Elasticsearch統合
注
Elasticsearch統合、Elasticsearchへのデータのエクスポート、またはフィードバックに関するサポートをリクエストするには、CAS-PM-Ext@cloud.comまでお問い合わせください。
Citrix Analytics for SecurityをLogstashエンジンを使用してElasticsearchと統合します。この統合により、Citrix IT環境からElasticsearchにユーザーデータをエクスポートして関連付け、組織のセキュリティ体制に関するより深いインサイトを得ることができます。また、ElasticsearchをKibanaやLogRhythmなどの可視化サービスやSIEMとそれぞれ使用することもできます。
統合の利点と、SIEMに送信される処理済みデータの種類については、「セキュリティ情報およびイベント管理の統合」を参照してください。
前提条件
-
少なくとも1つのデータソースでデータ処理を有効にします。これにより、Citrix Analytics for Security™がElasticsearch統合プロセスを開始できるようになります。
-
次のエンドポイントがネットワークの許可リストに含まれていることを確認します。
エンドポイント 米国リージョン 欧州連合リージョン アジア太平洋南部リージョン Kafkaブローカー casnb-0.citrix.com:9094casnb-eu-0.citrix.com:9094casnb-aps-0.citrix.com:9094casnb-1.citrix.com:9094casnb-eu-1.citrix.com:9094casnb-aps-1.citrix.com:9094casnb-2.citrix.com:9094casnb-eu-2.citrix.com:9094casnb-aps-2.citrix.com:9094casnb-3.citrix.com:9094
Elasticsearchとの統合
-
設定 > データエクスポートに移動します。
-
アカウント設定セクションで、ユーザー名とパスワードを指定してアカウントを作成します。このアカウントは、統合に必要な構成ファイルを準備するために使用されます。
-
パスワードが次の条件を満たしていることを確認します。
-
構成をクリックして、Logstash構成ファイルを生成します。
-
SIEM環境セクションからElastic Searchタブを選択して、構成ファイルをダウンロードします。
-
Logstash構成ファイル: Logstashデータ収集エンジンを使用してCitrix Analytics for SecurityからElasticsearchにイベントを送信するための構成データ（入力、フィルター、および出力セクション）が含まれています。Logstash構成ファイルの構造については、Logstashドキュメントを参照してください。
-
JKSファイル: SSL接続に必要な証明書が含まれています。
注
これらのファイルには機密情報が含まれています。安全な場所に保管してください。
-
-
Logstashを構成します。
-
LinuxまたはWindowsホストマシンにLogstashをインストールします。既存のLogstashインスタンスを使用することもできます。
-
Logstashをインストールしたホストマシンで、次のファイルを指定されたディレクトリに配置します。
ホストマシンの種類 ファイル名 ディレクトリパス Linux CAS_Elasticsearch_LogStash_Config.config DebianおよびRPMパッケージの場合: /etc/logstash/conf.d/.zipおよび.tar.gzアーカイブの場合: {extract.path}/configkafka.client.truststore.jks DebianおよびRPMパッケージの場合: /etc/logstash/ssl/.zipおよび.tar.gzアーカイブの場合: {extract.path}/sslWindows CAS_Elasticsearch_LogStash_Config.config C:\logstash-7.xx.x\configkafka.client.truststore.jks Logstashインストールパッケージのデフォルトのディレクトリ構造については、Logstashドキュメントを参照してください。
-
Logstash構成ファイルを開き、次の操作を行います。
-
ファイルの入力セクションに、次の情報を入力します。
-
パスワード: 構成ファイルを準備するためにCitrix Analytics for Securityで作成したアカウントのパスワード。
-
SSLトラストストアの場所: SSLクライアント証明書の場所。これは、ホストマシン上のkafka.client.truststore.jksファイルの場所です。
-
-
ファイルの出力セクションに、ホストマシンまたはElasticsearchが実行されているクラスターのアドレスを入力します。
-
-
Citrix Analytics for SecurityからElasticsearchに処理済みデータを送信するために、ホストマシンを再起動します。
-
構成が完了したら、ElasticsearchでCitrix Analyticsデータを表示できることを確認します。
データ送信の有効化または無効化
Citrix Analytics for Securityが構成ファイルを準備すると、Elasticsearchのデータ送信が有効になります。
Citrix Analytics for Securityからのデータ送信を停止するには:
-
設定 > データエクスポートに移動します。
-
トグルボタンをオフにして、データ送信を無効にします。デフォルトでは、データ送信は常に有効になっています。
確認のための警告ウィンドウが表示されます。データ送信を無効にするボタンをクリックして、送信アクティビティを停止します。
データ送信を再度有効にするには、トグルボタンをオンにします。