Cato ডেটাকে Splunk এর সাথে ইন্টিগ্রেট করা

সারসংক্ষেপ

Cato নেটওয়ার্ক এবং নিরাপত্তা ডেটা আপনার বিদ্যমান মনিটরিং, সম্পর্কন, এবং তদন্ত ওয়ার্কফ্লোগুলিতেও অন্তর্ভুক্ত করতে Splunk ইন্টিগ্রেশন ব্যবহার করুন। নেটিভ ইন্টিগ্রেশন Cato থেকে Splunk এ সরাসরি ডেটা পাঠায়, যা আপনাকে এক কেন্দ্রিক প্ল্যাটফর্মে অন্যান্য সোর্স থেকে আসা ডেটার পাশাপাশি Cato কার্যকলাপ বিশ্লেষণ করার অনুমতি দেয়। এটি আপনাকে ড্যাশবোর্ড, অনুসন্ধান, সতর্কতা, এবং রিপোর্ট তৈরি করতে সাহায্য করে, অতিরিক্ত ডেটা সংগ্রহ প্রক্রিয়া প্রয়োজন ছাড়াই।

Catoes একটি কাস্টম গিটহাব ইন্টিগ্রেশনও অফার করে Cato গিটহাব রিপোজিটরি থেকে। আরও তথ্যের জন্য, নীচের নেটিভ Turnkey এবং কাস্টম গিটহাব ইন্টিগ্রেশন পদ্ধতি নির্বাচন দেখুন।

Splunk ডেটা উৎসসমূহ 

Splunk ইন্টিগ্রেশন দুটি ডেটা উৎসকে সমর্থন করে:

• ইভেন্ট - নেটওয়ার্ক বা সিস্টেমে নির্দিষ্ট কার্যকলাপ সংঘটিত হলে তৈরি হয়, যেমন নীতি নিয়ম মিলা বা হুমকি সনাক্ত হওয়া। এই রেকর্ডগুলি নিরাপত্তা এবং নীতি প্রয়োগের উপর সুনির্দিষ্ট, বাস্তব-সময়ের অন্তর্দৃষ্টি প্রদান করে। ডেটা পাঠানো হচ্ছে Cato এর ইভেন্ট স্কিমা ব্যবহার করে।

• প্রবাহ - নেটওয়ার্ক প্রবাহ (5-টাপল) হিসেবে শুরু হয় এবং Cato ইঞ্জিন থেকে অ্যাপ্লিকেশন স্তরে তথ্য পাওয়া গেলে সমৃদ্ধ হয়। অ্যাপ্লিকেশন এবং ব্যবহারকারী প্রেক্ষাপটের পাশাপাশি, প্রবাহে ক্ষণিকের ডেটা যেমন বাইট, প্যাকেট এবং সময়কাল অন্তর্ভুক্ত থাকে, যা সময়ের সাথে নেটওয়ার্ক কার্যকলাপের একটি পূর্ণাঙ্গ দৃশ্য প্রদান করে। প্রবাহ ক্ষেত্রগুলির সুপারসেটটি appStats স্কিমা দ্বারা উপস্থাপিত হয়।

  কিছু ক্ষেত্র শুধুমাত্র স্বদেশী ইন্টিগ্রেশনের মাধ্যমে প্রবাহিত প্রবাহের জন্য উপলব্ধ এবং তা appStats বা অ্যাপ্লিকেশন বিশ্লেষণের অংশ নয়। উদাহরণস্বরূপ, flow_id এবং সংগ্রহ করা মেট্রিক যেমন আপস্ট্রিম ও ডাউনস্ট্রিম প্যাকেট ও বাইট, এবং প্রবাহ সময়কাল। এই ক্ষেত্রগুলি নিম্নলিখিত মন্তব্য দিয়ে চিহ্নিত করা হয়েছে:

