KafkaまたはLogstashベースのデータコネクタを使用したSIEM統合

最終公開日 : Oct 24, 2026
Citrix Analytics for Security™ SIEM統合により、Citrix AnalyticsからSIEM環境にユーザーデータをエクスポートして関連付けることができ、組織のセキュリティ体制に関するより深い洞察を得ることができます。
統合の利点と、SIEMに送信されるデータイベントのタイプ（リスクインサイトとデータソースイベント）の詳細については、セキュリティ情報およびイベント管理の統合を参照してください。
Citrix Analytics for Securityは、次の2つのメカニズム（SIEMおよびIT展開でサポートされている）を介してSIEMソリューションと統合できます。
  1. Kafkaエンドポイント経由で接続
  2. Kafkaベースの取り込みによるLogstashデータブローカー経由で接続
Related information
セキュリティ情報およびイベント管理 (SIEM) 統合

前提条件

  • 少なくとも1つのデータソースでデータ処理をオンにします。これにより、Citrix Analytics for SecurityはSIEMツールとの統合を開始できます。
  • 次のエンドポイントがネットワークの許可リストに含まれていることを確認してください。
    エンドポイント 米国リージョン 欧州連合リージョン アジア太平洋南部リージョン
    Kafkaブローカー casnb-0.citrix.com:9094 casnb-eu-0.citrix.com:9094 casnb-aps-0.citrix.com:9094
    casnb-1.citrix.com:9094 casnb-eu-1.citrix.com:9094 casnb-aps-1.citrix.com:9094
    casnb-2.citrix.com:9094 casnb-eu-2.citrix.com:9094 casnb-aps-2.citrix.com:9094
    casnb-3.citrix.com:9094

Kafkaを使用してSIEMサービスと統合する

Kafkaはオープンソースソフトウェアであり、データのリアルタイムストリーミングに使用されます。Kafkaを使用すると、リアルタイムデータを分析して、より迅速なインサイトを得ることができます。主に、十分なデータを扱う大規模な組織がKafkaを使用しています。
ノースバウンドKafkaは、Citrix AnalyticsがKafkaエンドポイントを介してSIEM顧客とリアルタイムデータフィードを共有できるようにする内部ミドルレイヤーです。SIEMがKafkaエンドポイントをサポートしている場合は、Logstash設定ファイルで提供されているパラメータと、JKSファイルまたはPEMファイル内の証明書詳細を使用して、SIEMをCitrix Analytics for Securityと統合します。
Kafkaを使用して統合するには、以下のパラメータが必要です。
属性名 説明 設定データ例
ユーザー名 Kafkaによって提供されるユーザー名。 'sasl.username': cas_siem_user_name,,
ホスト 接続したいKafkaサーバーのホスト名。 'bootstrap.servers': cas_siem_host,,
トピック名/クライアントID 各テナントに割り当てられたクライアントID。 'client.id': cas_siem_topic,,
グループ名/ID コンシューマーによって共有されたメッセージを読み取るために必要なグループ名。 'group.id': cas_siem_group_id,,
セキュリティプロトコル セキュリティプロトコルの名前。 'security.protocol': 'SASL_SSL',,
SASLメカニズム セキュアな認証を実装するために、通常暗号化に使用される認証メカニズム。 'sasl.mechanisms': 'SCRAM-SHA-256',,
SSLトラストストアの場所 証明書ファイルを保存できる場所。クライアントトラストストアのパスワードはオプションであり、空のままにすることが想定されています。 'ssl.ca.location': ca_location
セッションタイムアウト Kafkaの使用中にクライアントの障害を検出するために使用されるセッションタイムアウト。 'session.timeout.ms': 60000,,
自動オフセットリセット 初期オフセットがない場合に、トピックパーティションからデータを消費する際の動作を定義します。latest、earliest、noneなどの値を設定できます。 'auto.offset.reset': 'earliest',,
以下は、設定出力のサンプルです。
{'bootstrap.servers': cas_siem_host,
                    'client.id': cas_siem_topic,
                    'group.id': cas_siem_group_id,
                    'session.timeout.ms': 60000,
                    'auto.offset.reset': 'earliest',
                    'security.protocol': 'SASL_SSL',
                    'sasl.mechanisms': 'SCRAM-SHA-256',
                    'sasl.username': cas_siem_user_name,
                    'sasl.password': self.CLEAR_PASSWORD,
                    'ssl.ca.location': ca_location
            }
Kafka用に設定されたアカウント
前述のパラメーターは、Logstash設定ファイルで利用できます。設定ファイルをダウンロードするには、設定 > データエクスポート > SIEM環境 に移動し、その他タブを選択して、Logstash設定ファイルのダウンロードをクリックします。
Logstash設定ファイルのダウンロード
設定値の詳細については、構成を参照してください。

