Documentación de productos
Servicio de grabación de sesiones
Aktuelle Version 2411 2407 2402 LTSR 2311 2308 2305 2303 2212 2210 2209 2207 2206 2204 2203 LTSR 2201 2112 2110 2109 2107 2106 2104 2103 1912 LTSR 7.15 Service
Ver PDF

Integración de SIEM de terceros

August 1, 2026
Contribución de: 
C C

Información general

Session Recording ofrece la capacidad de capturar varios eventos en las sesiones grabadas. Puede cargar un conjunto seleccionado de datos de eventos en el servicio Session Recording y reenviarlos a un sistema de gestión de eventos e información de seguridad (SIEM) de terceros para su posterior análisis. Actualmente, el servicio Session Recording admite la integración con Splunk (tanto Splunk Cloud como Splunk Enterprise) y Microsoft Sentinel.

La integración con una plataforma SIEM de terceros mejora la postura de seguridad de su organización al aprovechar las capacidades avanzadas de análisis y correlación para detectar y responder a posibles amenazas de manera más eficaz.

Configuración

  1. Habilite la integración de SIEM.

    1. Seleccione Configuración > Integración de SIEM en el panel de navegación izquierdo del servicio Session Recording.

      Integración de SIEM

    2. Habilite Microsoft Sentinel, Splunk o ambos según sea necesario. A continuación, haga clic en el icono Configurar junto al conmutador para configurar el destino y el origen de los datos.

      Para enviar datos a Microsoft Sentinel, proporcione el ID y la clave del espacio de trabajo para el destino de Microsoft Sentinel y seleccione los sitios de destino como origen de los datos que se van a enviar. Solo se admiten sitios que contengan la versión 2411 o posterior de Session Recording para la integración de SIEM.

      Destino de Microsoft Sentinel

      Origen de datos de Microsoft Sentinel

      Para enviar datos a Splunk, configure un HTTP Event Collector en Splunk. Para obtener instrucciones, consulte la documentación de Splunk: Configurar y usar HTTP Event Collector en Splunk Web. El servicio Session Recording admite tanto Splunk Cloud como Splunk Enterprise. Si utiliza Splunk Enterprise, asegúrese de que la conectividad entrante desde el servicio Session Recording (actualmente alojado en Microsoft Azure) a su Splunk Enterprise esté configurada.

      Proporcione la URL, el valor del token y especifique el índice donde desea que se almacenen los datos, además del tipo de origen y el origen. Luego, de forma similar a Microsoft Sentinel, seleccione los sitios de destino como origen de los datos que se van a enviar. Solo se admiten sitios que contengan la versión 2411 o posterior de Session Recording para la integración de SIEM.

      Destino de Splunk

      Origen de datos de Splunk

  2. Especifique los eventos que se van a reenviar.

    Debe especificar los tipos de eventos que se cargarán en el servicio de Grabación de sesiones y se reenviarán a las plataformas SIEM que especificó anteriormente. Para ello, siga estos pasos:

    1. Vaya a Configuración del sitio para cada uno de los sitios que seleccionó anteriormente como origen de datos. Por ejemplo:

      Análisis de datos de eventos

    2. Seleccione Cargar datos de eventos en el servicio de Grabación de sesiones y, a continuación, seleccione Habilitar la exportación de datos a plataformas SIEM. En la sección Ámbito, especifique los tipos de eventos que se van a reenviar. Por ejemplo:

      Especificar eventos que se van a reenviar

  3. Pruebe la integración.

    Después de configurar la integración, pruébela para asegurarse de que los eventos se reenvían correctamente a las plataformas SIEM especificadas.

  4. Supervise y ajuste.

    Supervise continuamente la integración para asegurarse de que funciona según lo esperado. Ajuste la configuración según sea necesario para optimizar el reenvío de eventos y mejorar la precisión de las alertas.

  5. Visualice los datos de eventos.

    Puede visualizar los datos de eventos en Microsoft Sentinel y Splunk. A continuación, se muestran ejemplos de vistas:

    Panel de Microsoft Sentinel

    Panel de Splunk

    Para visualizar datos de eventos en Microsoft Sentinel, póngase en contacto con el Soporte técnico de Citrix.

