Splunk連携

Overview

QueryPieで記録する監査ログをSplunkを通じて外部に送信する機能を提供します。

Syslog-Splunk連携推奨アーキテクチャ

Splunkで推奨するSyslog-Splunk連携のためのアーキテクチャは以下の通りです。

1. 別途syslog serverを通じた1次収集後Splunkに送信
2. Universal forwarder / Heavy forwarderを通じてSplunkに送信

参考にSplunkはsyslog収集のために別途SC4S（Splunk connector for syslog）を提供しています。

Splunk Integration設定

1. General SettingsメニューでSystem > Integrationsメニューに移動します。
2. Splunkタイルをクリックして詳細ページに移動します。
3. 詳細ページにあるConfigureボタンをクリックすると以下のようにDestination情報を入力できるポップアップが表示されます。

4. Destination情報を生成するために以下の情報を入力します。
   1. Destination Name : syslogを受信する主体を識別できるよう適当な名前を入力します。
   2. Protocol : Splunkに送信可能なプロトコルはTCP（デフォルト値）、UDP、HTTP、HTTPSです。
      1. UDPはパケットの長さ制約事項がありセキュリティ的に脆弱なためTCP使用を推奨します。
      2. SplunkでHTTP Event Collectorを使用する場合デフォルト値はHTTPSです。
      3. もしHTTPSの代わりにHTTPを使用するにはまずSplunkのHECオプションでSSLオプションを使用しないよう設定する必要があります。HTTP選択時、追加的に以下のフィールド値を入力する必要があります：
         • HEC Host : Splunk serverのhostnameまたはipアドレスを入力します。
         • HEC Token : Splunk HEC token値を入力します。
   3. Destination Address (Hostname) : syslogを受信するSplunk serverまたはforwarderのIP addressまたはhostnameを入力します。HTTP、HTTPSプロトコルはこの部分がHEC Host入力に変わって表示されます。
   4. Port : sylog serverのlistening portを入力します。（TCP/UDPデフォルト値514）
      1. Splunk HEC portはSplunkの設定をまず確認後入力する必要があります。
      2. SplunkメニューでHTTP/HTTPSプロトコルを選択した場合：
         • Splunk HTTP Event Collectorのglobal optionに設定されたport番号を入力します。デフォルト値は8088です。
         • Splunk Cloudユーザーには443を入力します。
   5. HEC Token : HTTP、HTTPSプロトコルの場合SplunkのHEC設定時生成するtoken値を入力する必要があります。
   6. Test Connectionボタン : TCP、HTTP、HTTPSプロトコルは対象と通信状態を点検できます。
      • UDPはプロトコル特性上通信状態点検が不可能で、Test Connectionボタンが無効化されます。
   7. Select Event Items : イベント項目を選択的に送信できます。下部”Select all event items, including those that may be added later.”チェックボックスを選択すると送信可能なすべてのイベントを送信します。
   8. Disable syslog header : syslog header情報を除いて送信します（デフォルト値Yes）。一部SIEMでjson解析が困難な場合syslog headerを除くために提供されるオプションです。HTTP、HTTPSの場合このオプションを使用できず常にsyslog headerがない状態で送信されます。
   9. Description : 設定情報に対する100文字以内の簡略情報を入力します。
5. OKボタンを押して設定を保存します。
   1. 設定事項が保存されてもすぐにSyslogが送信されるわけではありません。
6. 送信開始をするにはページ左上部にあるトグルボタンをONに切り替えます。
   1. この送信トグルボタンはメンテナンスなど多様な状況で一時的に送信を停止する必要がある場合使用できます。
7. もしもはやSyslog送信が必要ない場合Deleteボタンを通じて設定を削除できます。
   1. ただし、送信中状態では削除できないため送信トグルボタンを：トグルoff：に変更した後削除してください。

参考

• ライセンスによりsyslogを通じて送信されるQueryPieのイベント項目

• その他参考ドキュメント
  • RFC 3164: The BSD Syslog Protocol 
  • Splunk Universal Forwarder 
  • Splunk Connect for Syslog 
  • Set up and use HTTP Event Collector in Splunk Web