Sycope obsługuje External Destinations oparte na REST, co pozwala przesyłać wybrane alerty do zewnętrznych endpointów HTTP ręcznie lub automatycznie jako część akcji przypisanej do reguły. Splunk udostępnia HTTP Event Collector (HEC) do odbierania zdarzeń przez HTTP lub HTTPS.
Tworzy to prostą ścieżkę integracji, w której Sycope pozostaje odpowiedzialne za analizę sieciową i detekcję, natomiast wybrane informacje z alertów stają się dostępne w Splunk razem z danymi pochodzącymi z innych źródeł bezpieczeństwa i infrastruktury.
Table of Contents
Od alertu Sycope do Splunk
Integracja Sycope–Splunk jest wspierana przez TA-sycope Technology Add-on, który dostarcza komponenty po stronie Splunk wymagane do odbierania, normalizacji i analizy danych Sycope.
Add-on zawiera natywne mapowania do Splunk Common Information Model (CIM), w tym do modeli danych Intrusion Detection i Network Traffic, a także lookup tables oraz sześć gotowych do użycia dashboardów. Obejmują one widoki do analizy zdarzeń Sycope w Splunk oraz dashboard oparty na macierzy MITRE ATT&CK.
TA-sycope jest instalowany w standardowym katalogu aplikacji Splunk pod $SPLUNK_HOME/etc/apps, dzięki czemu zespoły mogą korzystać z gotowego modelu danych, mapowań pól i warstwy wizualizacyjnej, zamiast budować część integracji po stronie Splunk od zera.
Po stronie Sycope alerty mogą być przesyłane do Splunk poprzez External Action. Akcja może zostać uruchomiona ręcznie z poziomu aktywnego alertu albo przypisana do reguły Sycope i uruchamiana automatycznie dla wybranych threshold levels.
Dane alertu są przesyłane przez Splunk HTTP Event Collector (HEC). Ponieważ Sycope wysyła alert jako raw JSON, bez wrappera {"event": ...} oczekiwanego przez standardowy endpoint event, integracja musi korzystać z:
/services/collector/raw
zamiast:
/services/collector/event
Uwierzytelnianie HEC wymaga również specyficznego dla Splunk nagłówka autoryzacyjnego:
Authorization: Splunk <token>
Standardowy nagłówek uwierzytelniania Bearer nie powinien być używany dla tego połączenia.
Po odebraniu zdarzenia TA-sycope odpowiada po stronie Splunk za ekstrakcję i normalizację pól oraz udostępnia dane do wyszukiwania, analizy opartej na CIM, wzbogacania przez lookupy oraz dashboardów dostarczanych z add-onem.
Dzięki temu detekcje sieciowe i bezpieczeństwa z Sycope mogą stać się częścią istniejącego workflow Splunk, podczas gdy Sycope pozostaje źródłem szczegółowej analizy sieciowej i historycznego kontekstu ruchu.
Uzupełniające się możliwości, z jasno określonym podziałem ról
Sycope i Splunk pozostają niezależnymi systemami i odpowiadają za różne elementy procesu monitoringu i bezpieczeństwa.
Sycope zapewnia:
- Analizę sieci opartą na flow data
- Widoczność komunikacji host-to-host
- Monitoring wydajności sieci
- Wykrywanie anomalii i zagrożeń sieciowych
- Predefiniowane i niestandardowe reguły alertowania
- Historyczne dane o komunikacji sieciowej
- Szczegółowy kontekst sieciowy do analizy
Splunk zapewnia:
- Scentralizowane przyjmowanie i indeksowanie zdarzeń
- Wyszukiwanie w danych pochodzących z wielu źródeł
- Dashboardy i raportowanie
- Korelację z innymi informacjami operacyjnymi i bezpieczeństwa
- Istniejące workflow SOC i SIEM
Sycope identyfikuje aktywność widoczną w ruchu sieciowym i dostarcza kontekst potrzebny do jej analizy. Splunk pozwala obsługiwać wybrane zdarzenia Sycope obok informacji zbieranych z innych systemów.
Detekcje Sycope jako część szerszego obrazu bezpieczeństwa
Główną wartością integracji nie jest samo przesyłanie kolejnego alertu do Splunk. Chodzi o udostępnienie wybranych detekcji sieciowych w środowisku, w którym analitycy już pracują z danymi pochodzącymi z różnych części infrastruktury.
Kontekst sieciowy obok innych zdarzeń bezpieczeństwa
Detekcja Sycope może dotyczyć komunikacji pomiędzy systemami wewnętrznymi, nieoczekiwanego połączenia zewnętrznego, aktywności skanującej, nietypowego zachowania ruchu lub innego warunku sieciowego.
Przesłanie takiego zdarzenia do Splunk pozwala analizować detekcję razem z informacjami z innych źródeł dotyczącymi tych samych systemów i tego samego okresu.