    Para importar y visualizar rápidamente datos de eventos en Splunk, utilice la siguiente plantilla de panel personalizando las consultas de búsqueda y las visualizaciones para que coincidan con sus datos:

    <form version="1.1" theme="light">
 <label>Session Recording Events Analysis</label>
 <fieldset submitButton="false">
  <input type="time" token="time_field">
   <label></label>
   <default>
    <earliest>-24h@h</earliest>
    <latest>now</latest>
  </default>
 </input>
 <input type="dropdown" token="Server">
  <label>Server</label>
  <default>*</default>
  <initialValue>*</initialValue>
  <fieldForValue>Server</fieldForValue>
  <search>
   <query>index= sourcetype= source=
| table dvc
| rename dvc as Server
| dedup Server
| sort Server</query>
     <earliest>$time_field.earliest$</earliest>
     <latest>$time_field.latest$</latest>
    </search>
   </input>
   <input type="dropdown" token="Site">
    <label>Site</label>
    <default>*</default>
    <initialValue>*</initialValue>
    <fieldForValue>Site</fieldForValue>
    <search>
     <query>index="" sourcetype= source=
| table tenant.srSiteId
| rename tenant.srSiteId  as Site
| dedup Site
| sort Site</query>
     <earliest>$time_field.earliest$</earliest>
     <latest>$time_field.latest$</latest>
    </search>
   </input>
   <input type="dropdown" token="VDA">
    <label>VDA</label>
    <default>*</default>
    <initialValue>*</initialValue>
    <fieldForValue>VDA</fieldForValue>
    <search>
     <query>index= sourcetype= source=
| table payload.deviceId
| rename payload.deviceId as VDA
| dedup VDA
| sort VDA</query>
     <earliest>$time_field.earliest$</earliest>
     <latest>$time_field.latest$</latest>
    </search>
   </input>
   <input type="dropdown" token="User">
    <label>User</label>
    <default>*</default>
    <initialValue>*</initialValue>
    <fieldForValue>User</fieldForValue>
    <search>
     <query>index= sourcetype= source=
| table payload.user
| rename payload.user as User
| dedup User
| sort User</query>
    <earliest>$time_field.earliest$</earliest>
    <latest>$time_field.latest$</latest>
  </search>
 </input>
</fieldset>
<row>
 <panel>
  <table>
    <title>Web Browsing - Top visisted Websites</title>
    <search>
     <query>index= sourcetype= source=
| search type=Citrix.EventMonitor.WebBrowsing
| spath payload.ExtEventData1
| stats count by payload.ExtEventData1
| sort count desc
| rename payload.ExtEventData1 as WebSites</query>
      <earliest>$time_field.earliest$</earliest>
      <latest>$time_field.latest$</latest>
      <sampleRatio>1</sampleRatio>
     </search>
     <option name="dataOverlayMode">none</option>
     <option name="drilldown">none</option>
     <option name="percentagesRow">false</option>
     <option name="rowNumbers">false</option>
     <option name="totalsRow">false</option>
     <option name="wrap">true</option>
     <format type="color" field="FunctionFailed">
      <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
      <scale type="threshold">1</scale>
     </format>
    </table>
   </panel>
   <panel>
    <chart>
     <title>Web Browsing - Browsers Distribution</title>
     <search>
      <query>index= sourcetype= source=
| search type=Citrix.EventMonitor.WebBrowsing
| spath payload.ExtEventData3
| stats count by payload.ExtEventData3|sort count desc</query>
       <earliest>$time_field.earliest$</earliest>
       <latest>$time_field.latest$</latest>
       <sampleRatio>1</sampleRatio>
      </search>
      <option name="charting.chart">pie</option>
      <option name="charting.drilldown">none</option>
      <option name="refresh.display">progressbar</option>
     </chart>
   </panel>
   <panel>
    <table>
     <title>Screen Time (mins)</title>
     <search>
       <query>index= sourcetype= source=
| spath "payload.type"
| search "payload.type"="Citrix.EventMonitor.TopMost"
| rename payload.ExtEventData1 as AppName, payload.deviceId as DeviceId
| eval time=strptime(st, "%Y-%m-%dT%H:%M:%S.%7N")
| sort DeviceId time
