Splunk連携

最終公開日 : Oct 24, 2026
Citrix Analytics for SecurityをSplunkと連携させ、Citrix IT環境からのユーザーデータをSplunkにエクスポートして(/ja-jp/security-analytics/siem-integration/entity-data-model.html)、組織のセキュリティ体制に関するより深い洞察を得ることができます。
連携の利点と、SIEMに送信される処理済みデータの種類について詳しくは、(/ja-jp/security-analytics/siem-integration.html)を参照してください。
Splunk展開方法論を包括的に理解し、効果的な計画のための戦略を採用するには、SplunkとCitrix® AnalyticsアプリケーションがSplunkでホストされているアーキテクチャドキュメントを参照してください。
Related information
セキュリティ情報およびイベント管理 (SIEM) 統合

Citrix Analytics for Security™をSplunkと連携させる

Citrix Analytics for SecurityをSplunkと連携させるには、記載されているガイドラインに従ってください。
  • (#data-export)。Citrix Analytics for SecurityはKafkaチャネルを作成し、リスクインサイトとデータソースイベントをエクスポートします。Splunkはこのリスクインテリジェンスをチャネルから取得します。
  • Citrix Analyticsで構成を取得します。認証のために、事前定義されたアカウントのパスワードを作成します。Citrix Analytics for Securityは、Splunk用Citrix Analyticsアドオンを構成するために必要な構成ファイルを準備します。
  • (#download-and-install-citrix-analytics-add-on-for-splunk)。SplunkbaseまたはSplunk Cloudのいずれかを使用してCitrix Analytics Add-on for Splunkをダウンロードし、インストールプロセスを完了します。
  • (#configure-citrix-analytics-add-on-for-splunk)。Citrix Analytics for Securityによって提供される構成の詳細を使用してデータ入力を設定し、Splunk用Citrix Analyticsアドオンを構成します。
Citrix Analytics構成ファイルの準備が完了したら、以下を参照してください。
  • (#reset-password-capability)
  • (#turn-on-or-off-data-transmission)
Splunk用Citrix Analyticsアドオンが構成されたら、以下を参照してください。

データのエクスポート

  1. 「設定」>「データのエクスポート」の順に移動します。
  2. 「アカウント設定」セクションで、ユーザー名とパスワードを指定してアカウントを作成します。このアカウントは、統合に必要な構成ファイルの準備に使用されます。
    SIEM データのエクスポート
  3. パスワードが次の条件を満たしていることを確認してください。
    SIEM パスワード要件
  4. 「構成」を選択します。
    Citrix Analytics for Security は、Splunk 統合に必要な構成の詳細を準備します。
    SIEM の構成
  5. 「Splunk」を選択します。
  6. ユーザー名、ホスト、Kafka トピック名、グループ名を含む構成の詳細をコピーします。
    これらの詳細は、以降の手順で Splunk 用 Citrix Analytics アドオンを構成するために必要です。
    重要
    これらの詳細は機密情報であるため、安全な場所に保管する必要があります。
    構成の詳細(/en-us/citrix-analytics/media/splunk-config-details.png)
Splunk連携の候補データを生成するには、少なくとも 1つのデータソースのデータ処理をオンにするか、テストイベント生成機能を使用します。これにより、Citrix Analytics for SecurityはSplunk連携プロセスを開始できます。

パスワードリセット機能

Citrix Analytics for Securityで構成パスワードをリセットする場合は、次の手順を実行します。
  1. アカウント設定ページで、パスワードのリセットをクリックします。
    SIEMパスワードのリセット(/en-us/citrix-analytics/media/siem-reset-password.png)
  2. パスワードのリセットウィンドウで、新しいパスワードと新しいパスワードの確認フィールドに更新されたパスワードを指定します。表示されるパスワードルールに従ってください。
    SIEMパスワード要件(/en-us/citrix-analytics/media/siem-account-password.png)
  3. リセットをクリックします。構成ファイルの準備が開始されます。
    SIEMパスワードのリセット(/en-us/citrix-analytics/media/siem-reset-password-confirm.png)
注
構成パスワードをリセットした後、Splunk環境のデータの追加ページでデータ入力を設定する際に、新しいパスワードを更新してください。これにより、Citrix Analytics for SecurityはSplunkへのデータ送信を継続できます。

