Documentation Produit
Service NetScaler Console
Voir PDF

Intégration à Splunk

July 17, 2024
Contributeur: 
C

Vous pouvez désormais intégrer NetScaler Console à Splunk pour consulter les analyses relatives à :

  • Violations du WAF

  • Violations liées aux robots

  • Informations sur les certificats SSL

  • Informations sur les passerelles

Le module complémentaire Splunk vous permet de :

  • Combinez toutes les autres sources de données externes.

  • Offrez une meilleure visibilité des analyses dans un endroit centralisé.

La console NetScaler collecte les événements Bot, WAF et SSL et les envoie régulièrement à Splunk. Le module complémentaire Splunk Common Information Model (CIM) convertit les événements en données compatibles CIM. En tant qu’administrateur, à l’aide des données compatibles CIM, vous pouvez consulter les événements dans le tableau de bord Splunk.

Pour une intégration réussie, vous devez :

Configurer Splunk pour recevoir des données depuis la console NetScaler

Dans Splunk, vous devez :

  1. Configurez le point de terminaison du collecteur d’événements HTTP Splunk et générez un jeton

  2. Installez le module complémentaire Splunk Common Information Model (CIM)

  3. Installez le normalisateur CIM (applicable uniquement pour WAF et les informations sur les robots)

  4. Préparer un exemple de tableau de bord dans Splunk

Configurez le point de terminaison du collecteur d’événements HTTP Splunk et générez un jeton

Vous devez d’abord configurer le collecteur d’événements HTTP dans Splunk. Cette configuration permet l’intégration entre la console NetScaler et Splunk pour envoyer les données WAF ou Bot. Ensuite, vous devez générer un jeton dans Splunk pour :

  • Activez l’authentification entre la console NetScaler et Splunk.

  • Recevez des données via le point de terminaison du collecteur d’événements.

  1. Connectez-vous à Splunk.

  2. Accédez à Paramètres > Entrées de données > Collecteur d’événements HTTP et cliquez sur Ajouter nouveau.

  3. Spécifiez les paramètres suivants :

    1. Nom : Spécifiez le nom de votre choix.

    2. Remplacement du nom de la source (facultatif) : si vous définissez une valeur, elle remplace la valeur source du collecteur d’événements HTTP.

    3. Description (facultatif) : Spécifiez une description.

    4. Groupe de sortie (facultatif) : par défaut, cette option est sélectionnée sur Aucun.

    5. Activer l’accusé de réception de l’indexeur : NetScaler Console ne prend pas en charge cette option. Nous vous recommandons de ne pas sélectionner cette option.

      Paramètres du collecteur d'événements

  4. Cliquez sur Suivant.

  5. Vous pouvez éventuellement définir des paramètres d’entrée supplémentaires sur la page Paramètres d’entrée .

  6. Cliquez sur Vérifier pour vérifier les entrées, puis cliquez sur Soumettre.

    Un jeton est généré. Vous devez utiliser ce jeton lorsque vous ajoutez des informations dans la console NetScaler.

    Jeton Splunk

Installation du modèle d’information commun de Splunk

Dans Splunk, vous devez installer le module complémentaire Splunk CIM. Ce module complémentaire garantit que les données reçues de NetScaler Console normalisent les données ingérées et correspondent à une norme commune en utilisant les mêmes noms de champs et balises d’événement pour les événements équivalents.

Remarque

Vous pouvez ignorer cette étape si vous avez déjà installé le module complémentaire Splunk CIM.

  1. Connectez-vous à Splunk.

  2. Accédez à Applications > Rechercher d’autres applications.

    Splunk : trouvez plus d'applications

  3. Tapez CIM dans la barre de recherche et appuyez sur Entrée pour obtenir le module complémentaire Splunk Common Information Model (CIM), puis cliquez sur Installer.

    Splunk CIM

Installez le normalisateur CIM

Le normalisateur CIM est un plug-in supplémentaire que vous devez installer pour afficher les informations sur les WAF et les robots dans Splunk.

  1. Sur le portail Splunk, accédez à Applications > Rechercher d’autresapplications.

    Splunk : trouvez plus d'applications

  2. Tapez la normalisation CIM pour les événements/données du service ADM dans la barre de recherche, appuyez sur Entrée pour obtenir le module complémentaire, puis cliquez sur Installer.

    Normalisateur CIM

Préparer un exemple de tableau de bord dans Splunk

Après avoir installé Splunk CIM, vous devez préparer un exemple de tableau de bord à l’aide d’un modèle pour WAF et Bot, ainsi que de SSL Certificate Insights. Vous pouvez télécharger le fichier modèle de tableau de bord (.tgz), utiliser n’importe quel éditeur (par exemple, le bloc-notes) pour copier son contenu et créer un tableau de bord en collant les données dans Splunk.

Remarque :

La procédure suivante pour créer un exemple de tableau de bord s’applique à la fois à WAF et à Bot, ainsi qu’à SSL Certificate Insights. Vous devez utiliser le json fichier requis.

  1. Connectez-vous à la page de téléchargement de Citrix et téléchargez l’exemple de tableau de bord disponible sous Intégration de l’observabilité.

  2. Extrayez le fichier, json ouvrez-le à l’aide de n’importe quel éditeur et copiez les données du fichier.

    Remarque :

    Après l’extraction, vous obtenez deux json fichiers. Utilisez-le adm_splunk_security_violations.json pour créer l’exemple de tableau de bord WAF et Bot, et utilisez-le adm_splunk_ssl_certificate.json pour créer l’exemple de tableau de bord d’analyse des certificats SSL.

