Splunk 用 Citrix Analytics ダッシュボード
注
注意: Citrix Content Collaboration™ および ShareFile は、サポート終了 (EOL) に達し、ユーザーは利用できなくなりました。
この機能はプレビュー版です。
前提条件
以下の Citrix Analytics ダッシュボードを使用するには、Citrix Analytics App for Splunk をすでに構成およびセットアップしていることを確認してください。
ユーザーリスクスコアの概要
このダッシュボードは、組織内の危険なユーザーの統合ビューを提供します。ユーザーは、高、中、低のリスクレベルで分類されます。リスクレベルは、ユーザーアクティビティの異常に基づいており、それに応じてリスクスコアが割り当てられます。危険なユーザーの種類に関する詳細については、ユーザーダッシュボード を参照してください。
このダッシュボードを表示するには、Citrix Analytics- Dashboards > Citrix Analytics- User Risk Scores Overview をクリックします。
危険なユーザーのタイムラインとその詳細を表示するには、プリセットの時間範囲またはカスタムの時間範囲を選択します。
危険なユーザーの表には、次の情報が表示されます。
-
ユーザー: ユーザー名を示します。ユーザー名をクリックすると、Citrix Analytics - Entity Details ダッシュボードでユーザーの危険な行動に関する詳細が表示されます。
-
侵害されたエンドポイントのリスクが検出されました: 侵害されたエンドポイントのリスクカテゴリに属する、ユーザーによってトリガーされたリスクインジケーターの数を示します。
-
侵害されたユーザーのリスクが検出されました: 侵害されたユーザーのリスクカテゴリに属するユーザーによってトリガーされたリスクインジケーターの数を示します。
-
データ漏洩のリスクが検出されました: データ漏洩のリスクカテゴリに属するユーザーによってトリガーされたリスクインジケーターの数を示します。
-
内部脅威のリスクが検出されました: 内部脅威のリスクカテゴリに属するユーザーによってトリガーされたリスクインジケーターの数を示します。
-
リスクスコア: ユーザーのリスクスコアを示します。
ユーザー名でユーザーを検索し、必要な詳細情報を取得することもできます。
詳細については、リスクカテゴリを参照してください。
リスクインジケーターの概要
ダッシュボードには、組織内のユーザーによってトリガーされたリスクインジケーターの統合ビューが表示されます。
ダッシュボードを表示するには、Citrix Analytics - ダッシュボード > Citrix Analytics - リスクインジケーターの概要をクリックします。
レポートを表示するカテゴリを選択
1つ以上のカテゴリを選択して、リスクインジケーターを検索します。
-
期間: 事前設定された期間またはカスタム期間を選択して、その期間にトリガーされたリスクインジケーターを表示します。
-
リスクインジケーターの種類: リスクインジケーターの種類（組み込みまたはカスタム）を選択します。
-
エンティティタイプ：関連するリスクインジケーターを表示するユーザーを選択します。
-
グループ：データソース、インジケーターカテゴリ、インジケーター名、インジケータータイプ、またはエンティティタイプ別にユーザーイベントをグループ化する基準を選択し、関連するリスクインジケーターを表示します。リスクインジケーターの概要カテゴリ(/en-us/citrix-analytics/media/risk-indicator-overview-category-splunk.png)
レポートの表示
1つ以上のカテゴリを選択して、リスクインジケーターの詳細を表示するには、次のレポートを使用します。
-
トリガーされたリスクインジケーターの数：選択した期間にトリガーされたリスクインジケーターの数を表示します。このレポートを使用して、危険なアクティビティのパターンと領域を特定します。また、組織内の上位の危険なアクティビティを特定します。
-
リスクインジケーターイベントの合計および個別エンティティ数：リスクインジケーターに対応する合計イベント数とユニークイベント数を表示します。このレポートを使用して、各リスクインジケーターの発生状況と組織内の上位のリスクインジケーターを特定します。また、特定のリスクインジケーターをトリガーしたユニークユーザーの数を確認し、そのリスクインジケーターがより大規模なユーザーグループまたはより小規模なユーザーグループによってトリガーされたかどうかを確認することもできます。
-
場所別のリスクインジケーター：場所をまたいでユーザーによってトリガーされたリスクインジケーターの数を表示します。このレポートを使用して、より危険なアクティビティを示す場所を特定し、その場所が組織の運用範囲外であるかどうかを確認します。
-
リスクインジケーターの詳細：関連するデータソース、インジケーターカテゴリ、インジケータータイプ、発生回数など、リスクインジケーターに関する詳細を表示します。
リスクインジケーターの概要レポート1(/en-us/citrix-analytics/media/risk-indicator-overview-report-1.png)
リスクインジケーターの概要レポート2(/en-us/citrix-analytics/media/risk-indicator-overview-report-2.png)
リスクインジケーターの詳細
ダッシュボードには、ユーザーによってトリガーされた組み込みおよびカスタムのリスクインジケーターに関する詳細情報が表示されます。詳細については、「Citrixユーザーリスクインジケーター」および「カスタムリスクインジケーター」を参照してください。
