ADC

Exportieren Sie Auditprotokolle und Ereignisse direkt von NetScaler nach Splunk

March 17, 2024

Beitrag von:

Mithilfe der Prüfprotokollierung können Sie die NetScaler-Zustände und Statusinformationen protokollieren, die von verschiedenen Modulen in NetScaler gesammelt wurden. Durch die Überprüfung der Protokolle können Sie Probleme oder Fehler beheben und beheben.

Sie können jetzt Audit-Logs und Ereignisse von NetScaler auf branchenübliche Log-Aggregator-Plattformen wie Splunk exportieren und so aussagekräftige Erkenntnisse gewinnen.

Es gibt mehrere Möglichkeiten, Audit-Logs von NetScaler nach Splunk zu exportieren. Sie können Splunk entweder als Syslog-Server oder als HTTP-Server konfigurieren. Dieses Thema enthält Informationen zur Konfiguration von Splunk als HTTP-Server mithilfe des Splunk HTTP Event Collectors. Mit dem HTTP-Event-Collector können Sie Audit-Logs über HTTP (oder HTTPS) direkt von Ihrem NetScaler an die Splunk-Plattform senden.

Export von Auditprotokollen von NetScaler nach Splunk konfigurieren

Um den Export von Audit-Logs zu konfigurieren, müssen Sie die folgenden Schritte ausführen:

Konfigurieren Sie den HTTP-Event-Collector auf Splunk.
Erstellen Sie einen Collector-Service und ein Zeitreihenanalyseprofil auf NetScaler.

HTTP-Event-Collector auf Splunk konfigurieren

Sie können Audit-Logs an Splunk weiterleiten, indem Sie einen HTTP-Event-Collector konfigurieren.

Informationen zur Konfiguration des HTTP-Event-Collectors finden Sie in der Splunk-Dokumentation.

Nachdem Sie den HTTP-Event-Collector konfiguriert haben, kopieren Sie das Authentifizierungstoken und speichern Sie es als Referenz. Sie müssen dieses Token bei der Konfiguration des Analyseprofils auf NetScaler angeben.

Konfigurieren Sie das Zeitreihenanalyseprofil auf NetScaler

Gehen Sie wie folgt vor, um NetScaler-Audit-Logs nach Splunk zu exportieren.

Erstellen Sie einen Collector-Service für Splunk.
```
add service <collector> <splunk-server-ip-address> <protocol> <port>
```
Beispiel:
```
add service splunk_service 10.102.34.155 HTTP 8088
```
In dieser Konfiguration:
- ip-address: Geben Sie die IP-Adresse des Splunk-Servers an.
- collector-name: Geben Sie den Kollektor an.
- protocol: Geben Sie das Protokoll als HTTP oder HTTPS an
- port: Geben Sie die Portnummer an.
Erstellen Sie ein Zeitreihenanalyseprofil.
```
    add analytics profile <profile-name> -type time series -auditlog enabled -collectors <collector-name>  -analyticsAuthToken <"auth-token">
    -analyticsEndpointContentType <"Application/json"> -analyticsEndpointMetadata <"meta-data-for-endpoint:"> -analyticsEndpointUrl <"endpoint-url">
```
Beispiel:
```
    add analytics profile audit_profile -type timeseries -auditlog enabled -collectors -analyticsAuthToken "Splunk 1234-5678-12345" -analyticsEndpointContentType "Application/json" -analyticsEndpointMetadata "{\"event\":[" -analyticsEndpointUrl "/services/collector/event"
```
In dieser Konfiguration:
- auditlog: Geben Sie den Wert an, enabled um die Überwachungsprotokollierung zu aktivieren.
- analyticsAuthToken: Geben Sie das Authentifizierungstoken an, das beim Senden von Protokollen an Splunk im Autorisierungsheader enthalten sein soll. Dieses Token ist das Authentifizierungstoken, das auf dem Splunk-Server bei der Konfiguration des HTTP-Event-Collectors erstellt wurde. Das Authentifizierungstoken muss das Format „Splunk <token-copied-from-splunk>“ haben. Zum Beispiel „Splunk 3e52aa4b-1db7-45b2-9af9-173eedc8e1bc“.
- analyticsEndpointContentType: Geben Sie das Format der Protokolle an.
- analyticsEndpointMetadata: Geben Sie die Metadaten an, die Splunk am Anfang der Daten erwartet, nämlich. "{\"event\":["
- analyticsEndpointUrl: Geben Sie die URL an, für die Sie Splunk HEC konfiguriert haben, um Anfragen abzurufen. Zum Beispiel „/services/collector/event“.
Hinweis:

Sie können die Parameter des Zeitreihenanalyseprofils mithilfe des Befehls set analytics profile ändern.