  3. Sur le portail Splunk, accédez à Recherche et rapports > Tableaux de bord, puis cliquez sur Créer un nouveautableau de bord.

    Créer un tableau de bord

  4. Sur la page Créer un nouveau tableau de bord, spécifiez les paramètres suivants :

    1. Titre du tableau de bord : indiquez le titre de votre choix.

    2. Description  : vous pouvez éventuellement fournir une description à titre de référence.

    3. Autorisation : sélectionnez Privé ou Partagé dans l’application en fonction de vos besoins.

    4. Sélectionnez Dashboard Studio.

    5. Sélectionnez une disposition (Absolue ou Grille), puis cliquez sur Créer.

      Paramètres du tableau de bord

      Après avoir cliqué sur Créer, sélectionnez l’icône Source dans la mise en page.

      Disposition de la source

  5. Supprimez les données existantes, collez les données que vous avez copiées à l’étape 2, puis cliquez sur Retour.

  6. Cliquez sur Enregistrer.

    Vous pouvez consulter l’exemple de tableau de bord suivant dans votre Splunk.

    Exemple de tableau de bord

Configurer la console NetScaler pour exporter des données vers Splunk

Tout est désormais prêt dans Splunk. La dernière étape consiste à configurer NetScaler Console en créant un abonnement et en ajoutant le jeton.

À l’issue de la procédure suivante, vous pouvez consulter le tableau de bord mis à jour dans Splunk qui est actuellement disponible dans votre console NetScaler :

  1. Connectez-vous à la console NetScaler.

  2. Accédez à Paramètres > Intégration de l’observabilité.

  3. Sur la page Intégrations, cliquez sur Ajouter.

  4. Sur la page Créer un abonnement, indiquez les informations suivantes :

    1. Indiquez le nom de votre choix dans le champ Nom de l’abonnement .

    2. Sélectionnez NetScaler Console comme source et cliquez sur Suivant.

    3. Sélectionnez Splunk et cliquez sur Configurer. Sur la page Configurer le point de terminaison :

      1. URL du point de terminaison : spécifiez les détails du point de terminaison Splunk. Le point final doit être au format https://SPLUNK_PUBLIC_IP:SPLUNK_HEC_PORT/services/collector/event.

        Remarque :

        Il est recommandé d’utiliser le protocole HTTPS pour des raisons de sécurité.

        • SPLUNK_PUBLIC_IP — Adresse IP valide configurée pour Splunk.

        • SPLUNK_HEC_PORT — Indique le numéro de port que vous avez spécifié lors de la configuration du point de terminaison de l’événement HTTP. Le numéro de port par défaut est 8088.

        • Services/Collector/Event — Indique le chemin de l’application HEC.

      2. Jeton d’authentification : copiez et collez le jeton d’authentification depuis Splunk.

      3. Cliquez sur Envoyer.

    4. Cliquez sur Suivant.

    5. Cliquez sur Ajouter des informations et, dans l’onglet Sélectionner une fonctionnalité , vous pouvez sélectionner les fonctionnalités que vous souhaitez exporter et cliquer sur Ajouter la sélection.

    6. Cliquez sur Suivant.

    7. Dans l’onglet Sélectionner une instance, vous pouvez choisir Sélectionner toutes les instances ou Sélection personnalisée, puis cliquer sur Suivant.

      • Sélectionnez toutes les instances : exporte les données de toutes les instances NetScaler vers Splunk.

      • Sélection personnalisée : vous permet de sélectionner les instances NetScaler dans la liste. Si vous sélectionnez des instances spécifiques dans la liste, les données sont exportées vers Splunk uniquement à partir des instances NetScaler sélectionnées.

    8. Cliquez sur Envoyer.

      Remarque :

      Les données relatives aux insights sélectionnés sont transmises à Splunk immédiatement après la détection des violations dans la console NetScaler.

Afficher les tableaux de bord dans Splunk

Une fois la configuration terminée dans NetScaler Console, les événements apparaissent dans Splunk.

Vous êtes prêt à consulter le tableau de bord mis à jour dans Splunk sans aucune étape supplémentaire.

Accédez à Splunk et cliquez sur le tableau de bord que vous avez créé pour afficher le tableau de bord mis à jour.

Voici un exemple de tableau de bord WAF et Bot mis à jour :

Tableau de bord actualisé

Le tableau de bord suivant est un exemple du tableau de bord SSL Certificate Insights mis à jour.

SSL certificate

Outre le tableau de bord, vous pouvez également consulter les données dans Splunk après avoir créé l’abonnement

  1. Dans Splunk, cliquez sur Search & Reporting.

  2. Dans la barre de recherche :

    • Tapez sourcetype="bot" ou sourcetype="waf" et sélectionnez la durée dans la liste pour afficher les données BOT/WAF.

    • Tapez sourcetype="ssl" et sélectionnez la durée dans la liste pour afficher les données relatives aux certificats SSL.

    • Tapez sourcetype="gateway_insights" et sélectionnez la durée dans la liste pour afficher les données de Gateway Insights.

Intégration à Splunk
July 17, 2024
Contributeur: 
C
July 17, 2024
Contributeur: 
C

Dans cet article

Commentaires sur le site | Your privacy choices footer linkVos préférences de confidentialité | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.