tiempo y la entidad (nombre de usuario) y haz clic en Enviar para ver la información detallada.
Alternativamente, también puedes ver la información detallada sobre una entidad desde los siguientes paneles:
- En Citrix Analytics - Detalles del indicador de riesgo, ve a Las 10 principales entidades por indicadores de riesgo y haz clic en una entidad.
- En Citrix Analytics - Resumen de puntuaciones de riesgo de usuario, ve a Usuarios de riesgo y haz clic en un nombre de usuario.
Se muestra la siguiente información detallada:
-
Puntuación de riesgo actual y la cronología de la puntuación de riesgo para el rango de tiempo seleccionado.
-
Distribución porcentual de los indicadores de riesgo. Te ayuda a analizar el patrón de actividades de riesgo de la entidad.
-
Distribución geográfica de los indicadores de riesgo. Te ayuda a identificar las ubicaciones inusuales y de alto riesgo.
-
Detalles de IP de cliente asociados con las actividades de riesgo.
-
Detalles del dispositivo de usuario asociados con las actividades de riesgo.
-
Detalles del indicador de riesgo, como el origen de datos asociado, la categoría de riesgo, la gravedad del riesgo, etc.
Correlaciona las IP de cliente y los dispositivos de usuario asociados con actividades de riesgo con los eventos recopilados de otras fuentes de seguridad conectadas a tu Splunk. Por ejemplo, haz clic en una fila de la tabla Detalles de IP de cliente.
En el panel Correlación de eventos de Citrix Analytics, puedes ver los eventos asociados con la IP de cliente seleccionada que se correlacionan desde tus otras fuentes de datos de seguridad (según el índice y el tipo de origen). Estos eventos proporcionan información más detallada sobre las actividades maliciosas asociadas con la IP de cliente.
Resumen del perfil de usuario
Usa el panel para ver las métricas de eventos asociadas con los usuarios de tu organización.
Para ver el panel, haz clic en Citrix Analytics - Paneles > Citrix Analytics - Resumen del perfil de usuario.
Ver los eventos
Selecciona un rango de tiempo y consulta las siguientes métricas:
-
Las 10 principales aplicaciones usadas por los usuarios
-
Los 10 principales dispositivos usados por los usuarios
-
Las 10 principales ubicaciones usadas por los usuarios
-
Número de aplicaciones web y SaaS usadas
-
Número de dispositivos usados
-
Número de usuarios que han accedido desde diferentes ubicaciones
-
Métricas de uso de datos, como archivos cargados, descargados y compartidos
Estas métricas te proporcionan información sobre las actividades de los usuarios en tu organización. Puedes identificar las principales aplicaciones y dispositivos, los patrones de uso, los dispositivos y aplicaciones no conformes, las ubicaciones inusuales, el acceso de riesgo y las actividades de archivos inusuales.
Eventos recibidos
Usa el panel para ver los eventos recibidos de Citrix Analytics for Security. Un evento indica un tipo de actividad de usuario.
Para ver el panel, haz clic en Citrix Analytics - Paneles > Citrix Analytics - Eventos recibidos.
Ver los informes
Selecciona un rango de tiempo para ver y comparar los distintos tipos de eventos recibidos. El panel proporciona la siguiente información:
-
Total de eventos recibidos: Es el agregado de todos los eventos recibidos de Citrix Analytics for Security, incluidos los siguientes:
-
Total de eventos de indicadores de riesgo: Indica los eventos asociados con los indicadores de riesgo activados por los usuarios.
-
Total de eventos de detalles de indicadores de riesgo: Indica los eventos asociados con los detalles de los indicadores de riesgo activados.
-
Total de eventos de cambio de puntuación de riesgo: Indica los eventos asociados con el cambio de puntuación de riesgo del usuario.
-
Total de eventos de puntuación de riesgo del perfil de usuario: Indica los eventos asociados con las puntuaciones de riesgo de los usuarios.
-
Total de eventos de aplicaciones del perfil de usuario: Indica los eventos asociados con las aplicaciones usadas por los usuarios.
-
Total de eventos de dispositivos del perfil de usuario: Indica los eventos asociados con los dispositivos usados por los usuarios.
-
Total de eventos de uso de datos del perfil de usuario: Indica los eventos asociados con el uso de datos de los usuarios.
-
Total de eventos de ubicación del perfil de usuario: Indica los eventos asociados con las ubicaciones a las que accedieron los usuarios.
-
Correlación de eventos de ejemplo
Usa el panel para correlacionar los eventos recibidos de Citrix Analytics for Security con los eventos recopilados de otras fuentes de datos de seguridad configuradas en tu Splunk. Obtendrás información más detallada sobre las actividades de riesgo del usuario recopiladas de múltiples fuentes de datos, encontrarás relaciones entre los eventos e identificarás cualquier amenaza.
Para ver el panel, haz clic en Correlación de SIEM - Paneles de ejemplo > Correlación de eventos de Citrix Analytics.
Requisitos previos
Para realizar la correlación, asegúrate de lo siguiente:
-
Debes tener eventos de tus otras fuentes de datos de seguridad para correlacionar. Por ejemplo, eventos asociados con usuarios, dispositivos y direcciones IP de cliente recibidos de otras fuentes de datos configuradas en tu Splunk.
-
Debes tener un índice de correlación ya definido durante la configuración.
Correlacionar los eventos
Puedes ver las principales entidades de riesgo y las principales direcciones IP de riesgo detectadas por Citrix Analytics for Security. Para correlacionar estos eventos con otras fuentes de datos (definidas en el índice y el tipo de origen), haz clic en una entidad o una dirección IP de las tablas.
El valor del índice que se muestra en el campo de consulta se define durante la configuración de la aplicación. Puedes cambiar el valor del índice a una fuente de datos de seguridad diferente según tus requisitos.
Solución de problemas para la ausencia de eventos
Si no encuentras ningún evento en todos los paneles, podría deberse a problemas de configuración en la aplicación Citrix Analytics para Splunk y el complemento Citrix Analytics para Splunk. En tal caso, verifica el valor del índice y el valor del tipo de origen. Asegúrate de que los valores del índice y del tipo de origen sean los mismos tanto en la aplicación como en el complemento.
Para ver la configuración de la aplicación Citrix Analytics para Splunk:
- Haz clic en Aplicaciones > Administrar aplicaciones.
- Busca la aplicación Citrix Analytics para Splunk en la lista. Haz clic en Configurar.
- Verifica el tipo de origen y el índice.
Para ver la configuración del complemento Citrix Analytics para Splunk:
- Haz clic en Configuración > Entradas de datos.
- Haz clic en Complemento de Citrix Analytics.
-
Haz clic en el inquilino del que obtienes los eventos.
-
Selecciona Más configuraciones.
- Verifica el tipo de origen y el índice.
Para obtener más información sobre la configuración, consulta Configurar el complemento Citrix Analytics para Splunk.