Service d'enregistrement de session

Intégration SIEM tierce

August 1, 2026

Contributeur:

C C

Vue d’ensemble

L’enregistrement de session offre la possibilité de capturer divers événements dans les sessions enregistrées. Vous pouvez télécharger un ensemble sélectionné de données d’événement vers le service d’enregistrement de session et les transmettre à un système de gestion des informations et des événements de sécurité (SIEM) tiers pour une analyse plus approfondie. Actuellement, le service d’enregistrement de session prend en charge l’intégration avec Splunk (Splunk Cloud et Splunk Enterprise) et Microsoft Sentinel.

L’intégration avec une plateforme SIEM tierce améliore la posture de sécurité de votre organisation en tirant parti des capacités d’analyse avancées et de corrélation pour détecter et répondre plus efficacement aux menaces potentielles.

Configuration

Activer l’intégration SIEM.
1. Sélectionnez Configuration > Intégration SIEM dans la navigation de gauche du service d’enregistrement de session.
2. Activez Microsoft Sentinel, Splunk, ou les deux, selon les besoins. Ensuite, cliquez sur l’icône Configurer à côté du bouton bascule pour configurer la destination et la source de données.
  
  Pour envoyer des données à Microsoft Sentinel, fournissez l’ID et la clé de l’espace de travail pour la destination Microsoft Sentinel et sélectionnez les sites cibles comme source des données à envoyer. Seuls les sites contenant la version 2411 ou ultérieure de l’enregistrement de session sont pris en charge pour l’intégration SIEM.
  
  Pour envoyer des données à Splunk, configurez un collecteur d’événements HTTP dans Splunk. Pour obtenir des instructions, consultez la documentation Splunk : Configurer et utiliser le collecteur d’événements HTTP dans Splunk Web. Le service d’enregistrement de session prend en charge Splunk Cloud et Splunk Enterprise. Si vous utilisez Splunk Enterprise, assurez-vous que la connectivité entrante du service d’enregistrement de session (actuellement hébergé sur Microsoft Azure) vers votre Splunk Enterprise est configurée.
  
  Fournissez l’URL, la valeur du jeton et spécifiez l’index où vous souhaitez que les données soient stockées, en plus du type de source et de la source. Ensuite, comme pour Microsoft Sentinel, sélectionnez les sites cibles comme source des données à envoyer. Seuls les sites contenant la version 2411 ou ultérieure de l’enregistrement de session sont pris en charge pour l’intégration SIEM.
  
  Source de données Splunk(/fr-fr/session-recording/service/media/splunk-data-source.png)
Spécifiez les événements à transférer.

Vous devez spécifier les types d’événements à télécharger vers le service d’enregistrement de session et à transférer vers les plateformes SIEM que vous avez spécifiées précédemment. Pour ce faire, suivez les étapes suivantes :
1. Accédez aux Paramètres du site pour chacun des sites que vous avez sélectionnés précédemment comme source de données. Par exemple :
  
  Analyse des données d’événements(/fr-fr/session-recording/service/media/event-data-analysis.png)
2. Sélectionnez Télécharger les données d’événements vers le service d’enregistrement de session, puis sélectionnez Activer l’exportation des données vers les plateformes SIEM. Dans la section Portée, spécifiez les types d’événements à transférer. Par exemple :
  
  Spécifier les événements à transférer(/fr-fr/session-recording/service/media/specify-events-to-forward.png)
Testez l’intégration.

Après avoir configuré l’intégration, testez-la pour vous assurer que les événements sont correctement transférés vers les plateformes SIEM spécifiées.
Surveillez et ajustez.

Surveillez en permanence l’intégration pour vous assurer qu’elle fonctionne comme prévu. Ajustez la configuration si nécessaire pour affiner le transfert des événements et améliorer la précision des alertes.

Visualisez les données d’événements.

Vous pouvez visualiser les données d’événements dans Microsoft Sentinel et Splunk. Voici des exemples de vues :

Tableau de bord Microsoft Sentinel(/fr-fr/session-recording/service/media/microsoft-sentinel-dashboard.png)

Tableau de bord Splunk(/fr-fr/session-recording/service/media/splunk-dashboard.png)

Pour visualiser les données d’événement dans Microsoft Sentinel, contactez le support technique de Citrix.

