データエクスポートのトラブルシューティング
セキュリティのデータエクスポートビューには、管理者がCitrix AnalyticsとのSIEM統合をトラブルシューティングするのに役立つ概要タブが含まれています。概要ダッシュボードは、トラブルシューティングプロセスを支援するチェックポイントを通じて、データの健全性とフローを可視化します。
データエクスポートのトラブルシューティング(/en-us/citrix-analytics/media/troubleshooting-data-exports.png)
概要タブ
概要タブは、データエクスポートビューにおけるセルフサービスによるトラブルシューティングワークフローの基盤を形成します。このタブでは、次の3つのカードを使用してSIEMの設定を説明します。
-
Citrix Analyticsで利用可能なデータ: このカードは、データソース構成の状態を示します。
-
SIEM消費に利用可能なイベント: このカードは、SIEM環境で消費される準備ができているイベントの数を表示します。
-
SIEMによるデータ消費: このカードは、SIEM環境におけるデータフローの状態を表示します。
Citrix Analyticsで利用可能なデータ
Citrix Analyticsで利用可能なデータ(/en-us/citrix-analytics/media/available-data-in-citrix-analytics.png)
Citrix Analyticsで利用可能なデータカードには、Citrix Analytics for Securityにオンボーディングされ、最終的にSIEMインサイトに貢献できるデータソースの数が表示されます。現在、データエクスポートでサポートされているデータソースは、Apps and Desktops、Gateway、Secure Private Accessの3つです。これらのデータソースがオンボーディングされていても、データ処理がオフになっているデータソースではデータエクスポートは機能しません。そのようなデータソースが検出されると、上記の画像に示されているような適切な警告メッセージが表示されます。
過去7日間のイベントを表示ボタンをクリックすると、管理者はセルフサービス検索ビューにリダイレクトされ、イベントがCitrix Analytics for Securityに流入したことを確認できます。データソースをオンボーディングボタンをクリックすると、データソースビューにリダイレクトされ、オンボーディングプロセスを詳しく確認できます。
オンボーディングされたデータソースがない場合、次のスクリーンショットに示すように、適切な警告メッセージが表示されます。
データソースがない場合の警告メッセージ(/en-us/citrix-analytics/media/warning-message-for-no-data-sources.png)
SIEM消費に利用可能なイベント
「SIEM消費に利用可能なイベント」カードには、Insightおよびデータソースイベントの数と、SIEM環境に流れることが期待されるそれらの内訳が表示されます。展開すると、エクスポートされる各データイベントタイプのさらに詳細な内訳も利用できます。
SIEMによるデータ消費
「SIEMによるデータ消費」カードは、Citrix Analyticsによって準備されたデータがSIEM環境に流れることの健全性を示します。データ消費ステータスは、Kafkaトピック内のオフセットの動きに基づいています。利用可能な場合、このカードには、データ消費が最後に正常に検出されたときのタイムスタンプも表示されます。データ消費ステータスとタイムスタンプは両方とも10分ごとに更新されます。Kafkaコンシューマーグループ/オフセット管理の詳細については、こちらをクリックしてください。
データ消費ステータスは、次の状態をとることができます。
-
非アクティブな消費
-
データエクスポートの履歴なし: この状態は、Citrix Analyticsによって準備されたデータがSIEM環境に正常に流れたことがないことを示すオレンジ色の点で表されます。
これは次の原因が考えられます --
データソースの設定が不正確/不完全です。「Citrix Analyticsで利用可能なデータ」カードを使用して、十分なデータソースがあるか、およびエクスポートを許可するためにデータ処理がオンになっているかを確認できます。
-
ユーザーアクティビティの不足。「Citrix Analyticsで利用可能なデータ」カードの「過去7日間のイベントを表示」ボタンを使用して、ユーザーアクティビティがないことを確認できます。さらに、「SIEM消費に利用可能なイベント」カードを使用して、Citrix AnalyticsによってSIEMに流れるように準備されたInsightまたはデータソースイベントがあるかを確認できます。
-
SIEM設定が不正確/不完全です。「構成」タブの「アカウント設定」段階が正常に完了していることを確認してください。設定が完了している場合、「アカウント設定」段階に緑色のチェックマークが表示されます。アカウント設定が正常に完了した後でも状態が変わらない場合は、次の点を確認してさらにトラブルシューティングを行ってください。
-
ファイアウォールの問題またはSIEM設定の誤り – SIEM環境のセットアップを参照してください。
-
Kafkaアカウント設定またはSIEM環境での認証情報の問題 – Kafkaを使用したSIEM統合を参照してください。
-
-
-
アクティブな消費が検出されませんでした: この状態は、少なくとも過去10分間、データがSIEM環境に正常に流れ込んでいないことを示します。カードには、データの最後の正常な移動のタイムスタンプも表示されます。データエクスポートの履歴なしの場合と同様に、Citrix Analyticsで利用可能なデータカードとSIEM消費で利用可能なイベントカードを使用して、これをトラブルシューティングできます。利用可能なイベント数が増加するとともに十分なユーザーアクティビティがある場合は、最後の成功したタイムスタンプに注目し、そのタイムスタンプ以降にファイアウォールの変更やパスワードのローテーションが発生したかどうかを確認することをお勧めします。