データ送信のオン/オフ

Citrix AnalyticsからのSplunkデータエクスポートのデータ送信は、デフォルトでオンになっています。
Citrix Analytics for Securityからのデータ送信を停止するには：
  1. 「Settings > Data Exports」に移動します。
  2. データ送信を無効にするには、トグルボタンをオフにします。
    SIEM送信をオフにする(/en-us/citrix-analytics/media/siem-turn-off-splunk.png)
データ送信を再度有効にするには、トグルボタンをオンにします。

Splunk用Citrix Analyticsアドオン

アドオンアプリケーションは、以下のいずれかのプラットフォームにインストールできます。

Splunk用Citrix Analyticsアドオン (オンプレミス/エンタープライズ)

サポートされているバージョン

Citrix Analytics for Securityは、以下のオペレーティングシステムでのSplunk統合をサポートしています。
  • CentOS Linux 7以降
  • Debian GNU/Linux 10.0以降
  • レッドハット エンタープライズ リナックス サーバー 7.0以降
  • Ubuntu 18.04 LTS以降
注
  • Citrix は、前述のオペレーティングシステムの最新バージョン、または 各ベンダーからまだサポートされているバージョンを使用することを推奨します。
  • Linux カーネル (64 ビット) オペレーティングシステムの場合、Splunk でサポートされているカーネルバージョンを 使用してください。詳細については、Splunk ドキュメント を参照してください。
当社の Splunk 統合は、Splunk 8.1 (64 ビット) 以降の Splunk バージョンで構成できます。

前提条件

  • Citrix Analytics add-on for Splunk は、Citrix Analytics for Security 上の以下のエンドポイントに接続します。エンドポイントがネットワークの許可リストに含まれていることを確認してください。
    エンドポイント 米国リージョン 欧州連合リージョン アジア太平洋南部リージョン
    Kafka ブローカー casnb-0.citrix.com:9094 casnb-eu-0.citrix.com:9094 casnb-aps-0.citrix.com:9094
    casnb-1.citrix.com:9094 casnb-eu-1.citrix.com:9094 casnb-aps-1.citrix.com:9094
    casnb-2.citrix.com:9094 casnb-eu-2.citrix.com:9094 casnb-aps-2.citrix.com:9094
    casnb-3.citrix.com:9094
注
IPアドレスではなくエンドポイント名を使用してみてください。エンドポイントのパブリックIPアドレスは変更される可能性があります。

Splunk 用 Citrix Analytics アドオンのダウンロードとインストール

アドオンは、ファイルからアプリをインストールするか、または Splunk環境内からインストールできます。

ファイルからアプリをインストール

  1. Splunkbase にアクセスします。
  2. Splunk 用 Citrix Analytics アドオンファイルをダウンロードします。
  3. Splunk Web のホームページで、アプリの横にある歯車アイコンをクリックします。
  4. ファイルからアプリをインストールをクリックします。
  5. ダウンロードしたファイルを見つけて、アップロードをクリックします。
    注
    • アドオンの古いバージョンがある場合は、アプリをアップグレードを選択して上書きします。
    • バージョン2.0.0より前のバージョンからCitrix Analytics Add-on for Splunkをアップグレードする場合は、アドオンインストールフォルダの*/bin*フォルダ内にある以下のファイルとフォルダを削除し、Splunk ForwarderまたはSplunk Standalone環境を再起動する必要があります。
      • cd $SPLUNK_HOME$/etc/apps/TA_CTXS_AS/bin
      • rm -rf splunklib
      • rm -rf mac
      • rm -rf linux_x64
      • rm CARoot.pem
      • rm certificate.pem
  6. アプリがアプリリストに表示されていることを確認します。

Splunk内からアプリをインストールする

  1. Splunk Webのホームページから、+その他のアプリを検索をクリックします。
  2. その他のアプリを参照ページで、Citrix Analytics Add-on for Splunkを検索します。
  3. アプリの横にあるインストールをクリックします。
  4. アプリがアプリリストに表示されていることを確認します。

Splunk 用 Citrix Analytics アドオンを構成する

Citrix Analytics for Security から提供された構成の詳細を使用して、Splunk 用 Citrix Analytics アドオンを構成します。アドオンが正常に構成されると、Splunk は Citrix Analytics for Security からイベントの消費を開始します。
  1. Splunk のホームページで、設定 > データ入力に移動します。
    Splunk の構成(/en-us/citrix-analytics/media/splunk-data-inputs.png)
  2. ローカル入力セクションで、Citrix Analytics Add-onをクリックします。
    Splunk の構成(/en-us/citrix-analytics/media/splunk-local-inputs.png)
  3. 新規をクリックします。
    Splunk の構成(/en-us/citrix-analytics/media/splunk-local-inputs-new.png)
  4. データの追加ページで、Citrix Analytics 構成ファイルに記載されている詳細を入力します。
    Splunk の構成(/en-us/citrix-analytics/media/splunk-add-data.png)
  5. デフォルト設定をカスタマイズするには、その他の設定をクリックしてデータ入力を設定します。独自の Splunk インデックス、ホスト名、ソースタイプを定義できます。
    Splunk の構成(/en-us/citrix-analytics/media/splunk-add-data-more-settings.png)
  6. 次へをクリックします。Citrix Analytics データ入力が作成され、Splunk 用 Citrix Analytics アドオンが正常に構成されます。