データフロー

認証データの通信は、Kafkaサーバー側のブローカー (Citrix Analytics for Securityクラウド) とKafkaクライアントの間で行われます。すべてのブローカー/外部クライアントの通信は、有効なSASL_SSLセキュリティプロトコルを使用し、公開アクセスには9094ポートをターゲットとします。
Apache Kafkaには、SSL暗号化を使用して転送中のデータを暗号化するためのセキュリティコンポーネントがあります。 暗号化が有効になり、SSL証明書が設定されている場合、ネットワーク経由のデータ送信は暗号化され、保護されます。最初と最後のマシンのみが、SSL経由で送信されるパケットを復号化する能力を持っています。

認証

以下の2つのレベルの認証が利用可能です。
  1. TLS/クライアントとサーバー間。
    • クライアントとサーバー間で交換されるTLS認証用のサーバー証明書（公開鍵）。
    • クライアントベース認証または双方向認証はサポートされていません（クライアント秘密鍵証明書が必要な場合）。
  2. TOPICS/エンドポイントへのアクセス制御のためのユーザー名/パスワード
    • 特定のクライアントが特定の顧客トピックからのみ読み取れるようにする
    • SASL/SCRAMは、安全な認証を実装するために、TLS暗号化とともにユーザー名/パスワード認証メカニズムとして使用されます。

SSLによる暗号化とSASL/SSLおよびSASL/PLAINTEXTによる認証

デフォルトでは、Apache KafkaはPLAINTEXTで通信し、すべてのデータは平文で送信され、ルーターのいずれかがデータコンテンツを読み取ることができます。Apache Kafkaには、SSL暗号化を使用して転送中のデータを暗号化するセキュリティコンポーネントがあります。暗号化を有効にし、SSL証明書を慎重に設定することで、データは暗号化され、ネットワーク経由で安全に送信されます。SSL暗号化を使用すると、最初と最後のマシンだけが送信されるパケットを復号化する能力を持ちます。
双方向SSL暗号化が使用されているため、ユーザー名/パスワードログインは外部通信に対して安全です。
暗号化は転送中のみであり、データはブローカーのディスク上では暗号化されていないままです。
SSL暗号化
クライアント構成では、クライアントトラストストアJKSファイルとPEMファイル（トラストストアJKSファイルから変換されたもの）が必要です。これらのファイルは、次のスクリーンショットに示すように、Citrix Analytics for Security GUIからダウンロードできます。
構成ファイルのダウンロード

Logstashを使用したSIEM統合

お使いのSIEMがKafkaエンドポイントをサポートしていない場合は、Logstashデータ収集エンジンを使用できます。Citrix Analytics for SecurityからLogstashでサポートされている出力プラグインのいずれかにデータイベントを送信できます。
以下のセクションでは、Logstashを使用してSIEMをCitrix Analytics for Securityと統合するために従う必要がある手順について説明します。

