Splunk интеграцийн заавар

Splunk-ийн аппын дэлгүүр дэх үнэгүй dashboard апп-ыг ашиглан мобайл аюулын өгөгдлийг компанийн хөрөнгийг хамгаалахад илүү хэрэгтэй болгож болно. Энэ нь оюуны өмчийг хамгаалах ажлын урсгалыг тодорхой болгоно.

Splunk-д өгөгдөл оруулах сонголт ба тохиргоо

Splunk-д өгөгдөл оруулах сонголтууд:

• Mobile Security console-оос Generic SIEM System интеграцаар өгөгдөл экспортлох. Splunk руу өгөгдөл экспортлох хамгийн түгээмэл сонголт энэ юм.
• Mobile Security console-оос REST Endpoint интеграцаар өгөгдөл экспортлох.
• cron job бүхий Syslog pull script.

Splunk-д зориулсан generic SIEM өгөгдөл экспортын тохиргоо

Энэ сонголтод Splunk-ийг Mobile Security console-оос өгөгдөл хүлээн авахаар, мөн Mobile Security console-ийг аюулын өгөгдөл экспортлохоор тохируулах шаардлагатай.

Интеграцийн урьдчилсан нөхцөл

Интеграцийг эхлэхээс өмнө дараах зүйлсийг бэлдсэн эсэхээ шалгана:

• Splunk апп-ыг аппын дэлгүүрээс татаж суулгана.

• Splunk Dashboard-д хандах эрхтэй байна.

• Mobile Security console-д администраторын эрхээр хандах боломжтой байна.

• Splunk console болон Mobile Security console-ийн өгөгдөл экспортод ашиглах Splunk-ийн IP хаяг, портыг тодорхойлно.

• Өгөгдлийн холболтыг зөвшөөрөхийн тулд Mobile Security console-ийн IP хаягийг авна.

- Энэ IP хаягийг IT эсвэл галт ханын багтай хамт зөвшөөрөгдсөн (allowed) эсвэл аюулгүй (safe) жагсаалтад нэмнэ.
- Энэ IP хаягийг нэмснээр Mobile Security console-оос таны Splunk IP болон порт руу өгөгдөл экспортлох боломжтой болно.

TCP local input-д зориулж Splunk console-ийг тохируулах

Splunk-ийг тохируулахын тулд дараах алхмуудыг гүйцэтгэнэ:

1. 1Splunk Home хуудаснаас Settings дээр дараад баруун талын Source Types-ийг дарна. Source Types хуудас нээгдэнэ.
2. 2New Source Type-ийг дарна.
3. 3Шинэ source type-ийн мэдээллийг оруулна.
4. 4Save-ийг дарна.
5. 5Input тохиргоог хийнэ: өмнөх алхамд нэмсэн Source Type-ийг сонгоно > App Context-ийг Bitdefender Splunk App болгоно > Host талбарыг DNS эсвэл IP болгоно > Index талбарыг main болгоно.
6. 6Тохиргоогоо хянаад Review-ийг дарж хадгална.
7. 7Splunk Home хуудаснаас Settings, дараа нь Data Inputs-ийг дарна.
8. 8Local Inputs-ийн TCP хэсгээс Add New-ийг дарна.
9. 9New-ийг дарна.
10. 10Портын утгаа, жишээлбэл 5454, оруулна. Энэ нь таны listener порт бөгөөд дараа нь Mobile Security console-ийн тохиргоонд мөн оруулна.
11. 11Оруулсан утгуудаа хянаад Submit-ийг дарна. Дараах зурагтай төстэй дэлгэц гарна.

TCP болон өгөгдөл экспортод зориулж Mobile Security console-ийг тохируулах

Splunk Console TCP-ийг тохируулсны дараа Mobile Security console-д IP хаяг болон портыг тохируулна. Энэ порт нь Splunk console-ийн тохиргоонд ашигласан порттой ижил байна.

Өгөгдөл экспортыг тохируулахын тулд дараах алхмуудыг гүйцэтгэнэ:

1. 1Mobile Security console-д нэвтэрнэ.
2. 2Навигацийн самбараас Manage-ийг сонгоод Integrations табыг дарна.
3. 3Хоёрдогч Data Export дэд табыг дараад Add Integration товчийг дарна.
4. 4General SIEM System integration-ийг дарна.
5. 5Интеграцид нэр өгнө.
6. 6Data Type талбарт Threats-ийг, Filter Level-д Elevated and Above-ийг сонгоно.
7. 7Forensics мэдээлэл Splunk апп-д харагддаггүй тул өгөгдлийн хэмжээг багасгахын тулд Detailed Forensics талбарыг сонгохгүй орхиж болно. Detailed Forensics-ийн утгыг өгөгдлийн хэрэгцээнээсээ хамааран өөрөө шийднэ.
8. 8Mobile Security console-ийн тохиргоог дуусгахын тулд Finish товчийг дарна.

