Elasticsearch 集成
注意
请联系 CAS-PM-Ext@cloud.com 以请求协助进行 Elasticsearch 集成、将数据导出到 Elasticsearch 或提供反馈。
使用 Logstash 引擎将 Citrix Analytics for Security 与 Elasticsearch 集成。此集成使您能够将 Citrix IT 环境中的用户数据导出并关联到 Elasticsearch，从而更深入地了解组织的安全状况。您还可以将 Elasticsearch 与可视化服务和 SIEM（例如 Kibana 和 LogRhythm）结合使用。
有关集成优势以及发送到 SIEM 的已处理数据类型的更多信息，请参阅安全信息和事件管理集成。
先决条件
-
为至少一个数据源启用数据处理功能。这有助于 Citrix Analytics for Security™ 启动 Elasticsearch 集成过程。
-
确保以下端点在您的网络允许列表中。
端点 美国区域 欧盟区域 亚太南部区域 Kafka brokers casnb-0.citrix.com:9094casnb-eu-0.citrix.com:9094casnb-aps-0.citrix.com:9094casnb-1.citrix.com:9094casnb-eu-1.citrix.com:9094casnb-aps-1.citrix.com:9094casnb-2.citrix.com:9094casnb-eu-2.citrix.com:9094casnb-aps-2.citrix.com:9094casnb-3.citrix.com:9094
与 Elasticsearch 集成
-
转到 “设置”>“数据导出”。
-
在 “帐户设置” 部分，通过指定用户名和密码来创建帐户。此帐户用于准备集成所需的配置文件。
-
确保密码满足以下条件：
-
单击 “配置” 以生成 Logstash 配置文件。
-
从“SIEM 环境”部分选择 “Elastic Search” 选项卡以下载配置文件：
-
Logstash 配置文件：包含用于使用 Logstash 数据收集引擎将事件从 Citrix Analytics for Security 发送到 Elasticsearch 的配置数据（输入、筛选器和输出部分）。有关 Logstash 配置文件结构的信息，请参阅 Logstash 文档。
-
JKS 文件：包含 SSL 连接所需的证书。
注意
这些文件包含敏感信息。请将其保存在安全位置。
-
-
配置 Logstash：
-
在您的 Linux 或 Windows 主机上，安装 Logstash。您也可以使用现有的 Logstash 实例。
-
在安装了 Logstash 的主机上，将以下文件放置在指定目录中：
主机类型 文件名 目录路径 Linux CAS_Elasticsearch_LogStash_Config.config 对于 Debian 和 RPM 软件包： /etc/logstash/conf.d/对于 .zip 和 .tar.gz 存档： {extract.path}/configkafka.client.truststore.jks 对于 Debian 和 RPM 软件包： /etc/logstash/ssl/对于 .zip 和 .tar.gz 存档： {extract.path}/sslWindows CAS_Elasticsearch_LogStash_Config.config C:\logstash-7.xx.x\configkafka.client.truststore.jks 有关 Logstash 安装包的默认目录结构的信息，请参阅 Logstash 文档。
-
打开 Logstash 配置文件并执行以下操作：
-
在文件的输入部分，输入以下信息：
-
密码：您在 Citrix Analytics for Security 中创建的用于准备配置文件的帐户密码。
-
SSL 信任存储位置：您的 SSL 客户端证书的位置。这是主机中 kafka.client.truststore.jks 文件的位置。
-
-
在文件的输出部分，输入您的主机或运行 Elasticsearch 的群集的地址。
-
-
重新启动主机以将 Citrix Analytics for Security 中的已处理数据发送到 Elasticsearch。
-
配置完成后，请验证您是否可以在 Elasticsearch 中查看 Citrix Analytics 数据。
启用或禁用数据传输
Citrix Analytics for Security 准备好配置文件后，将为 Elasticsearch 启用数据传输。
要停止从 Citrix Analytics for Security 传输数据：
-
转到 “设置”>“数据导出”。
-
关闭切换按钮以禁用数据传输。默认情况下，数据传输始终处于启用状态。
将显示一个警告窗口以供您确认。单击 “关闭数据传输” 按钮以停止传输活动。
要再次启用数据传输，请打开切换按钮。