Pour importer et visualiser rapidement les données d’événement dans Splunk, utilisez le modèle de tableau de bord suivant en personnalisant les requêtes de recherche et les visualisations pour qu’elles correspondent à vos données :

<form version="1.1" theme="light">
 <label>Session Recording Events Analysis</label>
 <fieldset submitButton="false">
  <input type="time" token="time_field">
   <label></label>
   <default>
    <earliest>-24h@h</earliest>
    <latest>now</latest>
  </default>
 </input>
 <input type="dropdown" token="Server">
  <label>Server</label>
  <default>*</default>
  <initialValue>*</initialValue>
  <fieldForValue>Server</fieldForValue>
  <search>
   <query>index= sourcetype= source=
| table dvc
| rename dvc as Server
| dedup Server
| sort Server</query>
     <earliest>$time_field.earliest$</earliest>
     <latest>$time_field.latest$</latest>
    </search>
   </input>
   <input type="dropdown" token="Site">
    <label>Site</label>
    <default>*</default>
    <initialValue>*</initialValue>
    <fieldForValue>Site</fieldForValue>
    <search>
     <query>index="" sourcetype= source=
| table tenant.srSiteId
| rename tenant.srSiteId  as Site
| dedup Site
| sort Site</query>
     <earliest>$time_field.earliest$</earliest>
     <latest>$time_field.latest$</latest>
    </search>
   </input>
   <input type="dropdown" token="VDA">
    <label>VDA</label>
    <default>*</default>
    <initialValue>*</initialValue>
    <fieldForValue>VDA</fieldForValue>
    <search>
     <query>index= sourcetype= source=
| table payload.deviceId
| rename payload.deviceId as VDA
| dedup VDA
| sort VDA</query>
     <earliest>$time_field.earliest$</earliest>
     <latest>$time_field.latest$</latest>
    </search>
   </input>
   <input type="dropdown" token="User">
    <label>User</label>
    <default>*</default>
    <initialValue>*</initialValue>
    <fieldForValue>User</fieldForValue>
    <search>
     <query>index= sourcetype= source=
| table payload.user
| rename payload.user as User
| dedup User
| sort User</query>
    <earliest>$time_field.earliest$</earliest>
    <latest>$time_field.latest$</latest>
  </search>
 </input>
</fieldset>
<row>
 <panel>
  <table>
    <title>Web Browsing - Top visisted Websites</title>
    <search>
     <query>index= sourcetype= source=
| search type=Citrix.EventMonitor.WebBrowsing
| spath payload.ExtEventData1
| stats count by payload.ExtEventData1
| sort count desc
| rename payload.ExtEventData1 as WebSites</query>
      <earliest>$time_field.earliest$</earliest>
      <latest>$time_field.latest$</latest>
      <sampleRatio>1</sampleRatio>
     </search>
     <option name="dataOverlayMode">none</option>
     <option name="drilldown">none</option>
     <option name="percentagesRow">false</option>
     <option name="rowNumbers">false</option>
     <option name="totalsRow">false</option>
     <option name="wrap">true</option>
     <format type="color" field="FunctionFailed">
      <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
      <scale type="threshold">1</scale>
     </format>
    </table>
   </panel>
   <panel>
    <chart>
     <title>Web Browsing - Browsers Distribution</title>
     <search>
      <query>index= sourcetype= source=
| search type=Citrix.EventMonitor.WebBrowsing
| spath payload.ExtEventData3
| stats count by payload.ExtEventData3|sort count desc</query>
       <earliest>$time_field.earliest$</earliest>
       <latest>$time_field.latest$</latest>
       <sampleRatio>1</sampleRatio>
      </search>
      <option name="charting.chart">pie</option>
      <option name="charting.drilldown">none</option>
      <option name="refresh.display">progressbar</option>
     </chart>
   </panel>
   <panel>
    <table>
     <title>Screen Time (mins)</title>
     <search>
       <query>index= sourcetype= source=
| spath "payload.type"
| search "payload.type"="Citrix.EventMonitor.TopMost"
| rename payload.ExtEventData1 as AppName, payload.deviceId as DeviceId
| eval time=strptime(st, "%Y-%m-%dT%H:%M:%S.%7N")
| sort DeviceId time
| streamstats current=f window=1 last(time) as last_time by DeviceId
| eval time_diff = if(isnull(last_time), null(), time - last_time)
