Integration mit Splunk
Sie können NetScaler® ADM jetzt mit Splunk integrieren, um Analysen für Folgendes anzuzeigen:
-
WAF-Verletzungen
-
Bot-Verletzungen
-
SSL-Zertifikat-Einblicke
Das Splunk-Add-on ermöglicht Ihnen Folgendes:
-
Alle anderen externen Datenquellen zu kombinieren.
-
Eine bessere Sichtbarkeit der Analysen an einem zentralen Ort zu gewährleisten.
NetScaler ADM sammelt Bot-, WAF- und SSL-Ereignisse und sendet diese regelmäßig an Splunk. Das Splunk Common Information Model (CIM)-Add-on konvertiert die Ereignisse in CIM-kompatible Daten. Als Administrator können Sie die Ereignisse mithilfe der CIM-kompatiblen Daten im Splunk-Dashboard anzeigen.
Für eine erfolgreiche Integration müssen Sie:
-
Splunk für den Empfang von Daten von NetScaler ADM konfigurieren
-
NetScaler ADM für den Export von Daten nach Splunk konfigurieren
Splunk für den Empfang von Daten von NetScaler ADM konfigurieren
In Splunk müssen Sie:
-
Den Splunk HTTP Event Collector-Endpunkt einrichten und ein Token generieren
-
Das Splunk Common Information Model (CIM)-Add-on installieren
Den Splunk HTTP Event Collector-Endpunkt einrichten und ein Token generieren
Sie müssen zuerst den HTTP Event Collector in Splunk einrichten. Diese Einrichtung ermöglicht die Integration zwischen ADM und Splunk, um die Daten zu senden. Als Nächstes müssen Sie ein Token in Splunk generieren, um:
-
Die Authentifizierung zwischen ADM und Splunk zu ermöglichen.
-
Daten über den Event Collector-Endpunkt zu empfangen.
-
Melden Sie sich bei Splunk an.
-
Navigieren Sie zu Settings > Data Inputs > HTTP event collector und klicken Sie auf Add new.
-
Geben Sie die folgenden Parameter an:
-
Name: Geben Sie einen Namen Ihrer Wahl an.
-
Source name override (optional): Wenn Sie einen Wert festlegen, überschreibt dieser den Quellwert für den HTTP Event Collector.
-
Description (optional): Geben Sie eine Beschreibung an.
-
Output Group (optional): Standardmäßig ist diese Option als None ausgewählt.
-
Enable indexer acknowledgement: Standardmäßig ist diese Option nicht ausgewählt.
-
-
Klicken Sie auf Next.
-
Optional können Sie auf der Seite Input Settings zusätzliche Eingabeparameter festlegen.
-
Klicken Sie auf Review, um die Einträge zu überprüfen, und klicken Sie dann auf Submit.
Ein Token wird generiert. Sie müssen dieses Token verwenden, wenn Sie Details in NetScaler ADM hinzufügen.
Das Splunk Common Information Model installieren
In Splunk müssen Sie das Splunk CIM-Add-on installieren. Dieses Add-on stellt sicher, dass die von NetScaler ADM empfangenen Daten normalisiert werden und einem gemeinsamen Standard entsprechen, indem dieselben Feldnamen und Ereignis-Tags für äquivalente Ereignisse verwendet werden.
-
Melden Sie sich bei Splunk an.
-
Navigieren Sie zu Apps > Find More Apps.
-
Geben Sie CIM in die Suchleiste ein und drücken Sie die Eingabetaste, um das Add-on Splunk Common Information Model (CIM) zu finden, und klicken Sie auf Install.
Ein Beispiel-Dashboard in Splunk vorbereiten
Nachdem Sie das Splunk CIM installiert haben, müssen Sie ein Beispiel-Dashboard mithilfe einer Vorlage für WAF und Bot sowie SSL-Zertifikat-Einblicke vorbereiten. Sie können die Dashboard-Vorlage (.tgz)-Datei herunterladen, einen beliebigen Editor (z. B. Notepad) verwenden, um deren Inhalt zu kopieren, und ein Dashboard erstellen, indem Sie die Daten in Splunk einfügen.
Hinweis:
Das folgende Verfahren zum Erstellen eines Beispiel-Dashboards gilt sowohl für WAF und Bot als auch für SSL-Zertifikat-Einblicke. Sie müssen die erforderliche
json-Datei verwenden.
-
Melden Sie sich auf der Citrix-Downloadseite an und laden Sie das unter Observability Integration verfügbare Beispiel-Dashboard herunter.
-
Extrahieren Sie die Datei, öffnen Sie die
json-Datei mit einem beliebigen Editor und kopieren Sie die Daten aus der Datei.Hinweis:
Nach dem Extrahieren erhalten Sie zwei
json-Dateien. Verwenden Sieadm_splunk_security_violations.json, um das WAF- und Bot-Beispiel-Dashboard zu erstellen, undadm_splunk_ssl_certificate.json, um das SSL-Zertifikat-Einblicke-Beispiel-Dashboard zu erstellen. -
Navigieren Sie im Splunk-Portal zu Search & Reporting > Dashboards und klicken Sie dann auf Create New Dashboard.
