ADC

Exportez les journaux d’audit et les événements directement de NetScaler vers Splunk

March 17, 2024

Contributeur:

La journalisation des audits vous permet de consigner les états de NetScaler et les informations d’état collectées par les différents modules de NetScaler. En consultant les journaux, vous pouvez résoudre les problèmes ou les erreurs et les corriger.

Vous pouvez désormais exporter des journaux d’audit et des événements depuis NetScaler vers des plateformes d’agrégation de journaux standard telles que Splunk et obtenir des informations pertinentes.

Il existe plusieurs manières d’exporter les journaux d’audit de NetScaler vers Splunk. Vous pouvez configurer Splunk en tant que serveur syslog ou en tant que serveur HTTP. Cette rubrique fournit des informations sur la configuration de Splunk en tant que serveur HTTP à l’aide du collecteur d’événements HTTP Splunk. À l’aide du collecteur d’événements HTTP, vous pouvez envoyer des journaux d’audit via HTTP (ou HTTPS) directement à la plateforme Splunk depuis votre NetScaler.

Configurer l’exportation des journaux d’audit de NetScaler vers Splunk

Pour configurer l’exportation des journaux d’audit, vous devez suivre les étapes suivantes :

Configurez le collecteur d’événements HTTP sur Splunk.
Créez un service de collecte et un profil d’analyse de séries chronologiques sur NetScaler.

Configurer le collecteur d’événements HTTP sur Splunk

Vous pouvez transmettre les journaux d’audit à Splunk en configurant un collecteur d’événements HTTP.

Consultez la documentation de Splunk pour savoir comment configurer le collecteur d’événements HTTP.

Une fois que vous avez configuré le collecteur d’événements HTTP, copiez le jeton d’authentification et enregistrez-le pour référence. Vous devez spécifier ce jeton lors de la configuration du profil d’analyse sur NetScaler.

Configurer le profil d’analyse des séries chronologiques sur NetScaler

Procédez comme suit pour exporter les journaux d’audit NetScaler vers Splunk.

Créez un service de collecte pour Splunk.
```
add service <collector> <splunk-server-ip-address> <protocol> <port>
```
Exemple :
```
add service splunk_service 10.102.34.155 HTTP 8088
```
Dans cette configuration :
- ip-address: Spécifiez l’adresse IP du serveur Splunk.
- collector-name: Spécifiez le collecteur.
- protocol: Spécifiez le protocole HTTP ou HTTPS
- port: Spécifiez le numéro de port.
Créez un profil d’analyse de séries chronologiques.
```
    add analytics profile <profile-name> -type time series -auditlog enabled -collectors <collector-name>  -analyticsAuthToken <"auth-token">
    -analyticsEndpointContentType <"Application/json"> -analyticsEndpointMetadata <"meta-data-for-endpoint:"> -analyticsEndpointUrl <"endpoint-url">
```
Exemple :
```
    add analytics profile audit_profile -type timeseries -auditlog enabled -collectors -analyticsAuthToken "Splunk 1234-5678-12345" -analyticsEndpointContentType "Application/json" -analyticsEndpointMetadata "{\"event\":[" -analyticsEndpointUrl "/services/collector/event"
```
Dans cette configuration :
- auditlog: Spécifiez la valeur enabled pour activer la journalisation des audits.
- analyticsAuthToken: Spécifiez le jeton d’authentification à inclure dans l’en-tête d’autorisation lors de l’envoi des journaux à Splunk. Ce jeton est le jeton d’authentification créé sur le serveur Splunk lors de la configuration du collecteur d’événements HTTP. Le jeton d’authentification doit être au format « Splunk <token-copied-from-splunk>». Par exemple, « Splunk 3e52aa4b-1db7-45b2-9af9-173eedc8e1bc ».
- analyticsEndpointContentType: Spécifiez le format des journaux.
- analyticsEndpointMetadata: Spécifiez les métadonnées que Splunk attend au début des données, c’est-à-dire. "{\"event\":["
- analyticsEndpointUrl: Spécifiez l’URL vers laquelle vous avez configuré Splunk HEC pour recevoir les requêtes. Par exemple, « /services/collector/event ».
Remarque :

Vous pouvez modifier les paramètres du profil d’analyse des séries chronologiques à l’aide de la set analytics profile commande.

