Intégration avec Splunk
Vous pouvez désormais intégrer NetScaler® ADM à Splunk pour afficher les analyses des éléments suivants :
- violations WAF
- violations de bot
- informations sur les certificats SSL
L’add-on Splunk vous permet de :
- Combiner toutes les autres sources de données externes.
- Offrir une meilleure visibilité des analyses dans un emplacement centralisé.
NetScaler ADM collecte les événements de bot, WAF et SSL, et les envoie périodiquement à Splunk. L’add-on Splunk Common Information Model (CIM) convertit les événements en données compatibles CIM. En tant qu’administrateur, vous pouvez afficher les événements dans le tableau de bord Splunk à l’aide des données compatibles CIM.
Pour une intégration réussie, vous devez :
- Configurer Splunk pour recevoir des données de NetScaler ADM
- Configurer NetScaler ADM pour exporter des données vers Splunk
- Afficher les tableaux de bord dans Splunk
Configurer Splunk pour recevoir des données de NetScaler ADM
Dans Splunk, vous devez :
- Configurer le point de terminaison du collecteur d’événements HTTP Splunk et générer un jeton
- Installer l’add-on Splunk Common Information Model (CIM)
- Préparer un exemple de tableau de bord dans Splunk
Configurer le point de terminaison du collecteur d’événements HTTP Splunk et générer un jeton
Vous devez d’abord configurer le collecteur d’événements HTTP dans Splunk. Cette configuration permet l’intégration entre ADM et Splunk pour l’envoi des données. Ensuite, vous devez générer un jeton dans Splunk pour :
- Activer l’authentification entre ADM et Splunk.
- Recevoir des données via le point de terminaison du collecteur d’événements.
-
Connectez-vous à Splunk.
-
Accédez à Settings > Data Inputs > HTTP event collector et cliquez sur Add new.
-
Spécifiez les paramètres suivants :
-
Name : Spécifiez un nom de votre choix.
-
Source name override (optional) : Si vous définissez une valeur, elle remplace la valeur source du collecteur d’événements HTTP.
-
Description (optional) : Spécifiez une description.
-
Output Group (optional) : Par défaut, cette option est sélectionnée comme None.
-
Enable indexer acknowledgement : Par défaut, cette option n’est pas sélectionnée.
-
-
Cliquez sur Next.
-
Vous pouvez éventuellement définir des paramètres d’entrée supplémentaires sur la page Input Settings.
-
Cliquez sur Review pour vérifier les entrées, puis sur Submit.
Un jeton est généré. Vous devez utiliser ce jeton lorsque vous ajoutez des détails dans NetScaler ADM.
Installer le Splunk Common Information Model
Dans Splunk, vous devez installer l’add-on Splunk CIM. Cet add-on garantit que les données reçues de NetScaler ADM normalisent les données ingérées et correspondent à une norme commune en utilisant les mêmes noms de champs et balises d’événements pour les événements équivalents.
-
Connectez-vous à Splunk.
-
Accédez à Apps > Find More Apps.
-
Saisissez CIM dans la barre de recherche et appuyez sur Entrée pour obtenir l’add-on Splunk Common Information Model (CIM), puis cliquez sur Install.
Préparer un exemple de tableau de bord dans Splunk
Après avoir installé le Splunk CIM, vous devez préparer un exemple de tableau de bord à l’aide d’un modèle pour WAF et Bot, et pour les informations sur les certificats SSL. Vous pouvez télécharger le fichier de modèle de tableau de bord (.tgz), utiliser n’importe quel éditeur (par exemple, le Bloc-notes) pour copier son contenu et créer un tableau de bord en collant les données dans Splunk.
Remarque :
La procédure suivante pour créer un exemple de tableau de bord est applicable à la fois pour WAF et Bot, et pour les informations sur les certificats SSL. Vous devez utiliser le fichier
jsonrequis.
-
Connectez-vous à la page de téléchargements Citrix et téléchargez l’exemple de tableau de bord disponible sous Intégration de l’observabilité.
-
Extrayez le fichier, ouvrez le fichier
jsonà l’aide de n’importe quel éditeur et copiez les données du fichier.Remarque :
Après l’extraction, vous obtenez deux fichiers
json. Utilisezadm_splunk_security_violations.jsonpour créer l’exemple de tableau de bord WAF et Bot, et utilisezadm_splunk_ssl_certificate.jsonpour créer l’exemple de tableau de bord d’informations sur les certificats SSL. -
Dans le portail Splunk, accédez à Search & Reporting > Dashboards, puis cliquez sur Create New Dashboard.
