产品文档
Application Delivery Management
14.1 - Current Release 13.1 13.0
查看 PDF

与 Splunk 集成

June 19, 2024
投稿者: 
C

现在，您可以将 NetScaler 控制台与 Splunk 集成，以查看以下方面的分析：

  • WAF 违规行为

  • 机器人违规行为

  • SSL 证书见解

  • Gateway Insight

  • 事件和指标

  • HDX Insight

Splunk 插件使您能够：

  • 合并所有其他外部数据源。

  • 集中提供更高的分析可见性。

NetScaler 控制台收集 Bot、WAF、SSL 事件，并定期向 Splunk 发送事件。Splunk 通用信息模型 (CIM) 插件将事件转换为 CIM 兼容数据。作为管理员，您可以使用与 CIM 兼容的数据在 Splunk 控制板中查看事件。

要成功集成，您必须：

将 Splunk 配置为从本地的 NetScaler 控制台接收数据

在 Splunk 中，您必须：

  1. 设置 Splunk HTTP 事件收集器端点并生成令牌

  2. 安装 Splunk 通用信息模型 (CIM) 插件

  3. 安装 CIM 标准化器（仅适用于 WAF 和机器人见解）

  4. 在 Splunk 中准备一个示例控制板

设置 Splunk HTTP 事件收集器端点并生成令牌

您必须先在 Splunk 中设置 HTTP 事件收集器。此设置允许 NetScaler 控制台和 Splunk 之间进行集成以发送数据。接下来，您必须在 Splunk 中生成一个令牌以：

  • 启用 NetScaler 控制台和 Splunk 之间的身份验证。

  • 通过事件收集器端点接收数据。

  1. 登录 Splunk。

  2. 导航到“设置”>“数据输入”>“HTTP 事件收集器”，然后单击“新增”。

  3. 指定以下参数：

    1. 名称：指定您选择的名称。

    2. 源名称覆盖（可选）：如果设置一个值，它将覆盖 HTTP 事件收集器的源值。

    3. 描述（可选）：指定描述。

    4. 输出组（可选）：默认情况下，此选项被选为无。

    5. 启用索引器确认：NetScaler 控制台不支持此选项。我们建议不要选择此选项。

      事件收集器参数

  4. 单击下一步。

  5. 或者，您可以在“输入设置”页面中设置其他输入参数。

  6. 单击“审阅”以验证参赛作品，然后单击“提交”。

    生成令牌。在 NetScaler 控制台中添加详细信息时，必须使用此令牌。

    Splunk 票证

安装 Splunk 通用信息模型

在 Splunk 中，您必须安装 Splunk CIM 附加组件。此插件可确保从 NetScaler 控制台接收的数据对采集的数据进行标准化处理，并使用相同的字段名称和事件标签来匹配通用标准，用于等效事件。

注意

如果您已经安装了 Splunk CIM 附加组件，则可以忽略此步骤。

  1. 登录 Splunk。

  2. 导航到 应用程序 > 查找更多应用程序。

    Splunk 查找更多应用程序

  3. 在搜索栏中键入 CIM ，然后按 Enter 获取 Splunk 通用信息模型 (CIM) 插件，然后单击“安装”。

    Splunk CIM

安装 CIM 标准化器

CIM 标准化器是一个附加插件，您必须安装该插件才能在 Splunk 中查看 WAF 和机器人见解。

  1. 在 Splunk 门户中，导航到“应用程序”>“查找更多应用程序”。

    Splunk 查找更多应用程序

  2. 在搜索栏中键入 NetScaler 控制台服务事件/数据的 CIM 标准化，然后按 Enter 获取该加载项，然后单击安装。

    CIM 标准化器

在 Splunk 中准备一个示例控制板

安装 Splunk CIM 后，必须使用 WAF 和 Bot、SSL 证书见解以及事件和指标的模板准备示例控制板。您可以下载控制板模板 (.tgz) 文件，使用任何编辑器（例如，记事本）复制其内容，并通过在 Splunk 中粘贴数据来创建控制板。

