マイクロソフト センチネル 統合
Citrix® Monitor の Kafka データエクスポートは、Logstash を介して Secure Private Access (SPA) および Device Posture Service (DPS) イベントを Microsoft Sentinel にストリーミングできます。Microsoft Sentinel コンテンツハブの Citrix SPA Sentinel App は、Logstash がイベントを転送するために必要なデータコネクタと接続情報を提供します。
Microsoft Sentinel と統合するには、以下のセクションで説明するように、コンテンツハブから Citrix SPA Sentinel App ソリューションをインストールし、Logstash を構成します。
前提条件
- Microsoft Sentinel ワークスペースと、コンテンツハブからソリューションをインストールする権限。
- Microsoft Sentinel 出力プラグインでサポートされている Logstash バージョンを実行している Logstash ホスト。サポートされているバージョンについては、Logstash プラグインの前提条件 を参照してください。
-
お使いの地域の Kafka データエクスポートブローカーエンドポイントが、ネットワークの許可リストに含まれていることを確認してください。
エンドポイント 米国リージョン 欧州連合リージョン アジア太平洋南部リージョン Kafka ブローカー casnb-0.citrix.com:9094casnb-eu-0.citrix.com:9094casnb-aps-0.citrix.com:9094casnb-1.citrix.com:9094casnb-eu-1.citrix.com:9094casnb-aps-1.citrix.com:9094casnb-2.citrix.com:9094casnb-eu-2.citrix.com:9094casnb-aps-2.citrix.com:9094casnb-3.citrix.com:9094Kafkaブローカーへのネットワーク接続を検証するには、お使いの環境で次のコマンドを実行し、成功することを確認します。エンドポイントを、お使いのリージョンのブローカーに置き換えてください。
telnet casnb-0.citrix.com 9094 openssl s_client -tls1_3 -connect casnb-0.citrix.com:9094 -showcerts < /dev/null <!--NeedCopy-->
Citrix SPA Sentinelアプリをインストールする
- Azure portalで、Microsoft Sentinelを開き、ワークスペースを選択します。
- コンテンツ管理で、コンテンツハブをクリックします。
-
Citrix SPA Sentinel Appを検索し、インストールをクリックします。
-
構成 > データコネクタに移動し、ソリューションに付属のデータコネクタを開きます。コネクタページを開くをクリックします。
-
コネクタ リソース (データ収集ルール (DCR) と認証に使用される Microsoft Entra アプリケーションを含む) を展開します。展開が完了したら、データ コネクタ ページに表示される接続情報を開いたままにしておきます。次の手順で、これを Logstash 構成に貼り付けます。
コネクタ リソースを展開する(/en-us/citrix-daas/media/sentinel-integration-deploy-connector-res.png)
注:
セキュリティ上の理由から、Entra アプリ登録シークレットは一度しか表示されません。データ コネクタ ページを離れるか更新すると、表示されなくなります。リソースの展開中に、表示され次第シークレットをコピーして保存してください。コピーする前にEntra アプリ登録シークレットが消えてしまった場合は、アクセスを取り消すをクリックして Entra アプリケーションを削除し、データ コネクタを削除してから、コネクタ リソースを再度展開して新しいシークレットを生成してください。
Logstash を構成する
-
Citrix Monitor で、統合とデータのエクスポート > 開発者ツール > Kafka を開いてKafka 構成ページを表示し、アカウントを作成して構成ファイルをダウンロードします。
- アカウント設定セクションを完了して、Kafka アカウントの資格情報を作成します。詳細な手順については、「アカウント設定」を参照してください。
- 可観測性プラットフォームのセットアップセクションを展開し、Azure Sentinelタブを選択します。
- アカウント用に生成された Logstash 構成ファイルと JKS トラストストアをダウンロードします。
- Logstash ホストに、Logstash と Microsoft Sentinel 出力プラグイン をインストールします。
-
