>

Splunk ES TAのインストールと設定

インストールと構成

取り付け

このアドオンをインストールするには、次の手順を実行します。

  1. Splunkbaseから最新のTAリリースをダウンロード

  2. Splunkで、画面左上のSplunkロゴの横にあるドロップダウンメニューから[アプリの管理]を選択します

  3. 「ファイルからアプリをインストール」を選択します

  4. TA-recorded_future.splファイルの場所を参照し、選択してアップロードします。 Splunkの再起動を求められたら、再起動します。

  5. 「アプリの管理」に戻ります。 リストから「Splunk ES Add-on for Recorded Future」を探し、「Set up」を実行します。

  6. 「エンタープライズ・セキュリティ」メニュー・バーで、「構成」-「インシデント管理>」-「インシデント・レビュー設定>」をクリックします。

  7. 「インシデントレビュー - イベント属性」セクションの「新規エントリの追加」ボタンをクリックします。 次の [ラベル] と [フィールド] の組み合わせを追加します。

    ラベル 畑
    RF リスク スコア rf_a_risk
    RF トリガー ルール rf_b_rules
    RF 非常に悪意のある証拠 rf_evidence_critical
    RF 悪意のある証拠 rf_evidence_malicious
    RF 不審な証拠 rf_evidence_suspicious
    RF の異常な証拠 rf_evidence_unusual

  8. インストールが完了したら、Splunkインスタンスの再起動が必要になります。

  9. まだ行っていない場合は、「脅威アクティビティが検出されました」というエンタープライズセキュリティ相関検索を有効にします

    1. 「エンタープライズ・セキュリティ」メニュー・バーで、「構成 -> Content Management」をクリックします
    2. フィルター バーに「Threat Activity Detected」と入力します。
    3. 「有効にする」リンクをクリックして、相関検索を有効にします

  10. 必要に応じて、インストール後の検証レポートを作成します。 "アプリの展開の検証" レポートを実行します。 いくつかのテストを実行しますが、どのテストもエラーになることはありません。

    1. [Dashboards]、[Reports...] -[> Reports] の順に移動します。
    2. [アプリの展開の検証] を実行します。

または、Splunk Webインターフェイスの「Find more apps online」機能を使用してアドオンをダウンロードすることもできます。 上記の手順 5 以降は、引き続き完了する必要があります。

構成

インストール後、Recorded Future API と通信するために Add-on for Recorded Future を設定する必要があります。

  1. [Configuration (設定)] - [> Configuration (設定)] に移動します。
  2. 「アドオン設定」タブを選択します。
  3. APIキーを入力します。
  4. 追加の構成が必要な場合は、他のタブを確認します。

以前のバージョンからのアップグレード

セットアップは、アップグレード後に実行する必要があります。 APIキー(ドキュメントでは以前はトークンと呼ばれていました)は、古い構成から引き継がれません。 プロキシとログレベルの構成についても同じことが言えます。

3.x バージョンからのアップグレード

アプリのバージョン 2 と 3 では変更が大きいため、アプリ ディレクトリ ($SPLUNK_HOME/etc/apps/TA-recorded_future) を削除して、アプリを新規インストールすることをお勧めします。

それが不可能な場合は、以下の手順に進んでください。

削除できるファイルとディレクトリ

次のファイルとディレクトリは、使用されなくなったため削除できます。

binフォルダから: 

未来
libfuturize (ライブラリの未来化)
過去
要求
rf_integrations
rf_splunk
RFAPI (英語)
splunklib
get-rf-threatlists.py
rf_es_setup.py
verify_rf_app.py

ローカルフォルダから(存在する場合): 

commands.conf (コマンド・コンブ)

local/data/ui/nav フォルダー (存在する場合) から: 

default.xml

確認が必要なファイル

ローカルフォルダ内のファイルはすべて、ローカル設定の結果です。これらは、アプリに付属する新しい設定よりも優先されます。 ローカルフォルダ内の各ファイルの違いを、デフォルトフォルダ内の新しいデフォルトと比較して確認し、必要に応じて調整します。

特に、savedsearches.conf での相関検索は、実施されている場合、問題を引き起こす可能性があります。