  প্রাকৃতিক প্রবাহের ডেটা ইন্টিগ্রেশন শুধুমাত্র CMA-তে তৈরি করা হয়েছে।

ডিফল্টরূপে, নতুন ইন্টিগ্রেশন শুধুমাত্র ইভেন্ট রপ্তানি করে। প্রবাহ ডেটা উৎস, ইভেন্টের তুলনায় উল্লেখযোগ্যভাবে উচ্চতর ভলিউম এ ডেটা তৈরি করতে পারে। সঠিক ভলিউম আপনার ট্রাফিকের উপর নির্ভর করে। CMA একাধিক ইন্টিগ্রেশন কনফিগার করার সমর্থন করে, যা আপনাকে প্রয়োজন অনুযায়ী বিভিন্ন ডেটা উৎস পাঠানোর অনুমতি দেয়। ফিল্টারিং শুধুমাত্র ইভেন্টের জন্য সমর্থিত।

ব্যবহারের কেস

ঘটনাসমূহ

Sample Company Splunk কেন্দ্রিক নিরাপত্তা মনিটরিং এবং প্রতিক্রিয়ার জন্য ব্যবহার করে। একজন Cato গ্রাহক হিসেবে, তাদের কাছে নেটওয়ার্ক কার্যকলাপ, হুমকি, ব্যবহারকারীর তথ্য, ডিভাইস এবং Cato প্ল্যাটফর্মে প্রবাহিত সমস্ত ট্র্যাফিকের মতো মূল বৈশিষ্ট্য থেকে উপযোগী ডেটা রয়েছে। তারা SOC এবং NOC দলের জন্য বিদ্যমান ওয়ার্কফ্লোতে সহজে একীভূত করতে পারে যেখানে তারা সরাসরি স্প্লাঙ্কে ডেটা পাঠানোর জন্য এই ইন্টিগ্রেশন ব্যবহার করতে পারে।

প্রবাহ

Splunk-এ একটি নিরাপত্তা বিশ্লেষক একটি সন্দেহজনক ঘটনা চিহ্নিত করেছেন যেখানে একটি ব্যবহারকারী উচ্চ ঝুঁকির অ্যাপ্লিকেশনটি অ্যাক্সেস করেছেন যা ডেটা এক্সফিল্ট্রেশনের সাথে যুক্ত হতে পারে। Cato ইভেন্টগুলি ব্যবহার করে, বিশ্লেষক নীতি সিদ্ধান্ত, ব্যবহারকারী পরিচিতি এবং অ্যাপ্লিকেশন দেখতে পারেন। যাইহোক, ঘটনাটি দেখায় না কত ডেটা স্থানান্তরিত হয়েছে বা সেশন কতক্ষণ স্থায়ী হয়েছে।

প্রবাহ_id ক্ষেত্রের মাধ্যমে ইভেন্টে সম্পর্কিত সংগ্রহিত ট্রাফিক প্রবাহের ডেটা সহ বিশ্লেষক পূর্ণ সেশন প্রেক্ষাপট দেখতে পারেন, মোট স্থানান্তরিত বাইট, প্যাকেট সংখ্যা এবং সেশন সময়কাল অন্তর্ভুক্ত করে। এটি বিশ্লেষককে নির্ধারণ করতে সহায়তা করে যে কার্যকলাপটি সামান্য মিথস্ক্রিয়া ছিল বা বড় ডেটা স্থানান্তর যা এক্সফিল্ট্রেশন নির্দেশ করতে পারে।

ইভেন্ট এবং প্রবাহের ডেটা একত্রিত করে, বিশ্লেষক দ্রুত ঘটনার গুরুত্ব যাচাই করতে এবং যথাযথ পদক্ষেপ নিতে পারেন।

প্রার্থাসূচি

• ইন্টিগ্রেশন ( সম্পদ বিভাগে). আরও তথ্যের জন্য, দেখুন লোভের ব্যবহারকারী ভূমিকা ব্যবহার করে পরিচালনা।

