Documentation Produit
Application Delivery Management
14.1 - Current Release 13.1 13.0 12.1
Voir PDF

Intégration à Splunk

February 1, 2024
Contributeur: 
C

Vous pouvez désormais intégrer NetScaler ADM à Splunk pour consulter les analyses relatives à :

  • Violations du WAF

  • Violations liées aux robots

  • Informations sur les certificats SSL

  • Événements et indicateurs

Le module complémentaire Splunk vous permet de :

  • Combinez toutes les autres sources de données externes.

  • Offrez une meilleure visibilité des analyses dans un endroit centralisé.

NetScaler ADM collecte les événements Bot, WAF et SSL et les envoie régulièrement à Splunk. Le module complémentaire Splunk Common Information Model (CIM) convertit les événements en données compatibles CIM. En tant qu’administrateur, à l’aide des données compatibles CIM, vous pouvez consulter les événements dans le tableau de bord Splunk.

Pour une intégration réussie, vous devez :

Configurer Splunk pour recevoir des données de NetScaler ADM

Dans Splunk, vous devez :

  1. Configurez le point de terminaison du collecteur d’événements HTTP Splunk et générez un jeton

  2. Installez le module complémentaire Splunk Common Information Model (CIM)

  3. Installez le normalisateur CIM (applicable uniquement pour WAF et les informations sur les robots)

  4. Préparer un exemple de tableau de bord dans Splunk

Configurez le point de terminaison du collecteur d’événements HTTP Splunk et générez un jeton

Vous devez d’abord configurer le collecteur d’événements HTTP dans Splunk. Cette configuration permet l’intégration entre l’ADM et Splunk pour envoyer les données. Ensuite, vous devez générer un jeton dans Splunk pour :

  • Activez l’authentification entre ADM et Splunk.

  • Recevez des données via le point de terminaison du collecteur d’événements.

  1. Connectez-vous à Splunk.

  2. Accédez à Paramètres > Entrées de données > Collecteur d’événements HTTP et cliquez sur Ajouter nouveau.

  3. Spécifiez les paramètres suivants :

    1. Nom : Spécifiez le nom de votre choix.

    2. Remplacement du nom de la source (facultatif) : si vous définissez une valeur, elle remplace la valeur source du collecteur d’événements HTTP.

    3. Description (facultatif) : Spécifiez une description.

    4. Groupe de sortie (facultatif) : Par défaut, cette option est sélectionnée sur Aucun.

    5. Activer l’accusé de réception de l’indexeur : par défaut, cette option n’est pas sélectionnée.

      Paramètres du collecteur d'événements

  4. Cliquez sur Suivant.

  5. Vous pouvez éventuellement définir des paramètres d’entrée supplémentaires sur la page Paramètres d’entrée .

  6. Cliquez sur Vérifier pour vérifier les entrées, puis cliquez sur Soumettre.

    Un jeton est généré. Vous devez utiliser ce jeton lorsque vous ajoutez des détails dans NetScaler ADM.

    Jeton Splunk

Installation du modèle d’information commun de Splunk

Dans Splunk, vous devez installer le module complémentaire Splunk CIM. Ce module complémentaire garantit que les données reçues de NetScaler ADM normalisent les données ingérées et correspondent à une norme commune en utilisant les mêmes noms de champs et balises d’événement pour des événements équivalents.

  1. Connectez-vous à Splunk.

  2. Accédez à Applications > Rechercher d’autres applications.

    Splunk : trouvez plus d'applications

  3. Tapez CIM dans la barre de recherche et appuyez sur Entrée pour obtenir le module complémentaire Splunk Common Information Model (CIM), puis cliquez sur Installer.

    Splunk CIM

Installez le normalisateur CIM

Le normalisateur CIM est un plug-in supplémentaire que vous devez installer pour afficher les informations sur les WAF et les robots dans Splunk.

  1. Sur le portail Splunk, accédez à Applications > Rechercher d’autresapplications.

    Splunk : trouvez plus d'applications

  2. Tapez la normalisation CIM pour les événements/données du service ADM dans la barre de recherche, appuyez sur Entrée pour obtenir le module complémentaire, puis cliquez sur Installer.

