Jak zintegrować Bitdefender GravityZone w wersji on-premise z Splunk

W tym artykule opiszemy jak zintegrować Bitdefender GravityZone w wersji on-premise z Splunk.

Wymagania

• Splunk Enterprise 8.X
• Splunk Common Interface Model app, tylko wersje 4x.
• GravityZone w wersji 6.27.1 lub wyższej.

Instalacja Bitdefender Gravityzone for Splunk App

Bitdefender GravityZone for Splunk App zapewnia pulpit nawigacyjny, na którym można przeglądać wszystkie informacje otrzymane z GravityZone, podzielone na wiele sekcji i widżetów. Za pomocą aplikacji można również wyszukiwać informacje lub generować raporty.

1. Pobierz Bitdefender Gravityzone for Splunk App.

2. Zaloguj się do Splunk Enterprise.

3. Kliknij Manage Apps na stronie głównej.

4. Kliknij Install app from file.

5. Kliknij Browse.

6. Wybierz paczkę pobraną w pierwszym kroku.

7. Kliknij Upload.

Instalacja Bitdefender Gravityzone Add-on for Splunk

Bitdefender GravityZone Add-on for Splunk obsługuje aplikację Bitdefender Gravityzone App for Splunk, zapewniając mapowanie źródeł, ekstrakcje danych i transformacje. Działa jak parser, konwertując wszystkie dane zebrane z różnych źródeł Bitdefender do formatu CIM, który jest kompatybilny ze Splunk.

1. Pobierz Bitdefender Gravityzone Add-on for Splunk.

2. Zaloguj się do Splunk Enterprise.

3. Kliknij Manage Apps na stronie głównej.

4. Kliknij Install app from file.

5. Kliknij Browse.

6. Wybierz paczkę pobraną w pierwszym kroku.

7. Kliknij Upload.

Konfiguracja GravityZone tak, aby konsola wysyłała powiadomienia do instancji Bitdefender Gravityzone for Splunk App przy użyciu protokołu Syslog

1.Zaloguj się do Control Center.

2. Przejdź do zakładki Konfiguracja  >  Inne.

3. Zaznacz Włącz Syslog.

4. Podaj adres IP instancji Splunk, preferowany protokół oraz port na którym nasłuchuje syslog.

5. Wybierz JSON w Format Zdarzenia. 

6. Kliknij przycisk plusa (Dodaj) w sekcji Akcja. 

Aby zdefiniować jakie powiadomienia będą wysyłane do Splunk:

1. Zaloguj się do GravityZone Control Center

2. Przejdź do zakładki Powiadomienia po prawej stronie ekranu i otwórz Ustawienia.

3. Zaznacz Przekazuj do serwera syslog obok powiadomienia, które ma być przekazane do SIEM.

Konfiguracja Splunk tak, aby akceptował dane przy użyciu protokołu Syslog

1. Zaloguj się do Splunk Enterprise.

2. Po prawej stronie ekranu kliknij Settings i wybierz Data Inputs.

3. Wybierz TCP lub UDP w sekcji Local inputs.

4. Kliknij New local TCP or the New local UDP.

5. Wybierz port TCP lub UDP.

6. Wypełnij pole Port i opcjonalnie Source name overwrite and Only accept connection from fields.

7. Kliknij Next.

8. Kliknij Select pod Source type i wybierz  bitdefender:gz .

9. W App context wybierz TA-bitdefender-gravityzone.

10. W Host podaj odpowiedni adres IP i DNS.

11. W Index wybierz gdzie chcesz przechowywać swoje dane.

12. Kliknij Review i zweryfikuj dane.

13. Kliknij Submit.

Źródło: https://www.bitdefender.com/business/support/en/77212-171475-splunk.html