<\/span><\/h2>\nIntegracja Sycope\u2013Splunk jest wspierana przez TA-sycope Technology Add-on<\/strong>, kt\u00f3ry dostarcza komponenty po stronie Splunk wymagane do odbierania, normalizacji i analizy danych Sycope.<\/p>\nAdd-on zawiera natywne mapowania do Splunk Common Information Model (CIM), w tym do modeli danych Intrusion Detection<\/strong> i Network Traffic<\/strong>, a tak\u017ce lookup tables oraz sze\u015b\u0107 gotowych do u\u017cycia dashboard\u00f3w. Obejmuj\u0105 one widoki do analizy zdarze\u0144 Sycope w Splunk oraz dashboard oparty na macierzy MITRE ATT&CK<\/strong>.<\/p>\nTA-sycope jest instalowany w standardowym katalogu aplikacji Splunk pod $SPLUNK_HOME\/etc\/apps<\/code>, dzi\u0119ki czemu zespo\u0142y mog\u0105 korzysta\u0107 z gotowego modelu danych, mapowa\u0144 p\u00f3l i warstwy wizualizacyjnej, zamiast budowa\u0107 cz\u0119\u015b\u0107 integracji po stronie Splunk od zera.<\/p>\nPo stronie Sycope alerty mog\u0105 by\u0107 przesy\u0142ane do Splunk poprzez External Action. Akcja mo\u017ce zosta\u0107 uruchomiona r\u0119cznie z poziomu aktywnego alertu albo przypisana do regu\u0142y Sycope i uruchamiana automatycznie dla wybranych threshold levels.<\/p>\n
Dane alertu s\u0105 przesy\u0142ane przez Splunk HTTP Event Collector (HEC). Poniewa\u017c Sycope wysy\u0142a alert jako raw JSON, bez wrappera {\"event\": ...}<\/code> oczekiwanego przez standardowy endpoint event, integracja musi korzysta\u0107 z:<\/p>\n\/services\/collector\/raw<\/code><\/p>\nzamiast:<\/p>\n
\/services\/collector\/event<\/code><\/p>\nUwierzytelnianie HEC wymaga r\u00f3wnie\u017c specyficznego dla Splunk nag\u0142\u00f3wka autoryzacyjnego:<\/p>\n
Authorization: Splunk <token><\/code><\/p>\nStandardowy nag\u0142\u00f3wek uwierzytelniania Bearer nie powinien by\u0107 u\u017cywany dla tego po\u0142\u0105czenia.<\/p>\n
Po odebraniu zdarzenia TA-sycope odpowiada po stronie Splunk za ekstrakcj\u0119 i normalizacj\u0119 p\u00f3l oraz udost\u0119pnia dane do wyszukiwania, analizy opartej na CIM, wzbogacania przez lookupy oraz dashboard\u00f3w dostarczanych z add-onem.<\/p>\n
Dzi\u0119ki temu detekcje sieciowe i bezpiecze\u0144stwa z Sycope mog\u0105 sta\u0107 si\u0119 cz\u0119\u015bci\u0105 istniej\u0105cego workflow Splunk, podczas gdy Sycope pozostaje \u017ar\u00f3d\u0142em szczeg\u00f3\u0142owej analizy sieciowej i historycznego kontekstu ruchu.<\/p>\n
<\/span>Uzupe\u0142niaj\u0105ce si\u0119 mo\u017cliwo\u015bci, z jasno okre\u015blonym podzia\u0142em r\u00f3l<\/span><\/h2>\nSycope i Splunk pozostaj\u0105 niezale\u017cnymi systemami i odpowiadaj\u0105 za r\u00f3\u017cne elementy procesu monitoringu i bezpiecze\u0144stwa.<\/p>\n
Sycope zapewnia:<\/strong><\/p>\n\n- Analiz\u0119 sieci opart\u0105 na flow data<\/li>\n
- Widoczno\u015b\u0107 komunikacji host-to-host<\/li>\n
- Monitoring wydajno\u015bci sieci<\/li>\n
- Wykrywanie anomalii i zagro\u017ce\u0144 sieciowych<\/li>\n
- Predefiniowane i niestandardowe regu\u0142y alertowania<\/li>\n
- Historyczne dane o komunikacji sieciowej<\/li>\n
- Szczeg\u00f3\u0142owy kontekst sieciowy do analizy<\/li>\n<\/ul>\n
Splunk zapewnia:<\/strong><\/p>\n