Intégration d’Elasticsearch
Remarque
Contactez CAS-PM-Ext@cloud.com pour demander de l’aide concernant l’intégration d’Elasticsearch, l’exportation de données vers Elasticsearch ou pour fournir des commentaires.
Intégrez Citrix Analytics for Security à Elasticsearch à l’aide du moteur Logstash. Cette intégration vous permet d’exporter et de corréler les données des utilisateurs de votre environnement informatique Citrix vers Elasticsearch et d’obtenir des informations plus approfondies sur la posture de sécurité de votre organisation. Vous pouvez également utiliser Elasticsearch avec les services de visualisation et les SIEM tels que Kibana et LogRhythm respectivement.
Pour plus d’informations sur les avantages de l’intégration et le type de données traitées envoyées à votre SIEM, consultez Intégration de la gestion des informations et des événements de sécurité.
Conditions préalables
-
Activez le traitement des données pour au moins une source de données. Cela aide Citrix Analytics for Security™ à démarrer le processus d’intégration d’Elasticsearch.
-
Assurez-vous que le point de terminaison suivant figure dans la liste d’autorisation de votre réseau.
Point de terminaison Région des États-Unis Région de l’Union européenne Région Asie-Pacifique Sud Courtiers Kafka casnb-0.citrix.com:9094casnb-eu-0.citrix.com:9094casnb-aps-0.citrix.com:9094casnb-1.citrix.com:9094casnb-eu-1.citrix.com:9094casnb-aps-1.citrix.com:9094casnb-2.citrix.com:9094casnb-eu-2.citrix.com:9094casnb-aps-2.citrix.com:9094casnb-3.citrix.com:9094
Intégrer à Elasticsearch
-
Accédez à Paramètres > Exportations de données.
-
Dans la section Configuration du compte, créez un compte en spécifiant le nom d’utilisateur et un mot de passe. Ce compte est utilisé pour préparer un fichier de configuration, qui est requis pour l’intégration.
-
Assurez-vous que le mot de passe respecte les conditions suivantes :
-
Cliquez sur Configurer pour générer le fichier de configuration Logstash.
-
Sélectionnez l’onglet Elastic Search dans la section Environnement SIEM pour télécharger les fichiers de configuration :
-
Fichier de configuration Logstash : contient les données de configuration (sections d’entrée, de filtre et de sortie) pour l’envoi d’événements de Citrix Analytics for Security vers Elasticsearch à l’aide du moteur de collecte de données Logstash. Pour plus d’informations sur la structure du fichier de configuration Logstash, consultez la documentation Logstash.
-
Fichier JKS : contient les certificats requis pour la connexion SSL.
Remarque
Ces fichiers contiennent des informations sensibles. Conservez-les dans un endroit sûr et sécurisé.
-
-
Configurez Logstash :
-
Sur votre machine hôte Linux ou Windows, installez Logstash. Vous pouvez également utiliser votre instance Logstash existante.
-
Sur la machine hôte où vous avez installé Logstash, placez les fichiers suivants dans le répertoire spécifié :
Type de machine hôte Nom du fichier Chemin du répertoire Linux CAS_Elasticsearch_LogStash_Config.configPour les packages Debian et RPM : /etc/logstash/conf.d/Pour les archives .zip et .tar.gz : {extract.path}/configkafka.client.truststore.jksPour les packages Debian et RPM : /etc/logstash/ssl/Pour les archives .zip et .tar.gz : {extract.path}/sslWindows CAS_Elasticsearch_LogStash_Config.configC:\logstash-7.xx.x\configkafka.client.truststore.jksPour plus d’informations sur la structure de répertoire par défaut des packages d’installation Logstash, consultez la documentation Logstash.
-
Ouvrez le fichier de configuration Logstash et effectuez les opérations suivantes :
-
Dans la section d’entrée du fichier, saisissez les informations suivantes :
-
Mot de passe : le mot de passe du compte que vous avez créé dans Citrix Analytics for Security pour préparer le fichier de configuration.
-
Emplacement du magasin de confiance SSL : l’emplacement de votre certificat client SSL. Il s’agit de l’emplacement du fichier
kafka.client.truststore.jkssur votre machine hôte.
-
-
Dans la section de sortie du fichier, saisissez l’adresse de votre machine hôte ou du cluster où Elasticsearch est en cours d’exécution.
-
-
Redémarrez votre machine hôte pour envoyer les données traitées de Citrix Analytics for Security vers Elasticsearch.
-
Une fois la configuration terminée, vérifiez que vous pouvez afficher les données Citrix Analytics dans votre Elasticsearch.
Activer ou désactiver la transmission de données
Une fois que Citrix Analytics for Security a préparé le fichier de configuration, la transmission de données est activée pour Elasticsearch.
Pour arrêter la transmission de données depuis Citrix Analytics for Security :
-
Accédez à Paramètres > Exportations de données.
-
Désactivez le bouton bascule pour désactiver la transmission de données. Par défaut, la transmission de données est toujours activée.
Une fenêtre d’avertissement apparaît pour votre confirmation. Cliquez sur le bouton Désactiver la transmission de données pour arrêter l’activité de transmission.
Pour réactiver la transmission de données, activez le bouton bascule.