Citrix Analytics for Security

Intégration Elasticsearch

Remarque

Contactez CAS-PM-Ext@citrix.com pour demander de l’aide concernant l’intégration d’Elasticsearch, l’exportation de données vers Elasticsearch ou pour fournir des commentaires.

Intégrez Citrix Analytics for Security à Elasticsearch à l’aide du moteur Logstash. Cette intégration vous permet d’exporter et de corréler les données des utilisateurs de votre environnement informatique Citrix vers Elasticsearch et d’obtenir des informations plus approfondies sur le niveau de sécurité de votre organisation. Vous pouvez également utiliser Elasticsearch avec les services de visualisation et les SIEM tels que Kibana et LogRhythm respectivement.

Pour plus d’informations sur les avantages de l’intégration et le type de données traitées qui sont envoyées à votre SIEM, voir Intégration des informations de sécurité et de la gestion des événements.

Conditions préalables

  • Activez le traitement des données pour au moins une source de données. Il aide Citrix Analytics for Security à démarrer le processus d’intégration Elasticsearch.

  • Assurez-vous que le point de terminaison suivant figure dans la liste d’autorisation de votre réseau.

    Point de terminaison Région des États-Unis Région de l’Union européenne Région Asie-Pacifique Sud
    Brokers Kafka casnb-0.citrix.com:9094 casnb-eu-0.citrix.com:9094 casnb-aps-0.citrix.com:9094
      casnb-1.citrix.com:9094 casnb-eu-1.citrix.com:9094 casnb-aps-1.citrix.com:9094
      casnb-2.citrix.com:9094 casnb-eu-2.citrix.com:9094 casnb-aps-2.citrix.com:9094
      casnb-3.citrix.com:9094    

Intégration à Elasticsearch

  1. Accédez à Paramètres > Sources de données > Sécurité > EXPORTATIONS DE DONNÉES.

  2. Sur la fiche de site SIEM, sélectionnez Commencer.

    Exportation des données SIEM

  3. Sur la page Configurer l’intégration SIEM, créez un compte en spécifiant le nom d’utilisateur et un mot de passe. Ce compte est utilisé pour préparer un fichier de configuration, qui est nécessaire à l’intégration.

    Page de configuration SIEM

  4. Assurez-vous que le mot de passe répond aux conditions suivantes :

    Exigences de mot de passe pour SIEM

  5. Cliquez sur Configurer pour générer le fichier de configuration Logstash.

    Configurer Elasticsearch

  6. Sélectionnez l’onglet Elastic Search pour télécharger les fichiers de configuration :

    • Fichier de configuration Logstash : contient les données de configuration (sections d’entrée, de filtre et de sortie) pour l’envoi d’événements de Citrix Analytics for Security à Elasticsearch à l’aide du moteur de collecte de données Logstash. Pour plus d’informations sur la structure du fichier de configuration Logstash, consultez la documentation Logstash .

    • Fichier JKS : contient les certificats nécessaires à la connexion SSL.

      Remarque

      Ces fichiers contiennent des informations sensibles. Conservez-les dans un endroit sûr et sécurisé.

      Sélectionnez Elasticsearch

  7. Configurez Logstash :

    1. Sur votre machine hôte Linux ou Windows, installez Logstash. Vous pouvez également utiliser votre instance Logstash existante.

    2. Sur la machine hôte sur laquelle vous avez installé Logstash, placez les fichiers suivants dans le répertoire spécifié :

      Type de machine hôte Nom du fichier Chemin du répertoire
      Linux CAS_Elasticsearch_LogStash_Config.config Pour les paquets Debian et RPM : /etc/logstash/conf.d/
          Pour les archives .zip et .tar.gz : {extract.path}/config
        kafka.client.truststore.jks Pour les paquets Debian et RPM : /etc/logstash/ssl/
          Pour les archives .zip et .tar.gz : {extract.path}/ssl
      Windows CAS_Elasticsearch_LogStash_Config.config C:\logstash-7.xx.x\config
        kafka.client.truststore.jks  

      Pour plus d’informations sur la structure de répertoires par défaut des packages d’installation de Logstash, consultez la documentation Logstash .

    3. Ouvrez le fichier de configuration Logstash et procédez comme suit :

      1. Dans la section de saisie du fichier, saisissez les informations suivantes :

        • Motde passe : mot de passe du compte que vous avez créé dans Citrix Analytics for Security pour préparer le fichier de configuration.

        • Emplacement du truststore SSL : emplacement de votre certificat client SSL. Il s’agit de l’emplacement du fichier kafka.client.truststore.jks sur votre machine hôte.

        Section de saisie Elasticsearch

      2. Dans la section de sortie du fichier, saisissez l’adresse de votre machine hôte ou du cluster sur lequel Elasticsearch est exécuté.

        Section de sortie Elasticsearch

    4. Redémarrez votre machine hôte pour envoyer les données traitées de Citrix Analytics for Security à Elasticsearch.

Une fois la configuration terminée, vérifiez que vous pouvez afficher les données Citrix Analytics dans votre Elasticsearch.

Activer ou désactiver la transmission des données

Une fois que Citrix Analytics for Security a préparé le fichier de configuration, la transmission des données est activée pour Elasticsearch.

Pour arrêter de transmettre des données depuis Citrix Analytics for Security, procédez comme suit :

  1. Accédez à Paramètres > Sources de données > Sécurité > EXPORTATIONS DE DONNÉES.

  2. Sur la carte de site SIEM, sélectionnez les points de suspension verticaux (), puis cliquez sur Désactiver la transmission de données.

    Éteindre la transmission SIEM

Pour réactiver la transmission des données, sur la carte de site SIEM, cliquez sur Activer la transmission des données.

La transmission SIEM s'allume

Intégration Elasticsearch