Splunk 用 Citrix Analytics アドオン (クラウド)

当社のSplunk統合は、以下のSplunkバージョンで構成できます: Splunk 8.1および それ以降。

前提条件

Splunk用Citrix Analyticsアドオンは、Citrix Analytics for Securityに接続するために、以下のIPアドレスとアウトバウンドポートに接続します。以下のIPアドレスとアウトバウンドポート（Citrix Cloud™リージョンによって異なります）がネットワークの許可リストに含まれていることを確認してください。これらのIPアドレスとアウトバウンドポートを構成するには、「Admin Configuration Service (ACS) を使用してCitrix AnalyticsのIPアドレスとアウトバウンドポートをSplunk Cloudの許可リストに追加する」セクションを参照してください。
米国リージョン IP アウトバウンドポート 欧州連合リージョン IP アウトバウンドポート アジア太平洋南部リージョン IP アウトバウンドポート
キャスエヌビー-0 シトリックス・コム 20.242.21.84 9094 キャスエヌビー-EU-0 シトリックス・コム 20.229.150.41 9094 casnb-aps-0 citrix.com 20.211.0.214 9094
casnb-1.citrix.com 20.98.232.61 9094 casnb-eu-1.citrix.com 20.107.97.59 9094 casnb-aps-1 citrix.com 20.211.38.102 9094
キャスエヌビー-2.シトリックス.コム 20.242.21.108 9094 キャスエヌビー-イーユー-2.シトリックス.コム 51.124.223.162 9094 キャスエヌビー-エーピーエス-2 シトリックス.コム 20.211.36.180 9094
キャスエヌビー-3.シトリックス.コム 20.242.57.140 9094
注記
これらのIPはローテーションの対象となります。 上記に示されている最新のIPでIP許可リストを更新し続けてください。

Admin Configuration Service (ACS) を使用して、Citrix AnalyticsのIPとアウトバウンドポートをSplunk Cloudの許可リストに追加する

  1. Citrix Cloudのリージョンに応じて、許可リストに追加する必要があるIPを特定します。
  2. Splunk Cloud PlatformでAdmin Configuration Service (ACS) を有効にします。
  3. 管理者権限を持つローカルアカウントを使用して、許可リスト用のトークンを作成します。
  4. cURL GET および POST コマンドを実行する を使用して、それぞれのポートでサブネットを許可リストに追加し、それらが正常に追加されたことを検証します。
  5. cURL GET および POST コマンドを実行 して、送信ポートを許可リストに追加し、それらが正常に追加されたことを検証します。

Splunk 用 Citrix Analytics アドオンをダウンロードしてインストールする

  1. アプリ > その他のアプリを検索 > Citrix Analytics Add-on for Splunk を検索 に移動します。
    Splunk 用アドオン
  2. アプリをインストールします。
  3. アプリがアプリリストに表示されていることを確認します。

Splunk 用 Citrix Analytics アドオンを構成する

  1. 設定 > データ入力 > Citrix Analytics アドオン に移動します。
    Citrix Analytics アドオン
  2. 入力を追加します: Splunk integration | Citrix Analytics for Security。Add New をクリックします。
    Splunk 統合入力
  3. Citrix Analytics Data Exportsページで構成された詳細を入力して、データ入力を構成します。
    Splunkデータ入力の詳細(/en-us/citrix-analytics/media/splunk-data-input-details.png)
  4. データ入力が正常に追加されたことを確認します。
    Splunkデータ入力が正常に追加されました(/en-us/citrix-analytics/media/splunk-data-input-added.png)