• Splunk URL এবং পোর্ট হল আপনার অ্যাকাউন্টে অ্যাক্সেস করার জন্য HEC এন্ডপয়েন্ট। সাধারণত, এটি ওয়েব URL আপনি Splunk অ্যাক্সেস করার জন্য ব্যবহার করেন যার শুরুতে "http-inputs-" অক্ষর যোগ করা আছে। উদাহরণস্বরূপ, যদি আপনার অ্যাকাউন্ট http://mydomain.splunk.com হয়, তাহলে আপনি https://http-inputs-mydomain.splunkcloud.com/ ব্যবহার করবেন। আরও তথ্যের জন্য, Splunk ডকুমেন্টেশন দেখুন। পোর্ট ঐচ্ছিক এবং আপনি যদি অন্য কিছু নির্দিষ্ট না করেন, আমরা 443 ব্যবহার করি (এটি Splunk ক্লাউডের ডিফল্ট)।

• Getting Started with Event Integrations এ সকল Cato ইভেন্ট ইন্টিগ্রেশনের জন্য পূর্বশর্তগুলি পর্যালোচনা করুন।

Splunk ইন্টিগ্রেশন তৈরি করা হচ্ছে

একটি নতুন Splunk ইন্টিগ্রেশন যোগ করুন Cato ইভেন্ট এবং প্রবাহ Splunk HTTP ইভেন্ট সংকলক (HEC) এন্ডপয়েন্টে পাঠাতে। ইন্টিগ্রেশন সেট আপ করতে, Splunk এ একটি HEC টোকেন তৈরি করুন, CMA তে নতুন Splunk ইন্টিগ্রেশন তৈরি করুন এবং ingestion URL এবং API কী প্রবেশ করান।

কনফিগারেশন প্রোসেসে, আপনি ইভেন্ট, প্রবাহ বা উভয়কে অন্তর্ভুক্ত করার বিষয়ে কনফিগার করতে পারেন। ডিফল্টরূপে শুধুমাত্র ইভেন্ট রপ্তানি করা হয়। প্রবাহ ডেটা উৎস ইভেন্টের তুলনায় উল্লেখযোগ্যভাবে উচ্চতর ডেটার ভলিউম তৈরি করতে পারে। সঠিক ভলিউম আপনার ট্রাফিকের উপর নির্ভর করে। CMA একাধিক ইন্টিগ্রেশন কনফিগার করার সমর্থন করে, যা আপনাকে প্রয়োজন অনুযায়ী বিভিন্ন ডেটা উৎস পাঠানোর অনুমতি দেয়।

দ্রষ্টব্য:

• Splunk Enterprise (স্বয়ংশাসিত) ইন্টিগ্রেশনের জন্য:

  • Splunk HEC এন্ডপয়েন্ট ইন্টারনেটের মাধ্যমে প্রবেশযোগ্য হতে হবে (অর্থাৎ, একটি পাবলিক IP ঠিকানা বা পাবলিক DNS নামে উন্মুক্ত)। ব্যক্তিগত আইপিএস বা শুধুমাত্র অভ্যন্তরীণ এন্ডপয়েন্ট সমর্থিত নয়।

  • TLS পরিদর্শন সক্রিয় থাকতে হবে, এবং এন্ডপয়েন্ট একটি বিশ্বাসযোগ্য জনসাধারণ সার্টিফিকেট অথোরিটি দ্বারা প্রকাশিত বৈধ X.509 সার্টিফিকেট প্রদর্শন করতে হবে। আপন-স্বাক্ষরিত অথবা ব্যক্তিগতভাবে প্রদত্ত CA সার্টিফিকেট সমর্থিত নয়, কারণ সংযোগগুলো শুধুমাত্র স্ট্যান্ডার্ড CA বিশ্বাসের শৃঙ্খলা ব্যবহার করে যাচাই করা হয়।