| streamstats current=f window=1 last(time) as last_time by DeviceId
| eval time_diff = if(isnull(last_time), null(), time - last_time)
| table time, DeviceId, AppName, time_diff |eval time_diff = time_diff/60
| stats sum(time_diff) by AppName |sort by sum(time_diff) desc |rename sum(time_diff) as ScreenTime</query>
       <earliest>$time_field.earliest$</earliest>
       <latest>$time_field.latest$</latest>
       <sampleRatio>1</sampleRatio>
      </search>
      <option name="dataOverlayMode">none</option>
      <option name="drilldown">none</option>
      <option name="percentagesRow">false</option>
      <option name="refresh.display">progressbar</option>
      <option name="rowNumbers">false</option>
      <option name="totalsRow">false</option>
      <option name="wrap">true</option>
      <format type="color" field="FunctionFailed">
       <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
       <scale type="threshold">1</scale>
      </format>
     </table>
    </panel>
   </row>
   <row>
    <panel>
     <table>
      <title>Application - Top started Application</title>
      <search>
       <query>index= sourcetype= source=
| search type=Citrix.EventMonitor.AppStart
| spath payload.ExtEventData2
| stats count by payload.ExtEventData2
| sort count desc
| rename payload.ExtEventData2 as AppName</query>
      <earliest>$time_field.earliest$</earliest>
      <latest>$time_field.latest$</latest>
      <sampleRatio>1</sampleRatio>
     </search>
     <option name="dataOverlayMode">none</option>
     <option name="drilldown">none</option>
     <option name="percentagesRow">false</option>
     <option name="rowNumbers">false</option>
     <option name="totalsRow">false</option>
     <option name="wrap">true</option>
     <format type="color" field="FunctionFailed">
      <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
      <scale type="threshold">1</scale>
     </format>
    </table>
   </panel>
   <panel>
    <table>
     <title>Application - Top unexpceted exit application</title>
     <search>
      <query>index= sourcetype= source=
| search type=Citrix.EventMonitor.UnexpectedAppExit
| spath payload.ExtEventData2
| stats count by payload.ExtEventData2
| sort count desc
| rename payload.ExtEventData2 as AppPath
| eval AppNameSplit = split(AppPath, "\\")
| eval AppName = mvindex(AppNameSplit, -1)
| table AppName|stats count by AppName</query>
       <earliest>$time_field.earliest$</earliest>
       <latest>$time_field.latest$</latest>
       <sampleRatio>1</sampleRatio>
      </search>
      <option name="dataOverlayMode">none</option>
      <option name="drilldown">none</option>
      <option name="percentagesRow">false</option>
      <option name="refresh.display">progressbar</option>
      <option name="rowNumbers">false</option>
      <option name="totalsRow">false</option>
      <option name="wrap">true</option>
      <format type="color" field="FunctionFailed">
       <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
       <scale type="threshold">1</scale>
      </format>
     </table>
    </panel>
    <panel>
     <table>
     <title>Application - Top no responding application</title>
     <search>
      <query>index= sourcetype= source=
| search type=Citrix.EventMonitor.AppNotResponding
| spath payload.ExtEventData2
| stats count by payload.ExtEventData2
| sort count desc
| rename payload.ExtEventData2 as AppPath
| eval AppNameSplit = split(AppPath, "\\")
| eval AppName = mvindex(AppNameSplit, -1)
| table AppName|stats count by AppName</query>
       <earliest>$time_field.earliest$</earliest>
       <latest>$time_field.latest$</latest>
       <sampleRatio>1</sampleRatio>
      </search>
      <option name="dataOverlayMode">none</option>
      <option name="drilldown">none</option>
      <option name="percentagesRow">false</option>
      <option name="refresh.display">progressbar</option>
      <option name="rowNumbers">false</option>
      <option name="totalsRow">false</option>
      <option name="wrap">true</option>