Mobile Security console болон Splunk интеграцийг шалгах

Тохиргооны алхмуудыг хийж Mobile Security console-оос шинэ экспорт өгөгдөл үүсгэсний дараа аюул мэдээлэгдсэн эсэхийг шалгах хэрэгтэй. IP хаяг, порт тань өгөгдөл хүлээн авч байгаа эсэхийг шалгахын тулд дараах командыг ажиллуулна:

echo "Hello Splunk" | nc SIEM_IP_ADDRESS PORT

Splunk-д зориулсан REST Endpoint өгөгдөл экспортын тохиргоо

Энэ сонголтод Splunk-ийг Mobile Security console-оос өгөгдөл хүлээн авахаар, мөн Mobile Security console-ийг аюулын өгөгдөл экспортлохоор тохируулах шаардлагатай. Энэ сонголт зөвхөн аюулын мэдээллийг дэмжих бөгөөд өгөгдөл экспортын бусад төрлийг дэмждэггүй.

Интеграцийн урьдчилсан нөхцөл

Интеграцийг эхлэхээс өмнө дараах зүйлсийг бэлдсэн эсэхээ шалгана:

• Splunk апп-ыг аппын дэлгүүрээс татаж суулгана.
• Splunk Dashboard-д хандах эрхтэй байна.
• Mobile Security console-д администраторын эрхээр хандах боломжтой байна.
• Splunk console-оос Splunk API key-г тодорхойлно. Энэ түлхүүрийг Splunk-д үүсгэх бөгөөд утгыг Mobile Security console-д оруулна.

Splunk API key-ийн утгыг олох

Splunk API key-ийн утгыг авахын тулд дараах алхмуудыг гүйцэтгэнэ:

1. 1Splunk dashboard-д нэвтэрнэ.
2. 2Дээд цэснээс Settings-ийг дарна.
3. 3Data Inputs-ийг дарна.
4. 4HTTP Event Collector-ийг дарна.
5. 5Token Value талбарын утгыг Splunk API key-ийн утга болгон хуулж, Mobile Security console-ийн Format Value талбарт ашиглана.

Splunk-д зориулсан Syslog Pull Script ба Cron Job-ийн тохиргоо

Энэ нь өгөгдлийг татаж Splunk апп руу дамжуулах өөр нэг арга бөгөөд өгөгдөл экспортлоход бага түгээмэл сонголт юм.

Sample Pull Script ашиглан тохируулах

1. 1Bitdefender Splunk App-ыг Splunk App дэлгүүрээс татаж суулгана.

2. 2Mobile Security console орчноос үйл явдлуудыг хуваарийн дагуу татаж, Splunk хянах боломжтой байршилд JSON файлд хадгалах script тохируулна.

3. 3Zjson нэртэй шинэ structured input type үүсгэнэ:

1. Splunk-д вэб интерфэйсээр нэвтэрнэ.

2. Settings > Source Types руу очно.

3. Нэр хэсэгт "Zjson" гэж оруулна.

4. Тайлбар оруулна.

5. Destination app-ыг Instrumentation болгоно.

6. Category-г Structured болгоно.

7. Indexed Extractions-ийг json болгоно.

8. Timestamp Extraction-ийг Advanced болгоно.

9. Timestamp Format-ыг %m %d %Y %H:%M:%S болгоно.

10. Timestamp fields-ийг eventtimestamp болгоно.

11. Advanced тохиргооны утгуудыг дараах зурагтай тааруулна.

4. 4Ирсэн файлуудыг шууд оруулахын тулд Splunk-д файлын input monitor нэмнэ. Дараах алхмуудыг гүйцэтгэнэ:

1. Settings > Data Inputs руу очно.
2. File & Directories хэсэгт Add new-ийг дарна.
3. Browse-ийг дарж файлууд байрлах хавтсыг сонгоно.
4. Next-ийг дарна.
5. Source type-ийг Automatic болгож, Splunk App Release 1.0-д Zjson-ийг сонгоно. Splunk App Release 1.2-д data model-ийг ашиглана.
6. Host талбарыг Bitdefender Mobile Threats болгоно.
7. Index-ийг Main болгоно.
8. Review, дараа нь Submit-ийг дарна.

5. 5Аюулын мэдээлэлд forensics-ийг оруулж Splunk руу авах бол оруулах мөрийн дээд урт (maximum input line)-ыг дор хаяж 150,000 тэмдэгт болгож нэмэгдүүлэх шаардлагатай.

