製品ドキュメント
Application Delivery Management
14.1 - Current Release 13.1 13.0
PDFを表示

Splunkとの連携

December 12, 2025
寄稿者: 
C

NetScaler ConsoleをSplunkと連携させ、以下の分析を表示できるようになりました。

  • WAF違反
  • Bot違反
  • SSL証明書のインサイト
  • Gatewayのインサイト
  • イベントとメトリクス
  • HDX™のインサイト
  • NetScaler® Consoleの監査ログ

Splunkアドオンを使用すると、次のことが可能になります。

  • 他のすべての外部データソースを結合
  • 分析の可視性を一元的に向上

NetScaler Consoleは、Bot、WAF、SSLイベントを収集し、定期的にSplunkに送信します。Splunk Common Information Model (CIM) アドオンは、イベントをCIM互換データに変換します。管理者は、CIM互換データを使用して、Splunkダッシュボードでイベントを表示できます。

統合を成功させるには、次の手順を実行する必要があります。

オンプレミスのNetScaler Consoleからデータを受信するためのSplunkの構成

Splunkでは、次の手順を実行する必要があります。

  1. Splunk HTTPイベントコレクターエンドポイントを設定し、トークンを生成
  2. Splunk Common Information Model (CIM) アドオンをインストール
  3. CIMノーマライザーをインストール (WAFおよびBotのインサイトにのみ適用)
  4. Splunkでサンプルダッシュボードを準備

Splunk HTTPイベントコレクターエンドポイントの設定とトークンの生成

まず、SplunkでHTTPイベントコレクターを設定する必要があります。この設定により、NetScaler ConsoleとSplunk間のデータ送信統合が可能になります。次に、Splunkでトークンを生成して、次のことを行います。

  • NetScaler ConsoleとSplunk間の認証を有効化
  • イベントコレクターエンドポイントを介してデータを受信

  1. Splunkにログオンします。

  2. Settings > Data Inputs > HTTP event collector に移動し、Add new をクリックします。

  3. 次のパラメーターを指定します。

    1. Name: 任意の名前を指定します。

    2. Source name override (optional): 値を設定すると、HTTPイベントコレクターのソース値が上書きされます。

    3. Description (optional): 説明を指定します。

    4. Output Group (optional): デフォルトでは、このオプションは None が選択されています。

    5. Enable indexer acknowledgement: NetScaler Consoleはこのオプションをサポートしていません。このオプションを選択しないことをお勧めします。

      イベントコレクターのパラメーター

  4. Next をクリックします。

  5. 必要に応じて、Input Settings ページで追加の入力パラメーターを設定できます。

  6. Review をクリックしてエントリを確認し、Submit をクリックします。

    トークンが生成されます。NetScaler Consoleで詳細を追加する際に、このトークンを使用する必要があります。

    Splunkトークン

Splunk Common Information Modelのインストール

Splunkでは、Splunk CIMアドオンをインストールする必要があります。このアドオンは、NetScaler Consoleから受信したデータを取り込み、同等のイベントに対して同じフィールド名とイベントタグを使用して、取り込まれたデータを正規化し、共通の標準に一致させることを保証します。

注

Splunk CIMアドオンをすでにインストールしている場合は、この手順をスキップできます。

  1. Splunkにログオンします。

  2. Apps > Find More Apps に移動します。

    Splunkのその他のアプリを検索

  3. 検索バーに「CIM」と入力し、Enter キーを押して Splunk Common Information Model (CIM) アドオンを取得し、Install をクリックします。

    Splunk CIM

CIMノーマライザーのインストール

CIMノーマライザーは、SplunkでWAFおよびBotのインサイトを表示するためにインストールする必要がある追加のプラグインです。

  1. Splunkポータルで、Apps > Find More Apps に移動します。

    Splunkのその他のアプリを検索

  2. 検索バーに「CIM normalization for NetScaler Console service events/data」と入力し、Enter キーを押してアドオンを取得し、Install をクリックします。

    CIMノーマライザー

Splunkでのサンプルダッシュボードの準備

Splunk CIMをインストールした後、WAFとBot、SSL証明書のインサイト、およびイベントとメトリクス用のテンプレートを使用してサンプルダッシュボードを準備する必要があります。ダッシュボードテンプレート (.tgz) ファイルをダウンロードし、任意のエディター (例: メモ帳) を使用してその内容をコピーし、Splunkにデータを貼り付けてダッシュボードを作成できます。

注:

サンプルダッシュボードを作成するための以下の手順は、すべてのユースケースに適用されます。必要な json ファイルを使用する必要があります。

  1. Citrixダウンロードページにログオンし、Sample Dashboards for 3rd party Endpoints から入手可能なサンプルダッシュボードをダウンロードします。

  2. ファイルを抽出し、任意のテキストエディターで json ファイルを開き、ファイルからデータをコピーします。

    抽出後、3つの json ファイルが取得されます。以下を使用します。

    • WAFおよびBotのサンプルダッシュボードを作成するための adm_splunk_security_violations.json ファイル。
    • SSL証明書インサイトのサンプルダッシュボードを作成するための adm_splunk_ssl_certificate.json ファイル。
    • NetScaler Consoleのイベントおよびメトリクスダッシュボードを作成するための adm_splunk_events_and_metrics_history.json ファイル。

