エラスティックサーチ連携

前提条件

• 少なくとも1つのデータソースでデータ処理をオンにします。これにより、Citrix Analytics for Security™がElasticsearch連携プロセスを開始するのに役立ちます。
• 以下のエンドポイントがネットワークの許可リストに含まれていることを確認してください。

  エンドポイント	米国リージョン	欧州連合リージョン	アジア太平洋南部リージョン
  Kafkaブローカー	casnb-0.citrix.com:9094	casnb-eu-0.citrix.com:9094	casnb-aps-0.citrix.com:9094
  	casnb-1.citrix.com:9094	casnb-eu-1.citrix.com:9094	casnb-aps-1.citrix.com:9094
  	casnb-2.citrix.com:9094	casnb-eu-2.citrix.com:9094	casnb-aps-2.citrix.com:9094
  	casnb-3.citrix.com:9094

Elasticsearch と統合する

1. 設定 > データエクスポート に移動します。
2. アカウント設定 セクションで、ユーザー名とパスワードを指定してアカウントを作成します。このアカウントは、統合に必要な設定ファイルの準備に使用されます。
   
3. パスワードが以下の条件を満たしていることを確認してください。
   
4. 設定 をクリックして、Logstash 設定ファイルを生成します。
   
5. SIEM環境セクションからElastic Searchタブを選択し、構成ファイルをダウンロードします。
   • Logstash設定ファイル: Logstashデータ収集エンジンを使用して、Citrix Analytics for SecurityからElasticsearchにイベントを送信するための設定データ（入力、フィルター、出力セクション）が含まれています。Logstash設定ファイルの構造については、Logstashドキュメントを参照してください。
   • JKSファイル: SSL接続に必要な証明書が含まれています。
     注
     これらのファイルには機密情報が含まれています。安全な場所に保管してください。
     
6. Logstashを構成します。
   1. LinuxまたはWindowsホストマシンにLogstashをインストールします。既存のLogstashインスタンスを使用することもできます。
   2. Logstashをインストールしたホストマシンで、指定されたディレクトリに以下のファイルを配置します。

      ホストマシンの種類	ファイル名	ディレクトリパス
      リナックス	CAS_Elasticsearch_LogStash_Config.config	Debian および RPM パッケージの場合: /etc/logstash/conf.d/
      		.zip および .tar.gz アーカイブの場合: {extract.path}/config
      	kafka.client.truststore.jks	Debian および RPM パッケージの場合: /etc/logstash/ssl/
      		.zip および .tar.gz アーカイブの場合: {extract.path}/ssl
      ウィンドウズ	CAS_Elasticsearch_LogStash_Config.config	C:\logstash-7.xx.x\config
      	kafka.client.truststore.jks

      Logstash インストールパッケージのデフォルトのディレクトリ構造については、Logstash ドキュメントを参照してください。
   3. Logstash 設定ファイルを開き、次の操作を行います。
      1. ファイルの入力セクションに、次の情報を入力します。
         • パスワード: 設定ファイルを準備するために Citrix Analytics for Security で作成したアカウントのパスワード。
         • SSL トラストストアの場所: SSL クライアント証明書の場所。これは、ホストマシン上の kafka.client.truststore.jks ファイルの場所です。
         
      2. ファイルの出力セクションで、ホストマシンまたはElasticsearchが実行されているクラスターのアドレスを入力します。
         
   4. Citrix Analytics for Securityから処理済みデータをElasticsearchに送信するには、ホストマシンを再起動します。

データ転送のオン/オフを切り替える

1. 設定 > データエクスポートに移動します。
2. データ転送を無効にするには、トグルボタンをオフにします。デフォルトでは、データ転送は常に有効になっています。
   
   確認のための警告ウィンドウが表示されます。転送アクティビティを停止するには、データ転送をオフにするボタンをクリックします。