GravityZone Cloud-ийг Splunk-тэй хэрхэн холбох вэ?

Bitdefender-ийн түншийн хувьд та GravityZone-ийг GravityZone API болон Splunk HTTP Event Collector ашиглан Splunk-тэй холбож болно. Энэ үйлчилгээгээр GravityZone Control Center-ийн өгөгдлийг Splunk Enterprise эсвэл Splunk Cloud руу шууд илгээнэ.

Урьдчилсан нөхцөл

GravityZone-ийг Splunk-тэй холбохын өмнө дараахыг бэлдсэн байх ёстой:

• GravityZone Cloud данснийхаа нэвтрэх мэдээлэл.
• Splunk данснийхаа (cloud эсвэл on-premises) нэвтрэх мэдээлэл.

Хүсвэл холболтыг автоматаар идэвхжүүлэх скрипт ашиглаж болно.

Bitdefender Splunk App GravityZone-оос ирсэн өгөгдлийг уялдуулж харуулахын тулд Bitdefender Splunk Add-on-г суулгасан байх шаардлагатай.

Холбох алхмууд

GravityZone-ийг Splunk-тэй холбохын тулд дараах алхмуудыг дарааллаар нь хийнэ.

GravityZone Control Center дээр Event Push API-г идэвхжүүлэх

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2My Account (Миний данс) хэсэг рүү орно.

3. 3API keys (API түлхүүрүүд) хэсэгт Add (Нэмэх) товчийг дарна.

4. 4Event Push Service API нүдийг тэмдэглээд Save (Хадгалах) товчийг дарна. Шинэ түлхүүр API Keys хүснэгтэд харагдана.

5. 5My Account хуудсанд хийсэн өөрчлөлтөө хадгалахын тулд Save товчийг дахин дарна.

Splunk дээр HTTP Event Collector-ийн шинэ токен үүсгэх

1. 1Splunk-д нэвтэрнэ.

2. 2Settings > Data Inputs > HTTP Event Collector хэсэг рүү орно.

3. 3New Token (Шинэ токен) товчийг дарна.

4. 4Add Data цонхонд Name (Нэр) талбарыг бөглөөд Next (Дараах) товчийг дарна.

5. 5Source type хэсэгт Select товчийг дараад _json-ийг сонгоно.

Bitdefender Splunk App ашиглаж байгаа бол Bitdefender Splunk Add-on-г суулгасны дараа Select товчийг дараад эх сурвалжаар bitdefender:gz-ийг сонгоно.

6. 6Index хэсэгт өгөгдмөл индексийг сонгох эсвэл шинээр үүсгэнэ. HTTP Event Collector-ийн хүлээн авсан үйл явдлууд сонгосон индекс рүү орно.

7. 7Review (Хянах) товчийг дарна.

8. 8Оруулсан мэдээллээ шалгаад Submit (Илгээх) товчийг дарна.

Токен амжилттай үүслээ. Токений утгыг хуулж аваад хадгална. Холболтыг идэвхжүүлэхэд энэ утга хэрэгтэй.

9. 9Settings > Data Inputs > HTTP Event Collector хэсэг рүү буцаж орон Global Settings (Ерөнхий тохиргоо) товчийг дарна.

10. 10Шинэ цонхны All Tokens хэсэгт Enabled (Идэвхтэй)-г сонгоно.

11. 11Save товчийг дарна.

Splunk холболтыг идэвхжүүлэх

GravityZone Control Center дээр Event Push Service түлхүүр үүсгэж, Splunk дээр HTTP Event Collector-ийг идэвхжүүлсний дараа холболтыг идэвхжүүлнэ. Өөрөөр хэлбэл GravityZone-оос Splunk руу үйл явдал илгээж эхлүүлнэ.

Splunk холболтыг гараар идэвхжүүлэх

1. 1Linux эсвэл Mac дээрх өөрийн дуртай terminal emulator-оос Event Push Service-ийн тохиргоонд хэрэгтэй мэдээллийг цуглуулна:

- GravityZone API URL.

Үүнийг My Account > Control Center API хэсгээс олох бөгөөд https://cloudgz.gravityzone.bitdefender.com/api шиг харагдана.

- GravityZone дээр үүсгэсэн API түлхүүрийн authorization header.

Header-ийн утга нь Basic base64 кодлолтой байна.

> Чухал: Authorization header авахын тулд echo командыг API түлхүүр болон араас нь хоёр цэг (`:`)-ийн хамт ажиллуулна.

```
> echo -n '604821e87e4c7de3aa15d0e6a97f5ab362281dbf0763746671da2caf4b5cccd1:' | base64 -w 0
```

Үр дүн дараах төстэй байна:

```
NjA0ODIxZTg3ZTRjN2RlM2FhMTVkMGU2YTk3ZjVhYjM2MjI4MWRiZjA3NjM3NDY2NzFkYTJjYWY0YjVjY2NkMTo=
```

- Splunk URL.