-
7日以上前にエクスポートされました: この状態は、SIEMでのアクティブな消費が最後に検出されたのが1週間以上前であることを示します。上記の2つの状態と同様に、このデータ消費状態が検出された場合は、Citrix Analyticsで利用可能なデータカードとSIEM消費で利用可能なイベントカードを使用してSIEMのセットアップをトラブルシューティングしてください。
注Kafka保持ポリシー: Citrix AnalyticsのKafkaトピックは、イベントを最大7日間のみ保持します。潜在的なデータ損失を回避または防止するために、データポーリング間隔を7日を超えないように設定することをお勧めします。
非アクティブな消費では、トラブルシューティングプロセスを進めるのに役立つ次の警告メッセージを表示できます。データエクスポートの履歴なしのケースで強調されているように、SIEMのセットアップが完了していない場合、データはSIEM環境に一切流れ込みません。したがって、次のスクリーンショットに示すように、アカウントのセットアップを完了するために、ユーザーは構成タブにリダイレクトされます。
SIEMのセットアップが完了していても、アクティブな消費が検出されませんでしたまたは7日以上前にエクスポートされましたの状態に示されているように、データがアクティブに流れていない場合があります。したがって、次の警告メッセージで強調されているように、ユーザーはSIEM接続をテストするためにテストイベント生成セクションに移動するよう促されます。
-
-
アクティブな消費
-
アクティブな消費が検出されました: この状態は、SIEMでアクティブな消費が検出されたことを示します。
-
データエクスポートクイックガイド
「概要」タブには、「データエクスポートクイックガイド」ブレードが追加され、SIEMセットアップの展開、管理、トラブルシューティングが容易になります。セキュリティビューのデータエクスポートに関する包括的なガイドを提供するだけでなく、クイックガイドには、関連ドキュメントへのリンクを提供することで、SIEM環境をセットアップおよび管理する方法に関する役立つヒントも含まれています。
「データエクスポートクイックガイド1」(/en-us/citrix-analytics/media/data-export-quick-guide1.png)
「データエクスポートクイックガイド2」(/en-us/citrix-analytics/media/data-export-quick-guide2.png)
「データエクスポートクイックガイド3」(/en-us/citrix-analytics/media/data-export-quick-guide3.png)
クイックガイドブレードには「SIEM接続のテスト」セクションもあり、ユーザーはSIEM環境セットアップステージ内のSIEM接続テストステージにリダイレクトされます。これにより、ユーザーはSIEM統合自体が破損しているかどうかを調査し、Citrix Analytics for Securityがイベントを処理する際の問題の可能性を排除できます。その後、ユーザーはSIEM接続を修正してデータフローを有効にできます。
「SIEM接続のテスト1」(/en-us/citrix-analytics/media/test-siem-connection1.png)
「構成」タブは、展開設定をガイドするだけでなく、管理者がSIEMをセットアップする際に役立つヒント、警告メッセージ、および一般的な落とし穴も提供します。適切な警告は、次の場合に表示されます。
-
Citrix Analyticsは、データソースがオンボーディングされていないことを検出します。ユーザーアクティビティに基づいたテレメトリを収集するために、Apps and Desktopsをオンボーディングすることをお勧めします。オンボーディングされたデータソースがない場合、SIEMのセットアップが正常に完了していても、データフローは観測されません。「オンボーディングされたデータソースなし」(/en-us/citrix-analytics/media/no-data-sources-onboarded.png)
-
次の図に示すように、アカウント設定が正常に完了するまで、SIEM環境設定とエクスポート用データイベントのステージは無効になります。「SIEM環境設定とデータイベントを無効にする」(/en-us/citrix-analytics/media/disable-siem-environment-setup-and-data-events.png)
-
データエクスポートが無効になっています。エクスポート用データイベントステージの警告は、変更を有効にするためにデータエクスポートを有効にするよう促すものです。「データエクスポートが無効になっています」(/en-us/citrix-analytics/media/data-exports-turned-off.png)
-
エクスポート用データイベントステージで、特定のデータソースのデータエクスポートが無効になっている場合、SIEMにはデータソースイベントが流れません。これを有効にするには、目的のデータソースイベントのタイプを設定して選択する必要があります。さらに、データがCitrix Analyticsに到達するように、それぞれのデータソースのデータ処理が有効になっていることを確認してください。「エクスポート用データイベントステージで」(/en-us/citrix-analytics/media/on-data-events-for-export-stage.png)
テストイベント生成
テストイベント生成は、トラブルシューティングエクスペリエンスを向上させるために、SIEM環境設定段階の一部として提供されます。ユーザーがSIEM設定を完了すると、テストイベント生成により、顧客のSIEMデータエクスポートKafkaトピックにテストイベントを直接送信することで、SIEM接続を迅速にテストする方法が提供されます。