-
Geben Sie auf der Seite Create New Dashboard die folgenden Parameter an:
-
Dashboard Title – Geben Sie einen Titel Ihrer Wahl an.
-
Description – Optional können Sie eine Beschreibung zu Ihrer Referenz angeben.
-
Permission – Wählen Sie je nach Anforderung Private oder Shared in App aus.
-
Wählen Sie Dashboard Studio aus.
-
Wählen Sie ein beliebiges Layout (Absolute oder Grid) aus und klicken Sie dann auf Create.
Nachdem Sie auf Create geklickt haben, wählen Sie das Source-Symbol aus dem Layout aus.
-
-
Löschen Sie die vorhandenen Daten, fügen Sie die in Schritt 2 kopierten Daten ein und klicken Sie auf Back.
-
Klicken Sie auf Save.
Sie können das folgende Beispiel-Dashboard in Ihrem Splunk anzeigen.
NetScaler ADM für den Export von Daten nach Splunk konfigurieren
Sie haben nun alles in Splunk vorbereitet. Der letzte Schritt besteht darin, NetScaler ADM durch Erstellen eines Abonnements und Hinzufügen des Tokens zu konfigurieren.
Nach Abschluss des folgenden Verfahrens können Sie das aktualisierte Dashboard in Splunk anzeigen, das derzeit in Ihrem NetScaler ADM verfügbar ist:
-
Melden Sie sich bei NetScaler ADM an.
-
Navigieren Sie zu Settings > Ecosystem Integration.
-
Klicken Sie auf der Seite Subscriptions auf Add.
-
Wählen Sie auf der Registerkarte Select features to subscribe die Funktionen aus, die Sie exportieren möchten, und klicken Sie auf Next.
-
Realtime Export – Die ausgewählten Verletzungen werden sofort nach Splunk exportiert.
-
Periodic Export – Die ausgewählten Verletzungen werden basierend auf der von Ihnen gewählten Dauer nach Splunk exportiert.
-
-
Auf der Registerkarte Specify export configuration:
-
End Point Type – Wählen Sie Splunk aus der Liste aus.
-
End Point – Geben Sie die Details des Splunk-Endpunkts an. Der Endpunkt muss im Format https://SPLUNK_PUBLIC_IP:SPLUNK_HEC_PORT/services/collector/event vorliegen.
Hinweis
Aus Sicherheitsgründen wird die Verwendung von HTTPS empfohlen.
-
SPLUNK_PUBLIC_IP – Eine für Splunk konfigurierte gültige IP-Adresse.
-
SPLUNK_HEC_PORT – Bezeichnet die Portnummer, die Sie während der HTTP Event Endpoint-Konfiguration angegeben haben. Die Standard-Portnummer ist 8088.
-
Services/collector/event – Bezeichnet den Pfad für die HEC-Anwendung.
-
-
Authentication token – Kopieren Sie das Authentifizierungstoken von der Splunk-Seite und fügen Sie es ein.
-
Klicken Sie auf Next.
-
-
Auf der Seite Subscribe:
-
Export Frequency – Wählen Sie Täglich oder Stündlich aus der Liste aus. Basierend auf der Auswahl exportiert NetScaler ADM die Details nach Splunk.
Hinweis:
Gilt nur, wenn Sie Verletzungen in Periodic Export ausgewählt haben.
-
Subscription Name – Geben Sie einen Namen Ihrer Wahl an.
-
Aktivieren Sie das Kontrollkästchen Enable Notifications.
-
Klicken Sie auf Submit.
Hinweis
- Wenn Sie die Option Periodic Export zum ersten Mal konfigurieren, werden die Daten der ausgewählten Funktionen sofort an Splunk übertragen. Die nächste Exportfrequenz richtet sich nach Ihrer Auswahl (täglich oder stündlich).
- Wenn Sie die Option Realtime Export zum ersten Mal konfigurieren, werden die Daten der ausgewählten Funktionen sofort an Splunk übertragen, sobald die Verletzungen in NetScaler ADM erkannt werden.
-
Dashboards in Splunk anzeigen
Nachdem Sie die Konfiguration in NetScaler ADM abgeschlossen haben, erscheinen die Ereignisse in Splunk. Sie können das aktualisierte Dashboard in Splunk ohne weitere Schritte anzeigen.
Gehen Sie zu Splunk und klicken Sie auf das von Ihnen erstellte Dashboard, um das aktualisierte Dashboard anzuzeigen.
Das Folgende ist ein Beispiel für das aktualisierte WAF- und Bot-Dashboard:
Das folgende Dashboard ist ein Beispiel für das aktualisierte SSL-Zertifikat-Einblicke-Dashboard.
