Splunk-Integrationshandbuch

Schritt-für-Schritt-Anleitung

  1. Splunk HTTP Event Collector (HEC) aktivieren
    • Navigieren Sie zu: Einstellungen → Dateneingaben → HTTP-Ereignissammler

    • Klicken Sie auf „Neues Token“ und konfigurieren Sie Folgendes:

      • Name: CertSecure-Protokolle
      • Quelltyp: _json
      • Index: (erstellen Sie einen, siehe unten)

    • Teilen Sie dem CertSecure-Team nach der Erstellung die folgenden Details mit:

      • HEC-Token: Token-Zeichenfolge, die zur Authentifizierung verwendet wird
      • HEC-Endpunkt-URL: zB https://splunk.example.com:8088
      • Protokoll: Bestätigen Sie, ob HTTP oder HTTPS verwendet wird

      Hinweis: Wenn HTTPS verwendet wird, stellen Sie sicher, dass das von Splunk verwendete SSL-Zertifikat vom CertSecure-Backend als vertrauenswürdig eingestuft wird.

  2. Erstellen Sie einen dedizierten Index
    • Navigieren Sie zu: Einstellungen → Indizes → Neuer Index
    • Geben Sie ein:
      • Indexname: - certsecure_logs
    • Klicken Sie auf Speichern.
    • Teilen Sie diesen Indexnamen mit dem CertSecure Manager-Administrator.
  3. Sicherstellen der Netzwerkkonnektivität
    • Stellen Sie auf dem CertSecure-Backend-Server den ausgehenden Zugriff auf Port 8088 sicher.

    • Wenn Sie Firewalld verwenden, führen Sie Folgendes aus:

      sudo firewall-cmd --permanent --add-port=8088/tcp
      sudo firewall-cmd –reload

    • Wenn die IP-Whitelist in Splunk aktiviert ist:

      • Fügen Sie die IP des CertSecure-Backends zur Zulassungsliste hinzu.

    Sobald die oben genannten Voraussetzungen erfüllt sind, führen Sie die folgenden Schritte auf der CertSecure Manager-Plattform aus:

  4. Konfigurieren Sie die Splunk-Integration in CertSecure Manager
    1. Melden Sie sich beim CertSecure Manager (Admin-Portal) an.
    2. Gehen Sie zu: Dienstprogramme → SIEM-Integration → Splunk.
    3. Klicken Sie auf „Konfiguration hinzufügen“.

    4. Ergänze:

      • HEC-Endpunkt-URL: https://splunk.example.com:8088
      • HEC-Token: Fügen Sie das Token von Schritt 1:
      • Protokoll: HTTPS oder HTTP (wie in Splunk verwendet)
    5. Klicken Sie auf "Speichern".
  5. Verbindung validieren

    1. CertSecure Manager versucht automatisch, eine Verbindung herzustellen:

      • Überprüft die Token-Gültigkeit
      • Bestätigt den Netzwerkzugriff
      • Überprüft die Vertrauenswürdigkeit des SSL-Zertifikats (bei HTTPS)
    2. Bei Erfolg wird eine Meldung wie „Verbindung erfolgreich“ angezeigt.
  6. Die Protokollaufnahme beginnt

    Nach der Validierung beginnt CertSecure Manager mit der regelmäßigen Protokollaufnahme in Splunk.

    7. Alle Protokolle werden:

    • Im JSON-Format gesendet
    • Mit dem entsprechenden Quelltyp zum Parsen gekennzeichnet
    • Indiziert unter certsecure_logs