Intégration de DataSunrise avec Splunk Enterprise
Splunk Enterprise est une plateforme pour l’intelligence opérationnelle. Elle est utilisée pour collecter et évaluer les big data générées par diverses applications. Splunk Enterprise offre de nombreuses fonctionnalités mais, dans le cadre de DataSunrise, il peut être utilisé pour l’agrégation des journaux d’audit.
Dans ce manuel, nous décrivons comment configurer Splunk Enterprise pour l’intégrer avec DataSunrise. Les résultats d’audit des données sont exportés de DataSunrise vers Splunk via Syslog. À titre de démonstration, une version d’essai de Splunk Enterprise est utilisée. Vous pouvez la télécharger depuis le site officiel. Avant d’essayer d’utiliser Splunk pour collecter les journaux d’audit des données, configurez DataSunrise Syslog.
Pour ce faire, entrez dans l’interface graphique de DataSunrise, “Configurations” -> “Paramètres Syslog”, “Paramètres Syslog” et configurez un serveur Syslog distant (voir la capture d’écran ci-dessous). Étant donné que notre Splunk est installé sur notre PC où DataSunrise est également installé, la valeur de l’hôte serveur est 127.0.0.1. Le numéro de port est 514.
Ensuite, accédez à “Configurations” -> “Paramètres Syslog” et créez un nouveau groupe CEF si nécessaire ou utilisez le “groupe par défaut”. Vous devez inclure les événements, que vous souhaitez envoyer à Syslog, dans le groupe.
Ensuite, créez une règle DataSunrise et dans les paramètres de la règle, sous-section “Actions”, sélectionnez votre groupe CEF dans la liste déroulante “Configuration Syslog”. Cela vous permettra de transmettre les données d’audit collectées par DataSunrise à Splunk via Syslog. Pour plus de détails, consultez le guide utilisateur de DataSunrise. Ensuite, dans la section “Filter Statements”, sélectionnez “Sessions Events” et spécifiez les événements des sessions dont vous souhaitez envoyer des messages Syslog.
Il existe des versions de Splunk Enterprise pour les systèmes d’exploitation Windows, UNIX et Mac OS, chaque version du programme ayant ses spécificités. Dans ce guide, nous décrivons l’installation de Splunk sur Windows et Linux. Pour préparer le programme au travail, suivez les étapes suivantes :
Installation de Splunk Enterprise
Windows
Effectuez la procédure d’installation standard pour les applications Windows. Consultez le guide d’installation officiel si nécessaire.
Linux
Effectuez la procédure d’installation standard pour les applications Linux. Consultez le guide d’installation officiel si nécessaire.
Démarrage de Splunk Enterprise
Windows
Ouvrez l’invite de commande Windows, accédez au dossier d’installation de Splunk avec la commande “cd” et exécutez la commande “splunk start“. (Par exemple, si Splunk a été installé dans le dossier par défaut, utilisez la commande suivante : cd C:\Program Files\Splunk\bin splunk start). Vous pouvez également créer la variable d’environnement %SPLUNK_HOME% pour simplifier le processus de démarrage de Splunk. Consultez le guide de démarrage officiel si nécessaire.
Linux
Exécutez la commande suivante via l’invite de commande Linux : Sudo /bin/splunk start . Vous pouvez également créer la variable d’environnement SPLUNK_HOME pour démarrer le programme avec la commande suivante : Export SPLUNK_HOME= $SPLUNK_HOME/bin/splunk start
Configuration de Splunk Syslog
1. Entrez dans l’interface graphique de Splunk. Pour ce faire, ouvrez l’adresse suivante via votre navigateur web : localhost:8000. Sur la page de connexion, utilisez “admin” comme identifiant et “changeme” comme mot de passe (Splunk vous demandera de définir un nouveau mot de passe).
2. Sur la page de démarrage de l’interface graphique, cliquez sur le bouton Ajouter des données (Add Data).
3. Ensuite, sur la page suivante, cliquez sur “Monitor” pour l’onglet “Select Source”.
4. À l’onglet “Select Source Data”, sélectionnez le protocole TCP/UDP. Sélectionnez le port UDP en activant l’interrupteur correspondant. Spécifiez le numéro de port d’écoute (port 514). Laissez les autres paramètres dans leur état par défaut. Passez à l’onglet suivant en appuyant sur Suivant.
5. À l’onglet “Input Settings”, utilisez la liste déroulante “Select Source type” pour sélectionner Operating System-> Syslog. Cliquez sur “Review” pour passer à l’étape suivante.
6. À l’onglet “Review”, vérifiez vos paramètres : type d’entrée — UDP, numéro de port — 514, type de source — Syslog. Cliquez sur Soumettre pour terminer la configuration.
7. Une fois la configuration terminée, cliquez sur “Start Searching” pour rechercher les journaux.
8. Étant donné que DataSunrise crée des journaux pendant son fonctionnement, vous ne verrez probablement pas d’entrées. C’est pourquoi vous devez configurer les règles d’audit de DataSunrise si vous ne l’avez pas encore fait. Effectuez les actions nécessaires pour que DataSunrise crée des journaux d’audit et actualisez la page de recherche dans Splunk.
9. Pour voir les détails d’un événement, cliquez sur > dans la colonne “I” de l’événement requis. Ensuite, utilisez la liste déroulante Event Actions pour sélectionner Extract Fields et afficher des informations détaillées.
10. Un nouvel onglet de navigateur s’ouvrira. Vous devez y sélectionner une méthode d’extraction. Expressions régulières — en tant qu’expressions régulières ou Délimiteurs — extraction avec des virgules, des espaces et des caractères. Cette méthode est recommandée pour les données séparées par des caractères (fichiers CSV par exemple).
11. Après avoir sélectionné une méthode appropriée, cliquez sur suivant pour commencer l’extraction.
DataSunrise prend en charge toutes les bases de données et entrepôts de données majeurs tels qu’Oracle, Exadata, IBM DB2, IBM Netezza, MySQL, MariaDB, Greenplum, Amazon Aurora, Amazon Redshift, Microsoft SQL Server, Azure SQL, Teradata et bien d’autres. Vous êtes invités à télécharger une version d’essai gratuite si vous souhaitez l’installer sur vos locaux. Si vous êtes un utilisateur cloud et que vous exécutez votre base de données sur Amazon AWS ou Microsoft Azure, vous pouvez l’obtenir via AWS market place ou Azure market place.