Үүнийг Splunk Cloud платформоос олох бөгөөд https://prd-p-xlpxkqpw84k2.cloud.splunk.com шиг харагдана. Splunk-ийг on-premises ашигладаг бол URL аль хэдийн бэлэн байгаа.

- HTTP Event Collector токен.

2. 2Дараах командыг ажиллуулна (өөрчлөх шаардлагатай тохиргоонууд эх хуудсанд доогуур зураастай байдаг):

```
> curl -k -X POST \
https://cloudgz.gravityzone.bitdefender.com/api/v1.0/jsonrpc/push \
-H 'authorization: Basic NjA0ODIxZTg3ZTRjN2RlM2FhMTVkMGU2YTk3ZjVhYjM2MjI4MWRiZjA3NjM3NDY2NzFkYTJjYWY0YjVjY2NkMTo=' \
-H 'cache-control: no-cache' \
-H 'content-type: application/json' \
-d '{"params": {"status": 1, "serviceType": "splunk", "serviceSettings": {"url": "https://input-prd-p-r2rmnllpzv4n.cloud.splunk.com:8088/services/collector", "requireValidSslCertificate": false, "splunkAuthorization": "Splunk EA900DEB-22C8-402B-A7F9-A926C1633E7A"}, "subscribeToEventTypes": {"hwid-change": true,"modules": true,"sva": true,"registration": true,"supa-update-status": true,"av": true,"aph": true,"fw": true,"avc": true,"uc": true,"dp": true,"device-control": true,"sva-load": true,"task-status": true,"exchange-malware": true,"network-sandboxing": true,"malware-outbreak": true,"adcloud": true,"exchange-user-credentials": true,"exchange-organization-info": true,"hd": true,"antiexploit": true}}, "jsonrpc": "2.0", "method":"setPushEventSettings", "id": "1"}'
```

> Тэмдэглэл: GravityZone нь Event Push Service-ийн тохиргоо дахин ачаалагдсаны дараа Splunk руу үйл явдал илгээж эхэлнэ. Энэ нь 10 минут тутамд болдог.
>
> Үйл явдлыг шууд илгээж эхлүүлэхийн тулд дараах командыг ажиллуулна (өөрчлөх шаардлагатай тохиргоонууд эх хуудсанд доогуур зураастай байдаг):
>
> ```
> > curl -k -X POST \
> https://cloudgz.gravityzone.bitdefender.com/api/v1.0/jsonrpc/push \
> -H 'authorization: Basic R2U5SENZcWRVN2pJRFI5MHdOMGVFMXpiQjVTbmM1SE46' \
> -H 'cache-control: no-cache' \
> -H 'content-type: application/json' \
> -d '{"params": {}, "jsonrpc": "2.0", "method": "getPushEventSettings", "id": "2"}'
> ```

Хариу дараах төстэй байна:

{"id":"1","jsonrpc":"2.0","result":true}

Splunk холболтыг шалгах

Холболтыг шалгахын тулд дараах командыг ажиллуулна (өөрчлөх шаардлагатай тохиргоонууд эх хуудсанд доогуур зураастай байдаг):

> curl -k -X POST \
https://cloudgz.gravityzone.bitdefender.com/api/v1.0/jsonrpc/push \
-H 'authorization: Basic R2U5SENZcWRVN2pJRFI5MHdOMGVFMXpiQjVTbmM1SE46' \
-H 'cache-control: no-cache' \
-H 'content-type: application/json' \
-d '{"params": {"eventType": "av"}, "jsonrpc": "2.0", "method": "sendTestPushEvent", "id": "3"}'

Splunk холболтыг скриптээр идэвхжүүлэх

Bitdefender-ийн бэлтгэсэн скриптийг ажиллуулж GravityZone-оос Splunk руу үйл явдал илгээж эхлүүлж болно. Үүнийг Linux эсвэл Mac дээрх өөрийн дуртай terminal emulator-оос хийнэ.

1. 1Скриптийг энд дарж татна.

2. 2Дараах командаар скриптийг ажиллуулах эрхтэй болгоно:

```
chmod +x bdpusheventconfig.sh
```

3. 3Скриптийг дараах командаар ажиллуулна:

```
./bdpusheventconfig.sh -g [console_url] -k [api_key] -t [service_type] -u [service_url] -a [splunk_auth_token] -v -d [events]
```

Скрипт дараах сонголтуудтай:

• -g [console url] — GravityZone API url
• -k [api_key] — GravityZone API түлхүүр
• -t [service_type] — Үйлчилгээний төрөл: splunk эсвэл jsonRPC
• -u [service_url] — Splunk эсвэл RPC url
• -a [splunk_auth_token] — Splunk authorization токен
• -v — Үйлчилгээний SSL гэрчилгээг шалгана
• -c — Splunk Cloud-ийн туршилтын хувилбарт холбогдоно. Үйлчилгээний хост руу 'input-' нэмж, порт заагаагүй бол 8088 портыг ашиглана.
• -d — Splunk Cloud instance-д холбогдоно. Үйлчилгээний хост руу 'http-inputs-' нэмж, порт заагаагүй бол 443 портыг ашиглана.
• -h, --help — Тусламж

Эдгээр сонголт нь гараар идэвхжүүлэхэд ашигласан тохиргоотой төстэй.