Vérifiez la configuration du profil d’analyse à l’aide de la commande show analytics profile.

# show analytics profile audit_profile

1)    Name: audit_profile
      Collector: splunk
      Profile-type: timeseries
            Output Mode: avro
            Metrics: DISABLED
              Schema File: schema.json
              Metrics Export Frequency: 30
            Events: DISABLED
            Auditlog: ENABLED
            Serve mode: Push
       Authentication Token: <auth-token>
       Endpoint URL: /services/collector/event
       Endpoint Content-type: Application/json
       Endpoint Metadata: {"event":[
       Reference Count: 0

Une fois la configuration réussie, les journaux d’audit sont envoyés sous forme de charges utiles HTTP à Splunk et vous pouvez les consulter sur l’interface utilisateur de l’application Splunk.

Configurer l’exportation d’événements depuis NetScaler vers Splunk

Pour configurer l’exportation des événements de NetScaler vers Splunk, vous devez suivre les étapes suivantes :

Configurez le collecteur d’événements HTTP sur Splunk en suivant les étapes décrites dans Configurer le collecteur d’événements HTTP sur Splunk.
Créez un service de collecte sur NetScaler à l’aide de la commande suivante.
```
add service <collector> <splunk-server-ip-address> <protocol> <port>
```
Exemple :
```
add service splunk_service 10.102.34.155 HTTP 8088
```
Dans cette configuration :
- ip-address: Spécifiez l’adresse IP du serveur Splunk.
- collector-name: Spécifiez le collecteur.
- protocol: Spécifiez le protocole HTTP ou HTTPS.
- port: Spécifiez le numéro de port.

Créez un profil d’analyse de séries chronologiques sur NetScaler à l’aide de la add analytics profile commande. Vous devez spécifier l’option -events enabled lors de la création du profil d’analyse pour activer les événements d’exportation.

Exemple :

add analytics profile event_profile -type timeseries -events enabled -collectors splunk -analyticsAuthToken "Splunk 1234-5678-12345" -analyticsEndpointContentType "Application/json" -analyticsEndpointMetadata "{\"event\":[" -analyticsEndpointUrl "/services/collector/event"

Vérifiez la configuration du profil d’analyse à l’aide de la show analytics profile commande.

# show analytics profile event_profile

1)    Name: event_profile
      Collector: splunk
      Profile-type: timeseries
            Output Mode: avro
            Metrics: DISABLED
              Schema File: schema.json
              Metrics Export Frequency: 30
            Events: ENABLED
            Auditlog: DISABLED
            Serve mode: Push
       Authentication Token: <auth-token>
       Endpoint URL: /services/collector/event
       Endpoint Content-type: Application/json
       Endpoint Metadata: {"event":[
       Reference Count: 0

La version officielle de ce document est en anglais. Certains contenus de la documentation Cloud Software Group ont été traduits de façon automatique à des fins pratiques uniquement. Cloud Software Group n'exerce aucun contrôle sur le contenu traduit de façon automatique, qui peut contenir des erreurs, des imprécisions ou un langage inapproprié. Aucune garantie, explicite ou implicite, n'est fournie quant à l'exactitude, la fiabilité, la pertinence ou la justesse de toute traduction effectuée depuis l'anglais d'origine vers une autre langue, ou quant à la conformité de votre produit ou service Cloud Software Group à tout contenu traduit de façon automatique, et toute garantie fournie en vertu du contrat de licence de l'utilisateur final ou des conditions d'utilisation des services applicables, ou de tout autre accord avec Cloud Software Group, quant à la conformité du produit ou service à toute documentation ne s'applique pas dans la mesure où cette documentation a été traduite de façon automatique. Cloud Software Group ne pourra être tenu responsable de tout dommage ou problème dû à l'utilisation de contenu traduit de façon automatique.

Cela vous a-t-il été utile ?

Exportez les journaux d’audit et les événements directement de NetScaler vers Splunk

March 17, 2024

Contributeur:

March 17, 2024

Contributeur:

Dans cet article

Configurer l’exportation des journaux d’audit de NetScaler vers Splunk
Configurer l’exportation d’événements depuis NetScaler vers Splunk

Cela vous a-t-il été utile ?