| table time, DeviceId, AppName, time_diff |eval time_diff = time_diff/60
| stats sum(time_diff) by AppName |sort by sum(time_diff) desc |rename sum(time_diff) as ScreenTime</query>
       <earliest>$time_field.earliest$</earliest>
       <latest>$time_field.latest$</latest>
       <sampleRatio>1</sampleRatio>
      </search>
      <option name="dataOverlayMode">none</option>
      <option name="drilldown">none</option>
      <option name="percentagesRow">false</option>
      <option name="refresh.display">progressbar</option>
      <option name="rowNumbers">false</option>
      <option name="totalsRow">false</option>
      <option name="wrap">true</option>
      <format type="color" field="FunctionFailed">
       <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
       <scale type="threshold">1</scale>
      </format>
     </table>
    </panel>
   </row>
   <row>
    <panel>
     <table>
      <title>Application - Top started Application</title>
      <search>
       <query>index= sourcetype= source=
| search type=Citrix.EventMonitor.AppStart
| spath payload.ExtEventData2
| stats count by payload.ExtEventData2
| sort count desc
| rename payload.ExtEventData2 as AppName</query>
      <earliest>$time_field.earliest$</earliest>
      <latest>$time_field.latest$</latest>
      <sampleRatio>1</sampleRatio>
     </search>
     <option name="dataOverlayMode">none</option>
     <option name="drilldown">none</option>
     <option name="percentagesRow">false</option>
     <option name="rowNumbers">false</option>
     <option name="totalsRow">false</option>
     <option name="wrap">true</option>
     <format type="color" field="FunctionFailed">
      <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
      <scale type="threshold">1</scale>
     </format>
    </table>
   </panel>
   <panel>
    <table>
     <title>Application - Top unexpceted exit application</title>
     <search>
      <query>index= sourcetype= source=
| search type=Citrix.EventMonitor.UnexpectedAppExit
| spath payload.ExtEventData2
| stats count by payload.ExtEventData2
| sort count desc
| rename payload.ExtEventData2 as AppPath
| eval AppNameSplit = split(AppPath, "\\")
| eval AppName = mvindex(AppNameSplit, -1)
| table AppName|stats count by AppName</query>
       <earliest>$time_field.earliest$</earliest>
       <latest>$time_field.latest$</latest>
       <sampleRatio>1</sampleRatio>
      </search>
      <option name="dataOverlayMode">none</option>
      <option name="drilldown">none</option>
      <option name="percentagesRow">false</option>
      <option name="refresh.display">progressbar</option>
      <option name="rowNumbers">false</option>
      <option name="totalsRow">false</option>
      <option name="wrap">true</option>
      <format type="color" field="FunctionFailed">
       <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
       <scale type="threshold">1</scale>
      </format>
     </table>
    </panel>
    <panel>
     <table>
     <title>Application - Top no responding application</title>
     <search>
      <query>index= sourcetype= source=
| search type=Citrix.EventMonitor.AppNotResponding
| spath payload.ExtEventData2
| stats count by payload.ExtEventData2
| sort count desc
| rename payload.ExtEventData2 as AppPath
| eval AppNameSplit = split(AppPath, "\\")
| eval AppName = mvindex(AppNameSplit, -1)
| table AppName|stats count by AppName</query>
       <earliest>$time_field.earliest$</earliest>
       <latest>$time_field.latest$</latest>
       <sampleRatio>1</sampleRatio>
      </search>
      <option name="dataOverlayMode">none</option>
      <option name="drilldown">none</option>
      <option name="percentagesRow">false</option>
      <option name="refresh.display">progressbar</option>
      <option name="rowNumbers">false</option>
      <option name="totalsRow">false</option>
      <option name="wrap">true</option>
      <format type="color" field="FunctionFailed">
       <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
       <scale type="threshold">1</scale>
      </format>
     </table>
    </panel>
   </row>
   <row>
    <panel>
     <table>