ダッシュボードを表示するには、Citrix Analytics- Dashboards > Citrix Analytics- Risk Indicator Details をクリックします。
リスクインジケーターの詳細選択(/en-us/citrix-analytics/media/risk-indicator-details-selection-splunk.png)
レポートを表示するカテゴリを選択します
1つ以上のカテゴリを選択して、リスクインジケーターの詳細を表示します。
-
時間範囲: 事前設定された時間範囲またはカスタム時間範囲を選択して、その期間にトリガーされたリスクインジケーターの詳細を表示します。
-
エンティティタイプ: ユーザーを選択して、関連するリスクインジケーターの詳細を表示します。
-
リスクインジケータータイプ - 組み込みまたはカスタムのリスクインジケーターのタイプを選択して、その詳細を表示します。
-
データソース - データソースを選択して、関連するリスクインジケーターの詳細を表示します。
-
リスクインジケーターカテゴリ - リスクカテゴリを選択して、関連するリスクインジケーターの詳細を表示します。
-
リスクインジケーター - リスクインジケーターを選択して、その詳細を表示します。
レポートを表示する
たとえば、「リスクインジケーターの選択」リストから「異常な認証失敗 (Citrix Content Collaboration)」を選択し、「送信」をクリックして、次の情報を表示します。
-
リスクインジケーターに関連付けられた上位10ユーザー
-
リスクインジケーターに関する詳細（例：）
-
トリガーの日時
-
関連するデータソース
-
関連するリスクカテゴリ
-
関連付けられたエンティティIDとユーザーエンティティタイプ
-
リスクの重大度 - 高、中、または低
-
ユーザーイベントのリスク確率
-
リスクインジケーターの一意のID (UUID)
-
「リスクインジケーター別上位10エンティティ」でエンティティをクリックすると、「Citrix Analytics - エンティティ詳細」ダッシュボードでその詳細が表示されます。
「リスクインジケーターの詳細」テーブルの各行をクリックすると、選択したリスクインジケーターのイベント概要、イベント詳細、および生イベントが表示されます。
「リスクインジケーターイベント概要」セクションで、「Citrix Analytics UIリンク」をクリックすると、SplunkからCitrix Analytics for Security™のユーザータイムラインに直接移動します。ユーザータイムラインで、リスクインジケーター、関連イベント、およびユーザーに適用されたアクションを表示します。
イベント概要とイベント詳細の詳細については、「SIEM用Citrix Analyticsデータ形式」を参照してください。
エンティティの詳細
ダッシュボードを使用して、ユーザーエンティティユーザーとその危険な行動に関する詳細を表示します。
ダッシュボードを表示するには、「Citrix Analytics - ダッシュボード > Citrix Analytics - エンティティ詳細」をクリックします。
レポートを表示
期間とエンティティ（ユーザー名）を入力し、Submit をクリックして詳細情報を表示します。
または、以下のダッシュボードからエンティティの詳細情報を表示することもできます。
-
Citrix Analytics- Risk Indicator Details で、Top 10 Entities by Risk Indicators に移動し、エンティティをクリックします。エンティティビュー(/en-us/citrix-analytics/media/entity-splunk.png)
-
Citrix Analytics- Risk Score Overview で、Risky Users に移動し、ユーザー名をクリックします。ユーザー名選択(/en-us/citrix-analytics/media/risky-user-splunk.png)
以下の詳細情報が表示されます。
-
選択した期間の現在のリスクスコアとリスクスコアのタイムライン。
-
リスクインジケーターの割合分布。エンティティの危険なアクティビティのパターンを分析するのに役立ちます。
-
リスクインジケーターの地理的分布。異常な場所や高リスクの場所を特定するのに役立ちます。
-
危険なアクティビティに関連するクライアントIPの詳細。
-
危険なアクティビティに関連するユーザーデバイスの詳細。
-
関連するデータソース、リスクカテゴリ、リスクの重大度などのリスクインジケーターの詳細。エンティティ詳細ビュー 1(/en-us/citrix-analytics/media/entity-details-splunk-1.png)
危険なアクティビティに関連付けられたクライアントIPとユーザーデバイスを、Splunkに接続されている他のセキュリティソースから収集されたイベントと関連付けます。たとえば、クライアントIPの詳細テーブルの行をクリックします。
Citrix Analyticsイベント相関ダッシュボードでは、選択したクライアントIPに関連付けられたイベントを、他のセキュリティデータソース（インデックスとソースタイプに基づく）から相関させて表示できます。これらのイベントは、クライアントIPに関連する悪意のあるアクティビティに関するより深い洞察を提供します。
ユーザープロファイルの概要
ダッシュボードを使用して、組織内のユーザーに関連付けられたイベントメトリックを表示します。