Cron Job-ийг тохируулах

Ирсэн файлуудыг шууд оруулахын тулд Splunk-д файлын input monitor нэмнэ. Үүний тулд script-ээ /splunk/bin/scripts хавтсанд хуулж, ажиллуулах эрхтэй болгоно.

Дараа нь syslog-уудыг хадгалах хавтас үүсгэнэ.

Interval Input-ийг сонгоно.

1. 1Навигацийн самбараас Settings, дараа нь Data Inputs-ийг сонгоно.
2. 2Scripts хэсэгт Add new-ийг дарна.
3. 3Script Path-ийг сонгоно.
4. 4Script Name-ийг сонгоно.
5. 5Command-ыг анхдагчаар нь үлдээнэ.
6. 6Interval Input-ийг сонгоно.
7. 7Interval-ийг сонгоно.
8. 8Next-ийг дарна.
9. 9Input Settings and Source Type хэсэгт zJSON-ийг сонгоно.
10. 10App Control-ийг Bitdefender Splunk App болгоно.
11. 11Host талбарыг Bitdefender Mobile Threats болгоно.
12. 12Index-ийг сонгосон Data Model сонголтын дагуу тохируулна.
13. 13Review, дараа нь Submit-ийг дарна.

Splunk Dashboard апп

Splunk Dashboard апп нь нүдэнд ойлгомжтой dashboard үүсгэхэд тусалдаг.

Data model

Загвар дараах мэдээллээс бүрдэнэ:

• Хэрэглэгчид (Users)
• Төхөөрөмжүүд (Devices)
• Аюулууд (Threats)

Splunk апп-ын боломжууд

Dashboard нь байгууллага дахь мобайл аюулын орчны одоогийн төлвийг хялбар харахад зориулж олон статистикийг график болон бусад хэлбэрээр харуулдаг. Хуудасны дээд хэсгээс түүвэрлэлтийн интервалыг сонгож, үргэлжлэн хянах өгөгдлөө оруулна. Фрейм бүр шууд (live) байх бөгөөд дарж түүхий өгөгдлийг харах, цааш хайх боломжтой. Үндсэн хуудас дараах хэсгүүдээс бүрдэнэ:

• Hourly Rate of Alerts: Ноцтой байдал тус бүрээр цаг тутамд ирсэн аюулын тоо. Арван минут тутамд шинэчлэгдэнэ.

• SEV 2 Attacks over time: Цаг хугацааны туршид elevated түвшний халдлагын давтамж. Арван минут тутамд шинэчлэгдэнэ. Сум нь давтамж нэмэгдэж, тогтвортой байгаа эсвэл буурч байгааг харуулахаар өөрчлөгдөнө.

• Top 5 - Highest Threat WiFi Network

• Top 5 - Highest threat Carrier

• Global Cluster map: Үйл явдлууд газарзүйн хувьд хаана байгааг зураглана. Тойрог том байх тусам үйл явдлын тоо их.

• Choropleth Map - Events by Country

• Events by Severity

• Events by Mobile Platform

• Global Threats page: Carrier болон бусад дэлхийн хэмжээний үзүүлэлтээр аюулын дэлгэрэнгүйг харуулна.

• Top Events page: Платформ болон халдлагын төрлөөр аюулын дэлгэрэнгүйг харуулна.

> Тэмдэглэл: Одоогоор Custom Search болон Custom Reports хуудсууд ажиллахгүй байна.

Mobile Security console UI дахь Export/Syslog push

Mobile Security console-ийн UI дотор Manage хуудас, Integrations болон Data Export табаас Syslog эсвэл Kinesis push-ийг тохируулж болно. Mobile Security console нь олон төрлийн очих газарт өгөгдөл экспортлохыг дэмждэг.

Аюулын хувьд дараахыг заана:

• Filter level буюу мэдээлэх аюулын ноцтой байдлын түвшин. Утгууд:

- Critical Only
- Elevated and Above
- Low and Above
- Normal and Above

• Аюулын мэдээлэлд дэлгэрэнгүй forensics мэдээлэл оруулах эсэх.

Төхөөрөмжүүдийн аль нэгээс аюулгүй байдлын үйл явдал үүсэхэд холбогдох forensics-ийн хамт үйл явдлын мэдээлэл Mobile Security console руу илгээгдэнэ. Энэ өгөгдлийг орчин руу push хийнэ. Өгөгдлийг JSON форматаар үзүүлдэг тул аль ч SIEM систем үйл явдал болон түүнтэй холбоотой forensics-ийг хялбар боловсруулж чадна.