• CMA-তে ইন্টিগ্রেশন মুছে ফেলা স্প্লাঙ্কে তৈরি করা কোনো সম্পদ অপসারণ করে না।

ফিল্টারগুলো

যেমন Cato ইভেন্টগুলি Splunk এ রপ্তানি হবে তা নিয়ন্ত্রণ করতে ফিল্টার ব্যবহার করুন। এটি গলিত খরচ কমাতে, শব্দের সংখ্যা কমাতে এবং নির্দিষ্ট সাইট, ব্যবহারকারী বা অঞ্চলের সাথে সম্পর্কিত ইভেন্টগুলিতে তদন্তের দিকে মনোযোগ দিতে সাহায্য করে। আপনি ইভেন্টের বিভিন্ন উপসেটগুলি বিভিন্ন SIEM পরিবেশে রাউট করতে ফিল্টার ব্যবহার করতে পারেন।

যে কোনো ইভেন্ট ক্ষেত্র বা ক্ষেত্রের সমন্বয়ের ভিত্তিতে ফিল্টার সংজ্ঞায়িত করতে ফিল্টার গ্রুপ ব্যবহার করুন। প্রতিটি গ্রুপের মধ্যে শর্তগুলি AND লজিক ব্যবহার করে। গ্রুপগুলির মধ্যে OR লজিক প্রয়োগ করা হয়। স্ক্রিনশটে দেখানো ফিল্টারগুলি ইন্টিগ্রেশন কনফিগার করে রপ্তানির জন্য:

• প্যারিস অথবা মাদ্রিদ থেকে যে ইভেন্টের উৎপত্তি হয়, যেগুলি উপ-প্রকার ইন্টারনেট ফায়ারওয়াল এর এবং ক্রিয়াকলাপ হিসাবে মোনিটর অথবা প্রম্পট ছাড়া অন্য কোন কাজের ফলাফল হয়।

• ব্যবহারকারীর নাম অন্তর্ভুক্ত করে পরীক্ষাতালিকা

Splunk ইন্টিগ্রেশন তৈরি করতে:

1. আপনার Splunk অ্যাকাউন্টে, এই ইন্টিগ্রেশনের জন্য নতুন ইভেন্ট সংগ্রাহক টোকেন তৈরি করুন। বিস্তারিত জানতে, দেখুন Splunk ডকুমেন্টেশন। আপনি টোকেনের জন্য একটি কাস্টম সূচক নির্ধারণ করতে পারেন বা ডিফল্ট সূচক ব্যবহার করতে পারেন।

2. দেখানো টোকেন মানটি কপি করুন। আপনাকে Cato এর সাথে ইন্টিগ্রেশন কনফিগার করার জন্য এটি প্রয়োজন।

3. CMA থেকে সম্পদ > ইন্টিগ্রেশন নির্বাচন করুন।

4. কনফিগার্ড ইন্টিগ্রেশন ট্যাবে, নতুন ক্লিক করুন। নতুন ইন্টিগ্রেশন প্যানেল খোলে।

5. নির্বাচন করুন Splunk এবং নিম্নলিখিত ক্ষেত্রগুলি কনফিগার করুন:

   1. Auth dropdown এ, API Key নির্বাচন করুন।

   2. একটি কানেক্টর নাম এবং ঐচ্ছিক বিবরণ এন্টার করুন এই ইন্টিগ্রেশনের জন্য।

   3. Splunk ডকুমেন্টেশনে বর্ণিত আপনার Splunk পরিবেশের জন্য ইনজেশন URL লিখুন।

   4. Splunk-এ আপনি তৈরি করা API কী লিখুন।

   5. সূচক নির্দিষ্ট করুন যা Cato থেকে ডেটা পায়। যদি এটি ফাঁকা রাখেন, Cato HEC টোকেনে নির্ধারিত ডিফল্ট সূচক ব্যবহার করে।