Logstashを使用してSIEMサービスと統合する

  1. 設定 > データエクスポートに移動します。
  2. アカウント設定ページで、ユーザー名とパスワードを指定してアカウントを作成します。このアカウントは、統合に必要となる構成ファイルを準備するために使用されます。
    SIEM構成ページ
  3. パスワードが以下の条件を満たしていることを確認してください。
    SIEMパスワード要件
  4. Configureを選択して、Logstash設定ファイルを生成します。
    他のSIEMを構成する
  5. Othersタブを選択して、設定ファイルをダウンロードします。
    • Logstash設定ファイル: このファイルには、Logstashデータ収集エンジンを使用してCitrix Analytics for Securityからイベントを送信するための構成データ（入力、フィルター、出力セクション）が含まれています。Logstash設定ファイルの構造については、Logstashドキュメントを参照してください。
    • JKSファイル: このファイルには、SSL接続に必要な証明書が含まれています。Logstashを使用してSIEMを統合する場合、このファイルが必要です。
    • PEMファイル: このファイルには、SSL接続に必要な証明書が含まれています。Kafkaを使用してSIEMを統合する場合、このファイルが必要です。
      注
      これらのファイルには機密情報が含まれています。安全でセキュアな場所に保管してください。
    その他タブを選択
  6. Logstashを構成する:
    1. LinuxまたはWindowsホストマシンにLogstashをインストールします（Citrix Analytics for Securityとの互換性がテストされたバージョン：v7.17.7およびv8.5.3）。既存のLogstashインスタンスを使用することもできます。
    2. Logstashをインストールしたホストマシンで、指定されたディレクトリに以下のファイルを配置します。
      ホストマシンの種類 ファイル名 ディレクトリパス
      リナックス CAS_Others_LogStash_Config.config DebianおよびRPMパッケージの場合: /etc/logstash/conf.d/
      .zipおよび.tar.gzアーカイブの場合: {extract.path}/config
      kafka.client.truststore.jks DebianおよびRPMパッケージの場合: /etc/logstash/ssl/
      .zipおよび.tar.gzアーカイブの場合: {extract.path}/ssl
      ウィンドウズ CAS_Others_LogStash_Config.config C:\logstash-7.xx.x\config
      kafka.client.truststore.jks C:\logstash-7.xx.x\config
    3. Logstash設定ファイルには、Kafkaの認証情報、LogAnalyticsワークスペースID、プライマリキーなどの機密情報が含まれています。これらの機密認証情報をプレーンテキストとして保存しないことをお勧めします。統合を保護するために、Logstashキーストアを使用して、それぞれの値を持つキーを追加し、設定ファイル内でキー名を使用して参照できます。Logstashキーストアと、それが設定のセキュリティをどのように強化するかについての追加情報については、安全な設定のためのシークレットキーストアを参照してください。
    4. Logstash設定ファイルを開き、以下を実行します。
      ファイルの入力セクションに、以下の情報を入力します。
      • パスワード: 設定ファイルを準備するためにCitrix Analytics for Securityで作成したアカウントのパスワード。
      • SSLトラストストアの場所: SSLクライアント証明書の場所。これは、ホストマシン上のkafka.client.truststore.jksファイルの場所です。
      その他のSIEM入力セクション
      ファイルの出力セクションで、データを送信する宛先パスまたは詳細を入力します。出力プラグインの詳細については、Logstashドキュメントを参照してください。
      次のスニペットは、出力がローカルログファイルに書き込まれることを示しています。
      その他のSIEM出力セクション
    5. Citrix Analytics for SecurityからSIEMサービスに処理済みデータを送信するには、ホストマシンを再起動します。
設定が完了したら、SIEMサービスにログインし、SIEMでCitrix Analyticsデータを確認します。

データ転送のオン/オフ

Citrix Analytics for Securityが設定ファイルを準備すると、SIEMのデータ転送がオンになります。
Citrix Analytics for Securityからのデータ転送を停止するには：
  1. 設定 > データエクスポートに移動します。
  2. トグルボタンをオフにして、データ転送を無効にします。デフォルトでは、データ転送は常に有効になっています。
    SIEM転送をオフにする
    確認のための警告ウィンドウが表示されます。データ転送をオフにするボタンをクリックして、転送アクティビティを停止します。
    「SIEM送信オフ警告」(/en-us/citrix-analytics/media/siem-turn-off-warning.png)
データ送信を再度有効にするには、トグルボタンをオンにします。
注
SIEM統合に関する支援、SIEMへのデータエクスポート、またはフィードバックの提供を要請するには、mailto:CAS-PM-Ext@cloud.comに連絡してください。