    Normalisateur CIM

Préparer un exemple de tableau de bord dans Splunk

Après avoir installé Splunk CIM, vous devez préparer un exemple de tableau de bord à l’aide d’un modèle pour WAF et Bot, d’informations sur les certificats SSL, ainsi que d’événements et de statistiques. Vous pouvez télécharger le fichier modèle de tableau de bord (.tgz), utiliser n’importe quel éditeur (par exemple, le bloc-notes) pour copier son contenu et créer un tableau de bord en collant les données dans Splunk.

Remarque :

La procédure suivante pour créer un exemple de tableau de bord s’applique à tous les cas d’utilisation. Vous devez utiliser le json fichier requis.

  1. Connectez-vous à la page de téléchargement de Citrix et téléchargez l’exemple de tableau de bord disponible sous Exemples de tableaux de bord pour terminaux tiers.

  2. Extrayez le fichier, json ouvrez-le à l’aide de n’importe quel éditeur et copiez les données du fichier.

    Après avoir extrait, vous obtenez trois fichiers json. Utilisez le :

    • adm_splunk_security_violations.json fichier pour créer un exemple de tableau de bord WAF et Bot.

    • adm_splunk_ssl_certificate.json fichier pour créer un exemple de tableau de bord sur les certificats SSL.

    • adm_splunk_events_and_metrics_history.json fichier pour créer un tableau de bord des événements et des statistiques ADM.

  3. Sur le portail Splunk, accédez à Recherche et rapports > Tableaux de bord, puis cliquez sur Créer un nouveautableau de bord.

    Créer un tableau de bord

  4. Sur la page Créer un nouveau tableau de bord, spécifiez les paramètres suivants :

    1. Titre du tableau de bord : indiquez le titre de votre choix.

    2. Description  : vous pouvez éventuellement fournir une description à titre de référence.

    3. Autorisation : sélectionnez Privé ou Partagé dans l’application en fonction de vos besoins.

    4. Sélectionnez Dashboard Studio.

    5. Sélectionnez une disposition (Absolue ou Grille), puis cliquez sur Créer.

      Paramètres du tableau de bord

      Après avoir cliqué sur Créer, sélectionnez l’icône Source dans la mise en page.

      Disposition de la source

  5. Supprimez les données existantes, collez les données que vous avez copiées à l’étape 2, puis cliquez sur Retour.

  6. Cliquez sur Enregistrer.

    Vous pouvez consulter l’exemple de tableau de bord.

    Voici un exemple de tableau de bord pour WAF et bot.

    Exemple de tableau de bord

Configurer NetScaler ADM pour exporter des données vers Splunk

Tout est désormais prêt dans Splunk. La dernière étape consiste à configurer NetScaler ADM en créant un abonnement et en ajoutant le jeton.

À la fin de la procédure suivante, vous pouvez consulter le tableau de bord mis à jour dans Splunk qui est actuellement disponible dans votre NetScaler ADM :

  1. Connectez-vous à NetScaler ADM.

  2. Accédez à Paramètres > Intégration de l’écosystème.

  3. Sur la page Abonnements, cliquez sur Ajouter.

  4. Indiquez le nom de votre choix dans le champ Nom de l’abonnement .

  5. Dans l’onglet Sélectionner une fonctionnalité, vous pouvez sélectionner les fonctionnalités que vous souhaitez exporter et cliquer sur Suivant.

    • Exportation en temps réel  : les violations sélectionnées sont immédiatement exportées vers Splunk.

    • Exportation périodique  : les violations sélectionnées sont exportées vers Splunk en fonction de la durée que vous sélectionnez.

      Sélectionnez les fonctionnalités

  6. Dans l’onglet Sélectionner une instance, vous pouvez choisir Sélectionner toutes les instances ou Sélection personnalisée, puis cliquer sur Suivant.

    • Sélectionnez toutes les instances : exporte les données de toutes les instances NetScaler vers Splunk.