Überprüfen Sie die Konfiguration des Analytics-Profils mit dem Befehl show analytics profile.

# show analytics profile audit_profile

1)    Name: audit_profile
      Collector: splunk
      Profile-type: timeseries
            Output Mode: avro
            Metrics: DISABLED
              Schema File: schema.json
              Metrics Export Frequency: 30
            Events: DISABLED
            Auditlog: ENABLED
            Serve mode: Push
       Authentication Token: <auth-token>
       Endpoint URL: /services/collector/event
       Endpoint Content-type: Application/json
       Endpoint Metadata: {"event":[
       Reference Count: 0

Sobald die Konfiguration erfolgreich ist, werden die Audit-Logs als HTTP-Payloads an Splunk gesendet und Sie können sie auf der Benutzeroberfläche der Splunk-Anwendung einsehen.

Export von Ereignissen von NetScaler nach Splunk konfigurieren

Um den Export von Ereignissen von NetScaler nach Splunk zu konfigurieren, müssen Sie die folgenden Schritte ausführen:

Konfigurieren Sie den HTTP-Event-Collector auf Splunk, indem Sie den Schritten unter HTTP-Event-Collector auf Splunk konfigurierenfolgen.
Erstellen Sie mit dem folgenden Befehl einen Collector-Dienst auf NetScaler.
```
add service <collector> <splunk-server-ip-address> <protocol> <port>
```
Beispiel:
```
add service splunk_service 10.102.34.155 HTTP 8088
```
In dieser Konfiguration:
- ip-address: Geben Sie die IP-Adresse des Splunk-Servers an.
- collector-name: Geben Sie den Kollektor an.
- protocol: Geben Sie das Protokoll als HTTP oder HTTPS an.
- port: Geben Sie die Portnummer an.

Erstellen Sie mit dem Befehl ein Zeitreihenanalyseprofil auf NetScaler. add analytics profile Sie müssen die -events enabled Option bei der Erstellung des Analyseprofils angeben, um die Exportereignisse zu aktivieren.

Beispiel:

add analytics profile event_profile -type timeseries -events enabled -collectors splunk -analyticsAuthToken "Splunk 1234-5678-12345" -analyticsEndpointContentType "Application/json" -analyticsEndpointMetadata "{\"event\":[" -analyticsEndpointUrl "/services/collector/event"

Überprüfen Sie die Konfiguration des Analyseprofils mit dem Befehl show analytics profile.

# show analytics profile event_profile

1)    Name: event_profile
      Collector: splunk
      Profile-type: timeseries
            Output Mode: avro
            Metrics: DISABLED
              Schema File: schema.json
              Metrics Export Frequency: 30
            Events: ENABLED
            Auditlog: DISABLED
            Serve mode: Push
       Authentication Token: <auth-token>
       Endpoint URL: /services/collector/event
       Endpoint Content-type: Application/json
       Endpoint Metadata: {"event":[
       Reference Count: 0

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Cloud Software Group Dokumentation maschinell übersetzt. Cloud Software Group hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Cloud Software Group Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Cloud Software Group gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Cloud Software Group kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

War dieser Artikel hilfreich?

Exportieren Sie Auditprotokolle und Ereignisse direkt von NetScaler nach Splunk

March 17, 2024

Beitrag von:

March 17, 2024

Beitrag von:

In diesem Artikel

Export von Auditprotokollen von NetScaler nach Splunk konfigurieren
Export von Ereignissen von NetScaler nach Splunk konfigurieren

War dieser Artikel hilfreich?