Splunk環境でイベントを消費する方法

アドオンを構成すると、SplunkはCitrix Analytics for Securityからリスクインテリジェンスの取得を開始します。構成されたデータ入力に基づいて、Splunk検索ヘッドで組織のイベントの検索を開始できます。
検索結果は次の形式で表示されます。
イベント消費形式(/en-us/citrix-analytics/media/consume-events-format.png)
出力例:
イベント消費の出力例(/en-us/citrix-analytics/media/consume-events-sample-output.png)
アドオンに関する問題を検索およびデバッグするには、次の検索クエリを使用します。
イベント検索クエリを消費する(/en-us/citrix-analytics/media/consume-events-search-query.png)
結果は次の形式で表示されます。
イベント検索結果を消費する(/en-us/citrix-analytics/media/consume-events-search-result.png)
データ形式の詳細については、Citrix Analytics data format for SIEMを参照してください。

Splunk 用 Citrix Analytics アドオンのトラブルシューティング

Splunk ダッシュボードにデータが表示されない場合や、Splunk 用 Citrix Analytics アドオンの構成中に問題が発生した場合は、デバッグ手順を実行して問題を修正してください。詳細については、「Splunk 用 Citrix Analytics アドオンの構成に関する問題」を参照してください。
注
Splunk 統合、Splunk へのデータのエクスポート、またはフィードバックの提供に関するサポートを依頼するには、mailto:CAS-PM-Ext@cloud.com にお問い合わせください。

Splunk 用 Citrix Analytics アプリ

注
このアプリはプレビュー版です。
Splunk 用 Citrix Analytics アプリを使用すると、Splunk Enterprise 管理者は、Citrix Analytics for Security から収集されたユーザーデータを、Splunk 上で洞察力に富んだ実用的なダッシュボードの形式で表示できます。これらのダッシュボードを使用すると、組織内のユーザーの危険な行動を詳細に把握し、インサイダーの脅威を軽減するためにタイムリーな措置を講じることができます。また、Citrix Analytics for Security から収集されたデータを、Splunk で構成された他のデータソースと関連付けることもできます。この関連付けにより、複数のソースからのユーザーの危険なアクティビティを可視化し、IT 環境を保護するための措置を講じることができます。

サポートされている Splunk のバージョン

Splunk 用 Citrix Analytics アプリは、以下の Splunk バージョンで動作します。
  • Splunk 9.0 64ビット
  • Splunk 8.2 64ビット
  • Splunk 8.1 64ビット

Splunk 用 Citrix Analytics アプリの前提条件

  • Splunk 用 Citrix Analytics アドオンをインストールします。
  • Citrix Analytics add-on for Splunk に記載されている 前提条件 が満たされていることを確認します。
  • Citrix Analytics for Security から Splunk にデータが流れていることを確認します。

インストールと構成

アプリをインストールする場所?

Splunk 検索ヘッド

アプリのインストールと構成方法?

Citrix Analytics App for Splunk は、Splunkbase からダウンロードするか、Splunk 内からインストールできます。
ファイルからアプリをインストール
  1. Splunkbase にアクセスします。
  2. Citrix Analytics App for Splunk ファイルをダウンロードします。
  3. Splunk Web のホームページで、Apps の横にある歯車アイコンをクリックします。
  4. Install app from file をクリックします。
  5. ダウンロードしたファイルを見つけて、Upload をクリックします。
    注
    アプリの古いバージョンがある場合は、Upgrade app を選択して上書きします。
  6. 「Apps」リストにアプリが表示されていることを確認します。
Splunk内からアプリをインストールする
  1. Splunk Webのホームページから、「+Find More Apps」をクリックします。
  2. 「Browse More Apps」ページで、「Citrix Analytics App for Splunk」を検索します。
  3. アプリの横にある「Install」をクリックします。
データを関連付けるようにインデックスとソースタイプを構成する
  1. アプリをインストールしたら、「Set up now」をクリックします。
    アプリをセットアップ(/en-us/citrix-analytics/media/set-up-app-splunk.png)
  2. 次のクエリを入力します。
    • Citrix Analytics for Securityからのデータが保存されているインデックスとソースタイプ。
      注
      これらのクエリ値は、Splunk用Citrix Analyticsアドオンで指定されているものと同じである必要があります。詳細については、「Splunk用Citrix Analyticsアドオンを構成する」を参照してください。
    • Citrix Analytics for Securityとデータを関連付けたいインデックス。
      ソースとインデックス(/en-us/citrix-analytics/media/splunk-app-index.png)
  3. 構成を完了するには、「Finish App Setup」をクリックします。
Citrix Analytics App for Splunk を構成およびセットアップした後、Citrix Analytics dashboards を使用して Splunk でユーザーイベントを表示します。
Splunk 連携の詳細については、以下のリンクを参照してください。