      <title>File Transfer - Top transfered in file count</title>
      <search>
       <query>index= sourcetype= source=type="Citrix.EventMonitor.FileTransfer"
| spath payload.ExtEventData3
| search payload.ExtEventData3 = "Host:*"
| rename payload.ExtEventData3 as filePath
| eval fileSplit = split(filePath, "\\")
| eval FileName = mvindex(fileSplit, -1)
| table FileName
| stats count by FileName
| sort bv count desc</query>
       <earliest>$time_field.earliest$</earliest>
       <latest>$time_field.latest$</latest>
       <sampleRatio>1</sampleRatio>
      </search>
      <option name="dataOverlayMode">none</option>
      <option name="drilldown">none</option>
      <option name="percentagesRow">false</option>
      <option name="rowNumbers">false</option>
      <option name="totalsRow">false</option>
      <option name="wrap">true</option>
      <format type="color" field="FunctionFailed">
       <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
       <scale type="threshold">1</scale>
      </format>
     </table>
    </panel>
    <panel>
     <table>
      <title>File Transfer - Top transfered in file size by user</title>
      <search>
       <query>index= sourcetype= source=type="Citrix.EventMonitor.FileTransfer"
| spath payload.ExtEventData3
| search payload.ExtEventData3 = "Host:*"
| rename payload.ExtEventData4 as filesize
| eval filesize_mb =
   case(
   like(filesize, "% B"), tonumber(replace(filesize, " B", "")) / 1024 /1024,
   like(filesize, "% KB"), tonumber(replace(filesize, " KB", "")) / 1024,
   like(filesize, "% MB"), tonumber(replace(filesize, " MB", "")),
   like(filesize, "% GB"), tonumber(replace(filesize, " GB", "")) * 1024,
   like(filesize, "% TB"), tonumber(replace(filesize, " TB", "")) * 1024 * 1024
   )
| table payload.user, filesize_mb
| stats sum by payload.user |rename sum(filesize_mb) as FileSize(MB), payload.user as User</query>
        <earliest>$time_field.earliest$</earliest>
        <latest>$time_field.latest$</latest>
        <sampleRatio>1</sampleRatio>
       </search>
       <option name="dataOverlayMode">none</option>
       <option name="drilldown">none</option>
       <option name="percentagesRow">false</option>
       <option name="refresh.display">progressbar</option>
       <option name="rowNumbers">false</option>
       <option name="totalsRow">false</option>
       <option name="wrap">true</option>
       <format type="color" field="FunctionFailed">
        <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
        <scale type="threshold">1</scale>
       </format>
      </table>
     </panel>
     <panel>
      <table>
       <title>File Transfer - Top transfered out file count by user</title>
       <search>
        <query>index= sourcetype= source=type="Citrix.EventMonitor.FileTransfer"
| spath payload.ExtEventData2
| search payload.ExtEventData2 = "Host:*"
| table payload.user, payload.ExtEventData2
| stats count by payload.user
| rename payload.user as User</query>
      <earliest>$time_field.earliest$</earliest>
      <latest>$time_field.latest$</latest>
      <sampleRatio>1</sampleRatio>
     </search>
     <option name="dataOverlayMode">none</option>
     <option name="drilldown">none</option>
     <option name="percentagesRow">false</option>
     <option name="rowNumbers">false</option>
     <option name="totalsRow">false</option>
     <option name="wrap">true</option>
     <format type="color" field="FunctionFailed">
      <colorPalette type="list">[#118832,#D41F1F]</colorPalette>
      <scale type="threshold">1</scale>
     </format>
    </table>
   </panel>
  </row>
 </form>
<!--NeedCopy-->

La version officielle de la documentation de ce produit est en anglais. Toute version dans une langue autre que l’anglais est fournie uniquement à titre indicatif et peut inclure du contenu traduit automatiquement. Pour en savoir plus, veuillez consulter la clause de non-responsabilité relative à la traduction automatique sur Cloud Software Group home.

Cela vous a-t-il été utile ?

Intégration SIEM tierce

August 1, 2026

Contributeur:

C C

August 1, 2026

Contributeur:

C C

Cela vous a-t-il été utile ?