Alert Sycope dostarcza perspektywę sieciową, natomiast Splunk może osadzić go w szerszym zbiorze zdarzeń bezpieczeństwa i operacyjnych dostępnych w organizacji.
Wykorzystanie istniejących workflow Splunk
Organizacje, które już wykorzystują Splunk jako centralne miejsce monitoringu bezpieczeństwa, mogą uwzględniać wybrane alerty Sycope bez konieczności niezależnego monitorowania każdego źródła przez analityków.
Przychodzące zdarzenie może być indeksowane przy użyciu dedykowanego source, sourcetype lub indexu zgodnie z konfiguracją Splunk w danej organizacji. Pozwala to odróżnić dane Sycope od innych źródeł i włączyć je do istniejących wyszukiwań i dashboardów.
Celem jest udostępnienie istotnych detekcji Sycope w istniejącym workflow SOC, przy jednoczesnym pozostawieniu szczegółowej analizy ruchu w Sycope.
Kontrola nad tym, które zdarzenia są przesyłane
Nie każdy alert Sycope musi być przesyłany do Splunk.
External Actions mogą być przypisywane do wybranych reguł i threshold levels, dzięki czemu zespoły mogą określić, które zdarzenia powinny opuszczać środowisko Sycope.
Pozwala to przesyłać zdarzenia bezpieczeństwa o wyższym priorytecie lub alerty istotne dla konkretnego workflow SIEM, pozostawiając pozostałe informacje monitoringowe wyłącznie w Sycope.
Payload może być również dostosowany tak, aby zawierał pola wymagane dla danego use case’u Splunk, zamiast przesyłać niepotrzebne informacje.
Jak działa integracja
Integracja opiera się na trzech głównych elementach.
1. Splunk HTTP Event Collector
HEC jest włączany w środowisku Splunk i konfigurowany z tokenem służącym do odbierania zdarzeń.
Konfiguracja HEC określa, w jaki sposób przychodzące dane mają być indeksowane, i może definiować takie wartości jak docelowy index i sourcetype. Splunk obsługuje ingest zdarzeń przez HTTP/S z wykorzystaniem ustrukturyzowanych payloadów JSON.
2. External Destination w Sycope
Endpoint Splunk jest konfigurowany w Sycope jako External Destination oparty na REST.
Sycope External Destinations obsługują żądania HTTP POST i niestandardowe payloady dla integracji z systemami zewnętrznymi. Dynamiczne wartości z aktywnych alertów mogą być uwzględniane w tych payloadach, co pozwala przesyłać do systemu odbierającego informacje z reguły, która została uruchomiona.
Dokładna konfiguracja uwierzytelniania Splunk HEC oraz payloadu powinna być dostosowana do środowiska Splunk i jego ustawień HEC.
3. Ręczne lub automatyczne dostarczanie alertów
Skonfigurowany destination może być używany ręcznie z poziomu aktywnego alertu Sycope albo przypisany jako akcja do reguły.
W przypadku automatycznego przesyłania wybrana reguła i threshold levels określają, kiedy Sycope wysyła zdarzenie do Splunk.
Daje to kontrolę nad tym, które detekcje sieciowe stają się częścią zbioru danych Splunk, i pozwala dopasować integrację do istniejących procesów SOC.
Od detekcji sieciowej do analizy SIEM
Rozważmy regułę Sycope, która wykrywa zachowanie sieciowe wymagające analizy bezpieczeństwa.
Po osiągnięciu skonfigurowanego threshold Sycope generuje alert i wysyła wybrane informacje o zdarzeniu do endpointu Splunk HEC.
Splunk indeksuje zdarzenie razem z danymi już zebranymi z innych systemów. Analityk może wykorzystać detekcję Sycope jako kolejne źródło danych przy analizie aktywności dotyczącej objętych zdarzeniem hostów lub tego samego okresu.
Jeśli wymagana jest głębsza analiza sieciowa, dochodzenie może być kontynuowane w Sycope z wykorzystaniem dostępnej historii ruchu i kontekstu komunikacji.
Integracja pozwala więc detekcjom sieciowym Sycope uczestniczyć w szerszym procesie SIEM, przy jednoczesnym zachowaniu roli Sycope jako platformy odpowiedzialnej za analizę sieciową.
Integracja Sycope i Splunk
Integracja zapewnia oparty na REST sposób uwzględniania wybranych alertów Sycope w Splunk.
Detekcje sieciowe i bezpieczeństwa generowane przez Sycope mogą być przesyłane przez Splunk HTTP Event Collector i wykorzystywane obok innych zdarzeń operacyjnych i bezpieczeństwa, podczas gdy szczegółowa analiza ruchu pozostaje dostępna w Sycope.
Aby omówić integrację alertów Sycope z Twoim środowiskiem Splunk, skontaktuj się z naszym zespołem.