    • Sélection personnalisée : vous permet de sélectionner les instances NetScaler dans la liste. Si vous sélectionnez des instances spécifiques dans la liste, les données sont exportées vers Splunk uniquement à partir des instances NetScaler sélectionnées.

      Sélectionnez des instances

  7. Dans l’onglet Paramètres d’abonnement :

    1. Type de point final : sélectionnez Splunk.

    2. URL du point de terminaison : spécifiez les détails du point de terminaison Splunk. Le point final doit être au format https://SPLUNK_PUBLIC_IP:SPLUNK_HEC_PORT/services/collector/event.

      Remarque

      Il est recommandé d’utiliser le protocole HTTPS pour des raisons de sécurité.

      • SPLUNK_PUBLIC_IP — Adresse IP valide configurée pour Splunk.

      • SPLUNK_HEC_PORT — Indique le numéro de port que vous avez spécifié lors de la configuration du point de terminaison de l’événement HTTP. Le numéro de port par défaut est 8088.

      • Services/Collector/Event — Indique le chemin de l’application HEC.

    3. Jeton d’authentification — Copiez et collez le jeton d’authentification depuis la page Splunk.

    4. Sélectionnez la fréquence : sélectionnez Quotidien ou Horaire dans la liste. En fonction de la sélection, NetScaler ADM exporte les détails vers Splunk.

      Remarque

      Applicable uniquement si vous avez sélectionné des violations dans l’exportation périodique.

    5. Cliquez sur Envoyer.

      Subscribe

      Remarque

      • Lorsque vous configurez avec l’option d’exportation périodique pour la première fois, les données des fonctionnalités sélectionnées sont immédiatement transférées vers Splunk. La fréquence d’exportation suivante se produit en fonction de votre sélection (quotidienne ou horaire).

      • Lorsque vous configurez pour la première fois avec l’option d’exportation en temps réel, les données des fonctionnalités sélectionnées sont transmises à Splunk immédiatement dès que les violations sont détectées dans NetScaler ADM.

Afficher les tableaux de bord dans Splunk

Une fois que vous avez terminé la configuration dans NetScaler ADM, les données sont exportées depuis NetScaler ADM et les événements apparaissent dans Splunk.

Remarque :

Pour consulter immédiatement les données actualisées relatives aux certificats SSL dans Splunk, cliquez sur Poll now dans le tableau de bord SSL de NetScaler ADM (Infrastructure > Tableau de bord SSL).

Vous êtes prêt à consulter le tableau de bord mis à jour dans Splunk sans aucune étape supplémentaire.

Accédez à Splunk et cliquez sur le tableau de bord que vous avez créé pour afficher le tableau de bord mis à jour.

Voici un exemple de tableau de bord WAF et Bot mis à jour :

Tableau de bord actualisé

Le tableau de bord suivant est un exemple du tableau de bord actualisé d’informations sur les certificats SSL.

SSL certificate

Le tableau de bord suivant est un exemple de tableau de bord des événements et des statistiques mis à jour.

Remarque :

Les données d’utilisation de la mémoire, du processeur et du disque indiquent la valeur actuelle de NetScaler ADM. La tendance à la hausse et à la baisse de ces valeurs est indiquée sur la base de la comparaison de la valeur précédente toutes les 5 minutes.

Tableau de bord événements

Outre le tableau de bord, vous pouvez également consulter les données dans Splunk après avoir créé l’abonnement.

  1. Dans Splunk, cliquez sur Search & Reporting.

  2. Dans la barre de recherche :

    • Tapez sourcetype="metrics" et sélectionnez la durée dans la liste pour afficher les données des métriques ADM.

    • Tapez sourcetype="event" et sélectionnez la durée dans la liste pour afficher les données des événements ADM.

    • Tapez sourcetype="bot" ou sourcetype="waf" et sélectionnez la durée dans la liste pour afficher les données BOT/WAF.

    • Tapez sourcetype="ssl" et sélectionnez la durée dans la liste pour afficher les données relatives aux certificats SSL.

Intégration à Splunk
February 1, 2024
Contributeur: 
C
February 1, 2024
Contributeur: 
C

Dans cet article

Commentaires sur le site | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.