-
Sur la page Create New Dashboard, spécifiez les paramètres suivants :
-
Dashboard Title : Indiquez un titre de votre choix.
-
Description : Vous pouvez éventuellement fournir une description pour votre référence.
-
Permission : Sélectionnez Private ou Shared in App en fonction de vos besoins.
-
Sélectionnez Dashboard Studio.
-
Sélectionnez l’une des dispositions (Absolute ou Grid), puis cliquez sur Create.
Après avoir cliqué sur Create, sélectionnez l’icône Source dans la disposition.
-
-
Supprimez les données existantes, collez les données que vous avez copiées à l’étape 2, puis cliquez sur Back.
-
Cliquez sur Save.
Vous pouvez afficher l’exemple de tableau de bord suivant dans votre Splunk.
Configurer NetScaler ADM pour exporter des données vers Splunk
Tout est maintenant prêt dans Splunk. La dernière étape consiste à configurer NetScaler ADM en créant un abonnement et en ajoutant le jeton.
Une fois la procédure suivante terminée, vous pouvez afficher le tableau de bord mis à jour dans Splunk, qui est actuellement disponible dans votre NetScaler ADM :
-
Connectez-vous à NetScaler ADM.
-
Accédez à Settings > Ecosystem Integration.
-
Sur la page Subscriptions, cliquez sur Add.
-
Dans l’onglet Select features to subscribe, sélectionnez les fonctionnalités que vous souhaitez exporter, puis cliquez sur Next.
-
Realtime Export : Les violations sélectionnées sont exportées vers Splunk immédiatement.
-
Periodic Export : Les violations sélectionnées sont exportées vers Splunk en fonction de la durée que vous sélectionnez.
-
-
Dans l’onglet Specify export configuration :
-
End Point Type : Sélectionnez Splunk dans la liste.
-
End Point : Spécifiez les détails du point de terminaison Splunk. Le point de terminaison doit être au format https://SPLUNK_PUBLIC_IP:SPLUNK_HEC_PORT/services/collector/event.
Remarque
Il est recommandé d’utiliser HTTPS pour des raisons de sécurité.
-
SPLUNK_PUBLIC_IP : Une adresse IP valide configurée pour Splunk.
-
SPLUNK_HEC_PORT : Indique le numéro de port que vous avez spécifié lors de la configuration du point de terminaison d’événement HTTP. Le numéro de port par défaut est 8088.
-
Services/collector/event : Indique le chemin d’accès de l’application HEC.
-
-
Authentication token : Copiez et collez le jeton d’authentification de la page Splunk.
-
Cliquez sur Next.
-
-
Sur la page Subscribe :
-
Export Frequency : Sélectionnez Daily ou Hourly dans la liste. En fonction de la sélection, NetScaler ADM exporte les détails vers Splunk.
Remarque :
Applicable uniquement si vous avez sélectionné des violations dans Periodic Export.
-
Subscription Name : Spécifiez un nom de votre choix.
-
Cochez la case Enable Notifications.
-
Cliquez sur Submit.
Remarque
- Lorsque vous configurez l’option Periodic Export pour la première fois, les données des fonctionnalités sélectionnées sont immédiatement transmises à Splunk. La fréquence d’exportation suivante dépend de votre sélection (quotidienne ou horaire).
- Lorsque vous configurez l’option Realtime Export pour la première fois, les données des fonctionnalités sélectionnées sont immédiatement transmises à Splunk dès que les violations sont détectées dans NetScaler ADM.
-
Afficher les tableaux de bord dans Splunk
Une fois la configuration terminée dans NetScaler ADM, les événements apparaissent dans Splunk. Vous êtes prêt à afficher le tableau de bord mis à jour dans Splunk sans aucune étape supplémentaire.
Accédez à Splunk et cliquez sur le tableau de bord que vous avez créé pour afficher le tableau de bord mis à jour.
Voici un exemple du tableau de bord WAF et Bot mis à jour :
Le tableau de bord suivant est un exemple du tableau de bord mis à jour des informations sur les certificats SSL.