   6. ইভেন্ট, প্রবাহ বা উভয় ইন্টিগ্রেট করা হবে কিনা তা নির্ধারণ করুন।

   7. ঐচ্ছিক: Cato যে ইভেন্টগুলি Splunk এ পাঠায় তা নিয়ন্ত্রণ করতে ফিল্টার যোগ করুন।
      নোট: ফিল্টার শুধুমাত্র ইভেন্টের জন্য প্রযোজ্য।

   8. যখন ইন্টিগ্রেশন ত্রুটি ঘটে, একটি ইভেন্ট তৈরি করতে হলে তা নির্দিষ্ট করুন।

6. সংরক্ষণ করুন চাপ দিন।

   ইন্টিগ্রেশনের স্ট্যাটাস কনফিগার করা ইন্টিগ্রেশন ট্যাবে প্রদর্শিত হয়।

মালিকানাধীন কার্যকলাপ এবং কাস্টম গিটহাব ইন্টিগ্রেশন পদ্ধতি মধ্যে নির্বাচন করা

এই লেখায় বর্ণিত নেটিভ টার্নকি ইন্টিগ্রেশনের পাশাপাশি, আপনি Cato এর GitHub অ্যাকাউন্ট এর সরঞ্জাম ব্যবহার করে Cato ইভেন্টসহ স্প্লাঙ্ক একীভূত করতে পারেন। প্রতিটি পন্থা আপনার লক্ষ্য এবং পরিবেশের উপর নির্ভর করে স্বতন্ত্র সুবিধা প্রদান করে। প্রয়োজনে আপনি উভয় ইন্টিগ্রেশন ব্যবহার করতে পারেন।

মালিকানাধীন সম্পূর্ণ কার্যকলাপের জন্য ব্যবহার করার সময়

Cato এর নেটিভ ইন্টিগ্রেশন নিম্নলিখিত কনফিগারেশনের মাধ্যমে একটি স্কেলযোগ্য এবং সমর্থনযোগ্য সমাধান প্রদান করে। নেটিভ ইন্টিগ্রেশন অন্তর্ভুক্ত সুবিধাসমূহ:

• বড় ভলিউমের ইভেন্টগুলি দক্ষভাবে পরিচালনা করে কোন এপিআই-ভিত্তিক সীমাবদ্ধতা ছাড়াই

• Cato দ্বারা পুরোপুরি রক্ষণাবেক্ষণ এবং সমর্থিত হয়

• Splunk এ পাঠানো ডেটা সুন্দরভাবে ঠিকঠাক করার জন্য ফিল্টার সহায়তা করে

গিটহাব ইন্টিগ্রেশন ব্যবহার করার সময়

গিটহাব ইন্টিগ্রেশন কাস্টম ডেটা উৎস বা প্রক্রিয়াকরণ লজিক প্রয়োজন হবে এমন উন্নত ব্যবহারের ক্ষেত্রে নমনীয়তা প্রদান করে। নিম্নলিখিত পরিস্থিতিতে আপনি এই ইন্টিগ্রেশনটি ব্যবহার করতে পারেন:

• আপনি Cato এর অডিট লগ থেকে স্প্লাঙ্কে ডেটা পাঠাতে চান

• আপনি Cato গিটহাব রিপোজিটরি ব্যবহার করতে চান একটি ওপেন উৎস হিসাবে ইন্টিগ্রেশন কাস্টমাইজ করতে

চিহ্নিত সীমাবদ্ধতা

• বৃহৎ ইভেন্ট সীমাবদ্ধতা: ঘটনাস্থল তথ্য Splunk এ পাঠানোর সময় সংকুচিত হতে পারে যদি raw_data ক্ষেত্র (যা গল্প তথ্য অন্তর্ভুক্ত করে) 5 MB আকারের বেশি হয় (এটি Splunk এর ডিফল্ট, কিন্তু এটি বৃদ্ধি করা যেতে পারে)।