Splunk インテグレーション

概要

QueryPie は、Splunk を通じて監査ログを外部システムに送信する機能を提供しています。

統合の設定にはシステム管理者権限が必要です。

推奨される Syslog-Splunk アーキテクチャ

Syslog-Splunk 連携の推奨アーキテクチャは以下の通りです。

1. Splunk にデータを送信する前の初期収集に専用の Syslog サーバーを使用する。

2. Universal Forwarder または Heavy Forwarder を使用してデータを Splunk に送信する。

QueryPie では、ユーザーの利便性を考慮して TCP、UDP、HTTP、HTTPS プロトコルを使用した直接送信が可能ですが、この構成は Splunk が推奨していないことに注意してください。

また、Splunk は Syslog を収集するための SC4S (Splunk Connector for Syslog) も別途提供しています。

Splunk インテグレーションの設定

1. Administrator > General > System > Integrations メニューに移動します。

2. Splunkタイルをクリックして、詳細設定ページにアクセスします。

3. デスティネーション情報を入力するポップアップを開くには、［設定］ボタンをクリックします。

4. 以下の詳細を入力して、デスティネーション情報を作成します。

   1. Destination Name (宛先名): Syslog の受信者を識別するために適切な名前を入力します。

   2. プロトコル: Splunk にデータを送信するプロトコルを TCP (デフォルト)、UDP、HTTP、HTTPS から選択します。

      1. UDP はパケット長に制限があり、安全性が低いため、TCP を推奨します。

      2. Splunk で HTTP Event Collector (HEC) を使用する場合、デフォルトは HTTPS です。

      3. HTTPS ではなく HTTP を使用する必要がある場合は、まず Splunk の HEC 設定で SSL オプションを無効にする必要があります。HTTP を選択する場合は、以下のフィールド値も入力する必要があります：

         • HEC Host: Splunk サーバのホスト名または IP アドレスを入力します。

         • HEC トークン: Splunk HEC トークンの値を入力します。

   3. 宛先アドレス (ホスト名)：Splunk サーバーまたはフォワーダーの IP アドレスまたはホスト名を入力します。HTTP / HTTPS プロトコルの場合、このフィールドは HEC Host 入力に置き換えられます。

   4. ポート: Syslog サーバーのリスニングポートを指定します (デフォルトは TCP / UDP の 514 です)。

      1. Splunk HEC ポート番号を入力する前に、Splunk の設定を確認してください。

      2. Splunk メニューで HTTP / HTTPS プロトコルが選択されている場合：

         • Splunk HTTP Event Collector のグローバルオプションで設定されているポート番号を入力します。デフォルトのポートは 8088 です。

         • Splunk Cloud ユーザーの場合は 443 を入力します。

   5. HEC トークン: HTTP および HTTPS プロトコルの場合、Splunk HEC セットアップ時に生成されたトークン値を入力する必要があります。

   6. テスト接続: TCP、HTTP、HTTPS プロトコルでは、ターゲットとの通信状態をテストできます。

      • UDPプロトコルの性質上、通信状態の確認ができないため、このボタンは無効になります。

   7. イベント項目選択: 送信するイベント項目を選択できます。チェックボックスSelect all event items を選択すると、後で追加される可能性のあるものも含めて、利用可能なすべてのイベントが送信されます。

   8. syslog ヘッダーを無効にする：このオプションを使用すると、syslog ヘッダー情報なしでログを送信できます（デフォルトはYes）。このオプションは、一部の SIEM が syslog ヘッダー付きの JSONを解析するのが困難な場合に便利です。HTTP と HTTPS プロトコルでは、このオプションは使用できず、ログは常に syslog ヘッダーなしで送信されることに注意してください。

   9. Description : 設定の簡単な説明を入力します（最大 100文字）。

5. OKボタンをクリックして保存します。

   1. Syslog 送信は、保存後すぐには開始されません。

6. ログの送信を開始するには、ページ左上の:토글:スイッチをアクティブに切り替えます。

   1. このトグルボタンは、メンテナンスなどのために一時的に送信を停止する場合にも使用できます。

7. Syslog ログを送信する必要がなくなった場合は、削除ボタンを使用して設定を削除できます。

   1. ただし、削除する前にまずトグルを非アクティブにする必要があります。:토글off:

注意事項

• ライセンスによっては、QueryPie が Syslog 経由で送信するイベント項目が異なる場合があります。

Pod Session Recordings は、Request Audit のPods / execリソース呼び出し履歴とエントリが重複するため、Syslog 送信ではサポートされていません。

• その他の参考ドキュメント

  • RFC 3164：BSD Syslog プロトコル

  • Splunk Universal Forwarder

  • Splunk Connect for Syslog

  • Splunk Web での HTTP イベントコレクターの設定と使用