      <format type="color" field="FunctionFailed">
       <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
       <scale type="threshold">1</scale>
      </format>
     </table>
    </panel>
   </row>
   <row>
    <panel>
     <table>
      <title>File Transfer - Top transfered in file count</title>
      <search>
       <query>index= sourcetype= source=type="Citrix.EventMonitor.FileTransfer"
| spath payload.ExtEventData3
| search payload.ExtEventData3 = "Host:*"
| rename payload.ExtEventData3 as filePath
| eval fileSplit = split(filePath, "\\")
| eval FileName = mvindex(fileSplit, -1)
| table FileName
| stats count by FileName
| sort bv count desc</query>
       <earliest>$time_field.earliest$</earliest>
       <latest>$time_field.latest$</latest>
       <sampleRatio>1</sampleRatio>
      </search>
      <option name="dataOverlayMode">none</option>
      <option name="drilldown">none</option>
      <option name="percentagesRow">false</option>
      <option name="rowNumbers">false</option>
      <option name="totalsRow">false</option>
      <option name="wrap">true</option>
      <format type="color" field="FunctionFailed">
       <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
       <scale type="threshold">1</scale>
      </format>
     </table>
    </panel>
    <panel>
     <table>
      <title>File Transfer - Top transfered in file size by user</title>
      <search>
       <query>index= sourcetype= source=type="Citrix.EventMonitor.FileTransfer"
| spath payload.ExtEventData3
| search payload.ExtEventData3 = "Host:*"
| rename payload.ExtEventData4 as filesize
| eval filesize_mb =
   case(
   like(filesize, "% B"), tonumber(replace(filesize, " B", "")) / 1024 /1024,
   like(filesize, "% KB"), tonumber(replace(filesize, " KB", "")) / 1024,
   like(filesize, "% MB"), tonumber(replace(filesize, " MB", "")),
   like(filesize, "% GB"), tonumber(replace(filesize, " GB", "")) * 1024,
   like(filesize, "% TB"), tonumber(replace(filesize, " TB", "")) * 1024 * 1024
   )
| table payload.user, filesize_mb
| stats sum by payload.user |rename sum(filesize_mb) as FileSize(MB), payload.user as User</query>
        <earliest>$time_field.earliest$</earliest>
        <latest>$time_field.latest$</latest>
        <sampleRatio>1</sampleRatio>
       </search>
       <option name="dataOverlayMode">none</option>
       <option name="drilldown">none</option>
       <option name="percentagesRow">false</option>
       <option name="refresh.display">progressbar</option>
       <option name="rowNumbers">false</option>
       <option name="totalsRow">false</option>
       <option name="wrap">true</option>
       <format type="color" field="FunctionFailed">
        <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
        <scale type="threshold">1</scale>
       </format>
      </table>
     </panel>
     <panel>
      <table>
       <title>File Transfer - Top transfered out file count by user</title>
       <search>
        <query>index= sourcetype= source=type="Citrix.EventMonitor.FileTransfer"
| spath payload.ExtEventData2
| search payload.ExtEventData2 = "Host:*"
| table payload.user, payload.ExtEventData2
| stats count by payload.user
| rename payload.user as User</query>
      <earliest>$time_field.earliest$</earliest>
      <latest>$time_field.latest$</latest>
      <sampleRatio>1</sampleRatio>
     </search>
     <option name="dataOverlayMode">none</option>
     <option name="drilldown">none</option>
     <option name="percentagesRow">false</option>
     <option name="rowNumbers">false</option>
     <option name="totalsRow">false</option>
     <option name="wrap">true</option>
     <format type="color" field="FunctionFailed">
      <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
      <scale type="threshold">1</scale>
     </format>
    </table>
   </panel>
  </row>
 </form>
<!--NeedCopy-->
Integración de SIEM de terceros
August 1, 2026
Contribución de: 
C C
August 1, 2026
Contribución de: 
C C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.