また、新規ユーザーが新しいデータソースを明示的にオンボーディングし、その後ユーザーアクティビティを生成することなく、Citrix AnalyticsとのSIEM統合を迅速にテストできるようにします。
この機能をテストするには、ユーザーはテストデータを送信ボタンをクリックする必要があります。これによりダミーのテストイベントが生成され、顧客のSIEMデータエクスポートKafkaトピックに送信されます。このテストイベント生成プロセスには、次のスクリーンショットに示すように、最大1分かかる場合があります。
テストイベントデータが顧客のKafkaトピックに正常に書き込まれた場合、SIEM接続が成功したことを示す成功メッセージが表示されます。選択した環境（SplunkおよびSentinel）に応じて、管理者はクエリをコピーし、SIEM環境でテストイベントを確認できます。
Elasticsearchおよびその他の環境の場合、次の成功メッセージが表示されます。
注
テストイベントが生成されると、テストデータを送信ボタンは次の24時間無効になり、ユーザーがボタンにカーソルを合わせると次のポップアップが表示されます。最新の成功タイムスタンプから24時間後、ボタンが有効になり、ユーザーは再度機能をテストできます。
テストイベントデータが顧客のKafkaトピックに正常に書き込まれない場合、次のスクリーンショットに示すように、失敗メッセージが表示されます。ユーザーは接続をテストするためにデータを再度送信できます。
SIEMメールアラート
Citrix Analyticsは、SIEM環境へのデータフローの中断につながる可能性のあるシナリオについて管理者に通知するために、メールアラートを送信します。これには、一時的または永続的なセキュリティ態勢データ損失につながる可能性のあるアクティビティに関する状況情報が含まれています。また、SIEMデータエクスポートのセルフサービスによるトラブルシューティングの過程をナビゲートするのにも役立ちます。
受信トレイでこれらのメールアラートを見つけるのに役立つ、このメールアラートセットのいくつかの重要なプロパティは次のとおりです。
-
このメールは、Citrix Cloud™管理者、セキュリティフル管理者、セキュリティ読み取り専用管理者、およびセキュリティとパフォーマンスの読み取り専用管理者に配布されます。
-
送信者はCitrix Cloud **mailto:donotreplynotifications@citrix.com**です。
-
件名は次のとおりです。
-
パスワードリセットメールアラートの場合: SIEMデータエクスポートアラート - パスワードがリセットされました.
-
データフロー中断メールアラートの場合: SIEMデータエクスポートアラート - データフローが停止しました.
-
メール通知を有効にする方法?
カスタムアクセス権限（セキュリティフル管理者、セキュリティ読み取り専用管理者、セキュリティおよびパフォーマンス読み取り専用）を持つCitrix Cloud管理者で、Security Analyticsを管理している場合、メール通知はCitrix Cloudアカウントで常に有効になっています。デフォルトでは、週次メール通知はCitrix Security Administrators - default listに送信されます。このアラートを受信する配布リストを変更することもできます。詳細については、
を参照してください。
カスタムアクセス権限（セキュリティフル管理者、セキュリティ読み取り専用管理者、セキュリティおよびパフォーマンス読み取り専用）を持つCitrix Cloud管理者で、Security Analyticsを管理している場合、メール通知はCitrix Cloudアカウントで常に有効になっています。
SIEMメールアラートの種類
-
SIEMパスワードリセットメールアラートSIEMパスワードリセットアラートメールは、Data Exportsページからアカウントパスワードがリセットされたときに受信されます。Citrix Analytics UIでSIEMパスワードをリセットするだけでは、SIEMで設定されているパスワードとの不一致が生じる可能性があります。これにより、データフローが中断されます。このメールアラートには、パスワードがリセットされた時刻が含まれています。データフローが停止した場合、Summaryタブに移動し、「last exported at」のタイムスタンプがパスワードリセットのタイムスタンプに近いかどうかを確認することで、必要なパスワード変更を中継できます。これにより、デバッグプロセスが短縮され、SIEM環境へのデータフローがすぐに正常に戻るのに役立ちます。
-
24時間データフロー中断メールアラートこのメールアラートは、Citrix AnalyticsサービスからSIEM環境へのデータフローが24時間以上中断された場合に送信されます。このメールには、最後のイベントがエクスポートされた時刻と、データフローを復旧するために実行できる役立つトラブルシューティングのヒントが含まれています。これは、セキュリティ保護されたデータを失わないように、データフローを迅速に再開するための適切なタイミングです。
-
7日間データフロー中断メールアラートこのメールアラートは、Citrix AnalyticsサービスからSIEM環境へのデータフローが7日以上中断された場合に送信されます。お客様のKafkaトピックの保持期間は7日間であるため、このメールはセキュリティ保護された情報の永続的な損失の状況を警告しているため、それ以上のデータを失わないように、トラブルシューティングのヒントに従い、データエクスポートページで利用可能なクイックガイドの助けを借りることが重要です。
-
30日間データフロー中断メールアラートこのメールアラートは、Citrix AnalyticsサービスからSIEM環境へのデータフローが30日以上中断された場合に送信されます。この時点までに、お客様はセキュリティ保護されたデータを失っており、できるだけ早くフローを再開するためにトラブルシューティング機能を使用することが不可欠です。