[events] жагсаалт нь GravityZone-оос Splunk руу илгээх нэг буюу хэд хэдэн үйл явдлыг зайгаар тусгаарлан зааж өгнө. Үйл явдлуудыг доор тайлбарлав:

• modules — Product Modules event (бүтээгдэхүүний модулийн үйл явдал)
• sva — Security Server Status event (Security Server-ийн төлөвийн үйл явдал)
• registration — Product Registration event (бүтээгдэхүүний бүртгэлийн үйл явдал)
• supa-update-status — Outdated Update Server event (Update Server нь Relay байх үед хуучирсан Update Server-ийн үйл явдал)
• av — Antimalware event
• aph — Antiphishing event
• fw — Firewall event
• avc — ATC/IDS event
• uc — User Control event
• dp — Data Protection event
• hd — HyperDetect event
• sva-load — Overloaded Security Server event (ачаалал ихтэй Security Server-ийн үйл явдал)
• task-status — Task Status event (даалгаврын төлөвийн үйл явдал)
• exchange-malware — Exchange Malware Detection event
• network-sandboxing — Sandbox Analyzer Detection
• adcloud — Active Directory Integration Issue (Active Directory холболтын асуудал)
• exchange-user-credentials — Exchange User Credentials
• antiexploit — Antiexploit Event
• network-monitor — Network Attack Defense Event
• endpoint-moved-in — Endpoint moved in (endpoint-ийг нэг компаниас нөгөө рүү зөөхөд ашиглана)
• endpoint-moved-out — Endpoint moved out (endpoint-ийг нэг компаниас нөгөө рүү зөөхөд ашиглана)
• hwid-change — Hardware ID change (төхөөрөмжийн ID солигдсон)
• install — Install agent (agent суулгах)
• new-incident — New incident (шинэ инцидент)
• ransomware-mitigation — Ransomware activity detection (ransomware үйл ажиллагаа илрүүлэлт)
• security-container-update-available — Security Container update available
• troubleshooting-activity — Troubleshooting activity
• uninstall — Uninstall agent (agent устгах)

Бүх үйл явдалд бүртгүүлэхийн тулд all утгыг ашиглах эсвэл үйл явдал бүрийг тус тусад нь зааж өгнө. Үйл явдлын жагсаалт хоосон (үйл явдлын төрөл заагаагүй) бол холболт идэвхгүй болно.

Жишээ

Splunk холболтыг идэвхжүүлэх

./bdpusheventconfig.sh -g https://gz.example.com/api/v1.0/jsonrpc/push
-k abcdefghijklmnopqrstuvwxyz123456 -t splunk -u
https://splunk.example.com -a 11111111-2222-3333-4444-555555555555 -d
modules sva registration supa-update-status av aph fw avc uc dp sva-load
 task-status exchange-malware network-sandboxing adcloud
exchange-user-credentials

./bdpusheventconfig.sh -g https://gz.example.com/api/v1.0/jsonrpc/push
-k abcdefghijklmnopqrstuvwxyz123456 -t splunk -u
https://splunk.example.com -a 11111111-2222-3333-4444-555555555555 -c
all

json RPC үйлчилгээ тохируулах

./bdpusheventconfig.sh -g https://gz.example.com/api/v1.0/jsonrpc/push
-k abcdefghijklmnopqrstuvwxyz123456 -t jsonRPC -u
https://rpc.example.com modules sva registration supa-update-status av
aph fw avc uc dp sva-load task-status exchange-malware
network-sandboxing adcloud exchange-user-credentials

Splunk холболтыг идэвхгүй болгох

./bdpusheventconfig.sh -g https://gz.example.com/api/v1.0/jsonrpc/push
-k abcdefghijklmnopqrstuvwxyz123456 -t splunk -u
https://splunk.example.com -a 11111111-2222-3333-4444-555555555555 –c

Push Events Service-ийн дэлгэрэнгүйг Push хэсгээс үзнэ үү.

GravityZone-ийн өгөгдөл дээр үндэслэн Splunk дээр тайлан үүсгэх талаар Splunk дээр GravityZone-ийн өгөгдлөөр тайлан үүсгэх хэсгийг үзнэ үү.