ダッシュボードを表示するには、Citrix Analytics- Dashboards > Citrix Analytics- User Profile Overviewをクリックします。
イベントの表示
時間範囲を選択し、次のメトリックを表示します。
-
ユーザーが使用した上位10のアプリケーション
-
ユーザーが使用した上位10のデバイス
-
ユーザーが使用した上位10の場所
-
使用されたWebおよびSaaSアプリケーションの数
-
使用されたデバイスの数
-
複数の場所からアクセスしたユーザーの数
-
アップロード、ダウンロード、共有されたファイルなどのデータ使用状況メトリック
これらのメトリックは、組織内のユーザーアクティビティに関する洞察を提供します。上位のアプリケーションとデバイス、使用パターン、非準拠のデバイスとアプリケーション、異常な場所、危険なアクセス、および異常なファイルアクティビティを特定できます。
ユーザープロファイルの概要(/en-us/citrix-analytics/media/user-profile-report-splunk.png)
受信したイベント
ダッシュボードを使用して、Citrix Analytics for Security から受信したイベントを表示します。イベントはユーザーアクティビティのタイプを示します。
ダッシュボードを表示するには、Citrix Analytics- Dashboards > Citrix Analytics- Received Events をクリックします。
受信イベントの選択(/en-us/citrix-analytics/media/received-events-selection-splunk.png)
レポートの表示
受信したさまざまな種類のイベントを表示および比較するために時間範囲を選択します。ダッシュボードには次の情報が表示されます。
-
受信したイベントの合計: Citrix Analytics for Security から受信したすべてのイベントの集計であり、以下が含まれます。
-
リスクインジケーターイベントの合計: ユーザーによってトリガーされたリスクインジケーターに関連するイベントを示します。
-
リスクインジケーター詳細イベントの合計: トリガーされたリスクインジケーターの詳細に関連するイベントを示します。
-
リスクスコア変更イベントの合計: ユーザーのリスクスコア変更に関連するイベントを示します。
-
ユーザープロファイルの合計リスクスコアイベント: ユーザーのリスクスコアに関連するイベントを示します。
-
ユーザープロファイルの合計アプリケーションイベント: ユーザーが使用するアプリケーションに関連するイベントを示します。
-
ユーザープロファイルの合計デバイスイベント: ユーザーが使用するデバイスに関連するイベントを示します。
-
ユーザープロファイルの合計データ使用量イベント: ユーザーのデータ使用量に関連するイベントを示します。
-
ユーザープロファイルの合計ロケーションイベント: ユーザーがアクセスしたロケーションに関連するイベントを示します。受信イベントダッシュボード(/en-us/citrix-analytics/media/received-events-report-splunk.png)
-
イベント相関の例
ダッシュボードを使用して、Citrix Analytics for Security から受信したイベントと、Splunk で構成された他のセキュリティデータソースから収集されたイベントを関連付けます。複数のデータソースから収集されたユーザーの危険なアクティビティに関するより深い洞察を得て、イベント間の関係を見つけ、脅威を特定できます。
ダッシュボードを表示するには、SIEM Correlation- Sample Dashboards > Citrix Analytics Event Correlation をクリックします。
イベント相関の選択(/en-us/citrix-analytics/media/event-correlation-selection-splunk.png)
前提条件
相関を実行するには、以下を確認してください。
-
相関させるには、他のセキュリティデータソースからのイベントが必要です。たとえば、Splunk で構成された他のデータソースから受信した、ユーザー、デバイス、クライアント IP アドレスに関連するイベントなどです。
-
構成時に相関インデックスがすでに定義されている必要があります。
イベントを関連付ける
Citrix Analytics for Securityによって検出された、最もリスクの高いエンティティと最もリスクの高いIPアドレスを表示できます。これらのイベントを他のデータソース（インデックスとソースタイプで定義）と関連付けるには、テーブルからエンティティまたはIPアドレスをクリックします。
クエリフィールドに表示されるインデックス値は、アプリの設定時に定義されます。要件に基づいて、インデックス値を別のセキュリティデータソースに変更できます。
イベントがない場合のトラブルシューティング
すべてのダッシュボードでイベントが見つからない場合は、Citrix Analytics App for SplunkおよびCitrix Analytics add-on for Splunkの設定に問題がある可能性があります。このような場合は、インデックス値とソースタイプ値を確認してください。インデックスとソースタイプの値が、アプリとアドオンの両方で同じであることを確認してください。
Citrix Analytics App for Splunkの設定を表示するには：
Citrix Analytics add-on for Splunkの設定を表示するには：
構成の詳細については、「Splunk 用 Citrix Analytics アドオンの構成」を参照してください。