注意：

以下创建示例控制板的过程适用于所有用例。必须使用所需的 json 文件。

  1. 登录 Citrix 下载页面，下载第三方端点示例控制板下提供的示例控制板。

  2. 提取文件，使用任意编辑器打开 json 文件，然后从文件中复制数据。

    解压后，您会得到三个 json 文件。使用：

    • adm_splunk_security_violations.json 文件用于创建 WAF 和 Bot 示例控制板。

    • adm_splunk_ssl_certificate.json 文件创建 SSL 证书洞察示例控制板。

    • adm_splunk_events_and_metrics_history.json 文件用于创建 NetScaler 控制台事件和指标控制面板。

  3. 在 Splunk 门户中，导航到“搜索和报告”>“控制板”，然后单击“创建新控制板”。

    创建控制板

  4. 在“创建新控制板”页面中，指定以下参数：

    1. 控制板标题 -提供您选择的标题。

    2. 说明 -（可选）您可以提供描述以供参考。

    3. 权限 -根据您的要求选择“专用”或“在应用程序中共享”。

    4. 选择“控制板 Studio”。

    5. 选择任意一种布局（绝对或网格），然后单击“创建”。

      控制板参数

      单击“创建”后，从布局中选择“源”图标。

      源代码布局

  5. 删除现有数据，粘贴您在步骤 2 中复制的数据，然后单击“返回”。

  6. 单击保存。

    您可以查看示例控制板。

    以下是 WAF 和 bot 的示例控制板示例。

    控制板示例

在本地配置 NetScaler 控制台以将数据导出到 Splunk

现在，您已经在 Splunk 中准备好一切了。最后一步是通过创建订阅并添加令牌来配置 NetScaler 控制台。

完成以下步骤后，您可以在 Splunk 中查看更新后的控制面板，该控制面板目前在 NetScaler 控制台中可用：

  1. 登录到 NetScaler 控制台。

  2. 导航到“设置”>“可观测性集成”。

  3. 在“集成”页面中，单击“添加”。

  4. 在“创建订阅”页面中，指定以下详细信息：

    1. 在“订阅名称”字段中指定您选择的名称 。

    2. 选择 NetScaler 控制台作为源，然后单击“下一步”。

    3. 选择 Splunk，然后单击“配置”。在“配置端点”页面中：

      1. 端点 URL - 指定 Splunk 端点详细信息。终点必须采用以下 https://SPLUNK_PUBLIC_IP:SPLUNK_HEC_PORT/services/collector/event 格式。

        注意：

        出于安全考虑，建议使用 HTTPS。

        • SPLUNK_PUBLIC_IP — 为 Splunk 配置的有效 IP 地址。

        • SPLUNK_HEC_PORT — 表示您在 HTTP 事件端点配置期间指定的端口号。默认端口号为 8088。

        • 服务/收集器/事件 — 表示 HEC 应用程序的路径。

      2. 身份验证令牌 -从 Splunk 复制并粘贴身份验证令牌。

      3. 单击 Submit（提交）。

    4. 单击下一步。

    5. 单击“添加见解”，在“选择功能”选项卡中，您可以选择要导出的功能，然后单击“添加选定功能”。

      • 实时导出 -选定的违规将立即导出到 Splunk。

      • 定期导出 -根据您选择的持续时间，将选定的违规行为导出到 Splunk。

      • 从“频率”列表中选择“每天”或“每小时”。根据选择，NetScaler 控制台将细节导出到 Splunk。

      • 单击下一步。

    6. 在“选择实例”选项卡中，可以选择“选择所有实例”或“自定义选择”，然后单击“下一步”。

      • 选择所有实例 -将数据从所有 NetScaler 实例导出到 Splunk。

      • 自定义选择 - 允许您从列表中选择 NetScaler 实例。如果您从列表中选择特定实例，则仅将数据从选定的 NetScaler 实例导出到 Splunk。

    7. 单击 Submit（提交）。

      注意

      • 首次使用“定期导出”选项进行配置时，所选要素数据会立即推送到 Splunk。下一次导出频率取决于您的选择（每天或每小时）。

      • 当您首次使用 实时导出 选项进行配置时，一旦在 NetScaler 控制台中检测到违规行为，所选功能数据就会立即推送到 Splunk。

在 Splunk 中查看控制板

在 NetScaler 控制台中完成配置后，数据将从 NetScaler 控制台中导出，事件将显示在 Splunk 中。

您无需任何其他步骤即可在 Splunk 中查看更新的控制板。

转到 Splunk 并单击您创建的控制板以查看更新的控制板。

以下是更新后的 WAF 和 Bot 控制板的示例：

更新了控制板

以下控制面板是更新后的 SSL 证书见解控制面板的示例。

SSL 证书

以下控制面板是更新的事件和指标控制板的示例。

注意：

内存、CPU 和磁盘的使用数据显示来自 NetScaler 控制台的当前值。这些值的上升和下降趋势是根据每隔 5 分钟与先前值的比较来显示的。

活动控制板

除了控制板外，您还可以在创建 订阅后在 Splunk 中查看数据。

  1. 在 Splunk 中，单击“搜索和报告”。

  2. 在搜索栏中：

    • 键入 sourcetype="metrics" 并从列表中选择时长以查看 NetScaler 控制台指标数据。

    • 键入 sourcetype="event" 并从列表中选择持续时间以查看 NetScaler 控制台事件数据。

    • 键入 sourcetype="bot" 或 sourcetype="waf" 并从列表中选择持续时间以查看 bot/WAF 数据。

    • 在列表中键入 sourcetype="ssl" 并选择持续时间以查看 SSL 证书见解数据。

    • 键入 sourcetype="gateway_insights" 并从列表中选择持续时间以查看 Gateway Insight 数据。

      • 键入 sourcetype="hdx_insights" 并从列表中选择持续时间以查看 Gateway Insight 数据。
与 Splunk 集成
June 19, 2024
投稿者: 
C
June 19, 2024
投稿者: 
C

在本文中

站点反馈 | Your privacy choices footer link您的隐私选择 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.