脅威分析とデータ相関のためのCitrix Analytics SIEMデータモデルの活用

最終公開日 : Oct 24, 2026
この記事では、顧客のSIEM環境に送信されるイベントによって示されるエンティティデータ関係について説明します。これを明確にするために、クライアントIPとOSという属性が焦点となる脅威ハンティングシナリオの例を見てみましょう。以下の方法で、これらの属性をユーザーと関連付ける方法について説明します。
  • カスタムリスクインジケーターのインサイトを使用する
  • データソースイベントを使用する
以下の例では、SplunkがSIEM環境として紹介されています。同様のデータ相関は、Citrix Analyticsによるワークブックテンプレートを使用してSentinelでも実行できます。詳細については、Citrix Analytics workbook for Microsoft Sentinelを参照してください。
Related information
セキュリティ情報およびイベント管理 (SIEM) 統合

カスタムリスクインジケーターのインサイト

Citrix Analytics data exports format for SIEMで述べられているように、インジケーターの概要とイベント詳細のインサイトは、デフォルトのリスクインサイトデータセットの一部です。Citrix Virtual Apps and Desktopsのインジケーターデータセットの場合、クライアントIPとOSはデフォルトでエクスポートされます。したがって、管理者がこれらのフィールドを含む条件の有無にかかわらずカスタムインジケーターを設定した場合、これらのデータポイントはSplunk環境に流れ込みます。

Citrix Analyticsでのカスタムリスクインジケーターの設定

  1. Citrix Analytics for Security™ダッシュボード > カスタムリスクインジケーター > インジケーターの作成に移動します。ユーザーの行動を監視するのに役立つ任意の条件でカスタムリスクインジケーターを作成できます。カスタムインジケーターを設定すると、関連する条件をトリガーしたすべてのユーザーがSplunk環境に表示されます。
    カスタムリスクインジケーターの設定
  2. Citrix Analytics for Securityで作成されたリスクインジケーターの発生状況を表示するには、セキュリティ > ユーザーに移動します。ページの下部に移動し、プラス (+) アイコンをクリックします。
    作成されたリスクインジケーターの発生状況を表示
    リスクインジケーターカードが表示されます。リスクインジケーター、重大度、および発生状況の詳細を表示できます。
    リスクインジケーターの詳細
  3. 詳細を見るをクリックします。リスクインジケーターの概要ページが表示されます。
    リスクインジケーターの概要
    「リスクインジケーターの概要」ページでは、インジケーターをトリガーしたユーザーの詳細を、詳細なタイムラインビューとユーザーサマリーで確認できます。タイムラインの詳細については、「ユーザーリスクのタイムラインとプロファイル」を参照してください。
    ユーザーリスクのタイムラインとプロファイル

Splunkでのリスクインジケーターの発生 - 生クエリ

Splunk EnterpriseでCitrix Analytics for Securityアドオンのデータ入力を設定する際に、Splunkインフラストラクチャ管理者が使用したインデックスとソースタイプを使用することで、クライアントIPとOS情報を取得することもできます。
  1. Splunk > 新しい検索に移動します。検索クエリに、次のクエリを入力して実行します。
    index=<index configured by you> sourcetype=<sourcetype configured by you> AND "<tenant_id>" AND "<indicator name configured by you on CAS>" AND "<user you are interested in>"
    クエリ1a
  2. indicator_uuid を取得し、次のクエリを実行します。
    index=<index configured by you> sourcetype=<sourcetype configured by you> "<tenant_id>" AND "<indicator_uuid>"
    クエリ2a
    イベント結果には、インジケーターイベントの概要とインジケーターイベントの詳細（インジケーターによってトリガーされるアクティビティ）が含まれます。イベント詳細には、クライアントIPとOS情報（名前、バージョン、追加情報）が含まれます。
データ形式の詳細については、「SIEM向けCitrix Analyticsデータエクスポート形式」を参照してください。

Splunkでのリスクインジケーターの発生 - ダッシュボードアプリ

Splunk用Citrix Analyticsアプリのインストール方法については、以下の記事を参照してください。
  1. 「Citrix Analytics – Dashboard」タブをクリックし、ドロップダウンリストから「Risk Indicator Details」オプションを選択します。
    リスクインジケーターの詳細オプション(/en-us/citrix-analytics/media/risk-indicator-details-option.png)
  2. ドロップダウンリストからコンテンツを適切にフィルタリングし、「Submit」をクリックします。
    リスクインジケーターの詳細オプションフィルター(/en-us/citrix-analytics/media/risk-indicator-details-option-filter.png)
  3. 詳細を取得するには、ユーザーインスタンスをクリックします。
    リスクインジケーターのユーザーインスタンス(/en-us/citrix-analytics/media/risk-indicator-user-instance.png)
  4. このページの下部で、「Client IP」と「OS information」（名前、バージョン、追加情報）を表示できます。
    クライアントIPとOS情報(/en-us/citrix-analytics/media/client-ip-and-os-information.png)

データソースイベント

Splunk環境でクライアントIPとOSの詳細を取得するもう1つの方法は、エクスポート用のデータソースイベントを構成することです。この機能により、セルフサービス検索ビューに表示されるイベントがSplunk環境に直接流れるようになります。Virtual Apps and DesktopsのイベントタイプをSIEMにエクスポートするように構成する方法の詳細については、次の記事を参照してください。
  1. 「Citrix Analytic for Security dashboard > Search」に移動します。このセルフサービス検索ページでは、すべてのイベントタイプとそれに関連する情報が利用可能です。次のスクリーンショットでは、「Session.Logon」イベントタイプが例として表示されています。
    セッションログオン(/en-us/citrix-analytics/media/session-logon.png)
  2. エクスポート用のデータソースイベントで「Session.Logon」を構成し、「Save」をクリックしてSplunk環境に流れるようにします。
    セッションログオンの構成
  3. Splunk に移動し、次のクエリを入力して実行します。
    index="<index you configured>" sourcetype="<sourcetype you configured>" "<tenant_id>" AND "datasourceCVADEventDetails" AND "Session.Logon"  AND "<user you’re interested in>"
    クライアント IP と OS に関連するフィールドが強調表示されます。
    クエリ3a