Logstash をインストールしたホスト マシンで、ダウンロードしたファイルを指定されたディレクトリに配置します。
ホスト マシンの種類 ファイル名 ディレクトリ パス リナックス DIRECTOR_AzureSentinel_LogStash_Config.conf DebianおよびRPMパッケージの場合: /etc/logstash/conf.d/.zipおよび.tar.gzアーカイブの場合: {extract.path}/configkafka.client.truststore.jks DebianおよびRPMパッケージの場合: /etc/logstash/ssl/.zipおよび.tar.gzアーカイブの場合: {extract.path}/sslウィンドウズ DIRECTOR_AzureSentinel_LogStash_Config.conf C:\logstash-x.xx.x\configkafka.client.truststore.jks -
Logstash構成ファイルを開き、次の操作を行います。
-
ファイルの入力セクションに、次を入力します。
- パスワード: Citrix Monitorでアカウント設定中に作成したアカウントのパスワード（統合とデータのエクスポート > 開発者ツール > Kafka）。
- SSLトラストストアの場所: SSLクライアント証明書の場所。これは、ホストマシン上のkafka.client.truststore.jksファイルの場所です。
-
「出力 (Microsoft Sentinel)」セクションで、Citrix SPA Sentinelアプリのインストール の手順5から接続情報を貼り付けます — データ収集エンドポイント (DCE)、データ収集ルール (DCR) の不変ID、およびEntraアプリケーション資格情報 (テナントID、クライアントID、Entraアプリ登録シークレット)。
出力セクション(/en-us/citrix-daas/media/sentinel-integration-sentinel-output.png)
-
- 構成を適用するためにLogstashを再起動します。
SPAおよびDPSイベントタイプを選択する
Kafka Data Exports ページのエクスポートするデータイベントから、Kafka Data ExportsがSentinelにストリームするイベントタイプを選択します。
- Secure Private Access — アプリ起動、アプリ終了、クリップボード、ファイル印刷、URL、ファイルダウンロード、および関連するイベントタイプ。
- Device Posture Service — デバイスポスチャ評価イベント。
アップストリームのKafkaエクスポートの詳細については、Secure Private AccessのKafkaからデータをエクスポートする を参照してください。
データ取り込みの確認
Logstashが転送を開始すると、数分以内にMicrosoft Sentinelワークスペースにイベントが表示されます。データコネクタページの受信データインジケーターを確認して、取り込みが開始されたことを確認します。
イベントがテーブルに到達していることを確認するには、Microsoft Sentinel > ログを開き、次のクエリを実行します。
CitrixAnalytics_SPA_Events_V1_CL
| where TimeGenerated > ago(24h)
| summarize count() by event_type, event_category
| order by count_ desc
<!--NeedCopy-->
このクエリは、過去24時間のイベント数をイベントタイプとカテゴリ別にグループ化して返します。結果が返された場合、データは正常に取り込まれています。
ワークブックの表示
Citrix SPA Sentinelアプリにはワークブックテンプレートが付属しています。これを使用するには、Microsoft Sentinel > 脅威管理 > ワークブック > テンプレートを開き、Citrix Analytics CCFワークブックを選択して、保存をクリックします。その後、保存されたワークブックの表示を選択して開きます。
ワークブックを保存(/en-us/citrix-daas/media/sentinel-integration-workbook-save.png)
ワークブックには、Secure Private Access タブがあり、SPAとDPSのアクティビティを視覚化します。
Secure Private Access ダッシュボード(/en-us/citrix-daas/media/sentinel-integration-workbook-spadashboard.png)
ワークブックテンプレートは出発点です。すべてのイベントがCitrixAnalytics_SPA_Events_V1_CLテーブルに保存されているため、ニーズに合わせて独自の視覚化を作成することもできます。— カスタムKustoクエリを記述し、組織に最も関連性の高いメトリックとインサイトを強調するワークブックやダッシュボードを構築できます。