  3. Splunkポータルで、Search & Reporting > Dashboards に移動し、Create New Dashboard をクリックします。

    ダッシュボードの作成

  4. Create New Dashboard ページで、次のパラメーターを指定します。

    1. Dashboard Title - 任意のタイトルを指定します。

    2. Description - 必要に応じて、参照用の説明を指定できます。

    3. Permission - 要件に基づいて Private または Shared in App を選択します。

    4. Dashboard Studio を選択します。

    5. いずれかのレイアウト (Absolute または Grid) を選択し、Create をクリックします。

      ダッシュボードのパラメーター

      Create をクリックした後、レイアウトから Source アイコンを選択します。

      ソースレイアウト

  5. 既存のデータを削除し、手順2でコピーしたデータを貼り付けて、Back をクリックします。

  6. Save をクリックします。

    サンプルダッシュボードを表示できます。

    以下は、WAFおよびBotのサンプルダッシュボードの例です。

    サンプルダッシュボード

オンプレミスのNetScaler ConsoleからSplunkにデータをエクスポートするための構成

Splunkでの準備はすべて完了しました。最後のステップは、サブスクリプションを作成し、トークンを追加してNetScaler Consoleを構成することです。

以下の手順を完了すると、NetScaler Consoleで現在利用可能な更新されたダッシュボードをSplunkで表示できます。

  1. NetScaler Consoleにログオンします。

  2. Settings > Observability Integration に移動します。

  3. Integrations ページで、Add をクリックします。

  4. Create Subscription ページで、次の詳細を指定します。

    1. Subscription Name フィールドに任意の名前を指定します。

    2. Source として NetScaler Console を選択し、Next をクリックします。

    3. Splunk を選択し、Configure をクリックします。Configure Endpoint ページで、次の操作を行います。

      1. End Point URL – Splunkエンドポイントの詳細を指定します。エンドポイントは https://SPLUNK_PUBLIC_IP:SPLUNK_HEC_PORT/services/collector/event の形式である必要があります。

        注:

        セキュリティ上の理由からHTTPSを使用することをお勧めします。

        • SPLUNK_PUBLIC_IP – Splunk用に構成された有効なIPアドレス。

        • SPLUNK_HEC_PORT – HTTPイベントエンドポイント構成中に指定したポート番号を示します。デフォルトのポート番号は8088です。

        • Services/collector/event – HECアプリケーションのパスを示します。

      2. Authentication token – Splunkから認証トークンをコピーして貼り付けます。

      3. Submit をクリックします。

    4. Next をクリックします。

    5. Add Insights をクリックし、Select Feature タブでエクスポートする機能を選択し、Add Selected をクリックします。

      注:

      NetScaler Console Audit Logs を選択した場合、監査ログをSplunkにエクスポートする頻度として Daily または Hourly を選択できます。

    6. Next をクリックします。

    7. Select Instance タブで、Select All Instances または Custom select のいずれかを選択し、Next をクリックします。

      • Select All Instances - すべてのNetScalerインスタンスからSplunkにデータをエクスポートします。

      • Custom select - リストからNetScalerインスタンスを選択できます。リストから特定のインスタンスを選択した場合、データは選択されたNetScalerインスタンスからのみSplunkにエクスポートされます。

    8. Submit をクリックします。

      注:

      選択されたインサイトのデータは、NetScaler Consoleで違反が検出された直後にSplunkにプッシュされます。

Splunkでのダッシュボードの表示

NetScaler Consoleでの構成が完了すると、データはNetScaler Consoleからエクスポートされ、イベントがSplunkに表示されます。

追加の手順なしで、Splunkで更新されたダッシュボードを表示する準備が整いました。

Splunkに移動し、作成したダッシュボードをクリックして、更新されたダッシュボードを表示します。

以下は、更新されたWAFおよびBotダッシュボードの例です。

更新されたダッシュボード

以下のダッシュボードは、更新されたSSL証明書インサイトダッシュボードの例です。

SSL証明書

以下のダッシュボードは、更新されたイベントおよびメトリクスダッシュボードの例です。

注:

メモリ、CPU、ディスクの使用状況データは、NetScaler Consoleからの現在の値を示します。これらの値の上下の傾向は、5分ごとの以前の値との比較に基づいて表示されます。

イベントダッシュボード

ダッシュボードとは別に、サブスクリプション を作成した後、Splunkでデータを表示することもできます。

  1. Splunkで、Search & Reporting をクリックします。

  2. 検索バーで、次の操作を行います。

    • sourcetype="metrics" と入力し、リストから期間を選択してNetScaler Consoleのメトリクスデータを表示します。

    • sourcetype="event" と入力し、リストから期間を選択してNetScaler Consoleのイベントデータを表示します。

    • sourcetype="bot" または sourcetype="waf" と入力し、リストから期間を選択してBot/WAFデータを表示します。

    • sourcetype="ssl" と入力し、リストから期間を選択してSSL証明書インサイトデータを表示します。

    • sourcetype="gateway_insights" と入力し、リストから期間を選択してGatewayインサイトデータを表示します。

    • sourcetype="hdx_insights" と入力し、リストから期間を選択してGatewayインサイトデータを表示します。

    • sourcetype= "audit_logs" と入力し、リストから期間を選択して監査ログデータを表示します。

Splunkとの連携
December 12, 2025
寄稿者: 
C
December 12, 2025
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.