Cisco WSA Splunk アプリケーションのインストレーション、セットアップ、およびユーザ ガイド Cisco WSA Splunk アプリケーション

ダウンロード

Splunk ソフトウェアは、www.splunk.com から無料でダウンロードできます。

Splunk ソフトウェアのインストールおよび使用に関する包括的なドキュメントは、Splunk の Web サイト docs.splunk.com から入手できます。

関連トピック

• 「Splunk のインストールと設定」

サポートされる機能およびサポートされない機能

マニュアル

このマニュアルでは、Cisco Web セキュリティ アプライアンス用 Splunk アプリケーションの使用について説明します。Splunk 製品自体のマニュアルは、Splunk Web サイトで入手できます（http://docs.splunk.com）。

Splunk インスタンス

Splunk の最新のシステム要件については、Splunk の Web サイトを参照してください。http://docs.splunk.com/Documentation/Splunk/latest/Installation/Systemrequirements

Cisco Web セキュリティ アプライアンス用 Splunk アプリケーション

オペレーティング システムの要件は以下のとおりです。

• Red Hat Linux

• Windows

プラットフォーム要件：参照ハードウェアは、製品グレードであり、かつ、Cisco のサポート対象となるためには次の最低限の仕様を満たす必要があります。

• Intel x86/64 ビット チップ アーキテクチャ（2 CPU、4 コア、2.5 ～ 3 Ghz）

• 16GB RAM

• 300GB SAS ハードディスク X 4、10,000 rpm、RAID10（800 IOPS 以上）

• 標準 1Gb イーサネット NIC、管理ネットワーク用セカンド NIC（オプション）

（注） Splunk はディスクの I/O に抑制されることが多いため、ストレージ ハードウェアを選択するときは必ずそれを第一に考慮します。

ファイル システムは、NTFS または EXT2/3 でフォーマットされたローカル ディスク ボリュームでの実行を前提としています。独立した OS ボリュームを、業界のベスト プラクティスにあわせて作成する必要があります。Splunk は、可能な限り論理ボリューム上にインストールする必要があります。

認証/許可に関する注意事項

• Splunk の基本的な認証

• AD/LDAP

Splunk の基本的な認証

Splunk のローカル認証が、設定されている他の認証オプションよりも優先します。

デフォルト設定：

• 3 つの役割：ユーザの権限を定義します。

• 1 件のユーザ アカウント：admin は変更不可です。設定、テスト、トラブルシューティングを行うためにこのアカウントを使用します。

• Splunk にそのグループ DN をインポートします。

• 最適なデフォルトの Splunk の役割をそのグループ DN にマッピングするか、またはより適切な役割を作成してマッピングします。

要件がシンプルな場合、たとえば、少数のユーザのみが Splunk データを閲覧できる場合は、ローカル認証を使用するだけでも構いません。

Cisco Web セキュリティ アプライアンス用 Splunk アプリケーションのインストール/更新

はじめる前に

• 「Splunk のインストールと設定」

• Cisco Web セキュリティ アプライアンス用 Splunk アプリケーションのバージョンをアップグレードする場合、旧バージョンのアプリケーションをアンインストールします。

• Cisco Web セキュリティ アプライアンス用 Splunk アプリケーションの zip または tar ファイルを受け取ります。

• Splunk Web を開きます。

ステップ 1 Splunk Web 内では、[管理者（Manager）] > [アプリケーション（Apps）] > [ファイルからアプリケーションをインストール（Install Apps from File）] の順に進みます。

ステップ 2 ブラウズし、Cisco Web セキュリティ アプライアンス用 Splunk アプリケーションの zip または tar ファイルを選択します。

ステップ 3 アプリケーションが正常にインポートされたとの通知を確認します。

ステップ 4 Splunk を再起動します：[管理者（Manager）] > [サーバコントロール（Server Controls）] > [再起動（Restart）]。

ステップ 5 Splunk Web にログインします。

ステップ 6 [管理者（Manager）] > [アプリケーション（Apps）] の順に進み、Cisco WSA Splunk アプリケーションが表示および有効化されていることを確認します。

次の作業

• 「履歴データのインポートおよびインデックス作成」

コンフィギュレーションベスト プラクティス

• Cisco Web セキュリティ アプライアンス アプライアンス上で統一したタイムゾーンを設定します。

検索結果に表示される時間は、Splunk インスタンスの「ローカルの」時間を表しています。初期設定では、Cisco Web セキュリティ アプライアンス ログへの Splunk 入力は、すべて TZ = GMT に設定されます。

• ローカル管理者アカウントのパスワードを記録します（選択した認証方法に関係なく）。

（任意）サマリー スクリプトのカスタマイズ

ステップ 1 編集用にサマリー スクリプトを開きます。

• Linux： $SPLUNK_HOME/etc/apps/CiscoWSA/bin /summary.sh

• Windows： X:\$SPLUNK_HOME\etc\apps\CiscoWSA\bin\summary.vbs

ステップ 2 次の文字列を検索します。

time $Spath/bin/splunk cmd python $Spath/bin/fill_summary_index.py -app SplunkforCiscoIronportWSA -namefile $Spath/etc/apps/SplunkforCiscoIronportWSA/bin/summary.jobs -et -90d -lt now -j 8 -dedup true

ステップ 3 開始日、終了日およびサマリー スクリプトで使用されるコア数をカスタマイズします。

（任意）インポート時間の推測

履歴サマリーは、完了までに 9 時間かかります。

ステップ 1 プラットフォーム ハードウェアの推奨要件に基くと、各サマリージョブの 5M イベント（未加工データ 2GB）に対して 4 分かかります。

例：25M の履歴イベントを表す 10GB ファイルについては、各サマリー ジョブに対する実行が 20 分かかると想定されます。

ステップ 2 Cisco Web セキュリティ アプライアンス用 Splunk アプリケーションで使用される 27 個のサマリージョブを可能にします。

履歴データのインポートおよびインデックス作成

はじめる前に

• 「Splunk のインストールと設定」に記載された設定のタスクを完了します。

• フィールドの抽出が正しいことを確認します。「フィールドの抽出」を参照してください。

• フォルダ構造を理解します。「ログ ファイルのフォルダ構造を作成」 を参照してください。

• （任意）「（任意）インポート時間の推測」を参照してください。

ステップ 1 ログ ファイルのフォルダ構造に、履歴ログ ファイルをコピーします。

（注） デフォルトでは、これらのログは、データがインデックス化されたのち、削除されます。

ステップ 2 コマンド プロンプトから、サマリー スクリプトを実行します：

Linux： $SPLUNK_HOME/etc/apps/CiscoWSA/bin /summary.sh

Windows： X:\$SPLUNK_HOME\etc\apps\CiscoWSA\bin\summary.vbs

ステップ 3 Splunk のフォルダに移動し、画面が表示されたら、Splunk のローカル管理者の資格情報を入力します。

（注） 結果が即座に表示されない場合があります。

ステップ 4 データがインポートされていることを確認します：

a. Splunk Web に、admin としてログインします。

b. 検索アプリケーションに移動します。

c. [ステータス（Status）] > [インデックス アクティビティ（Index Activity）] > [インデックス アクティビティ概要レポート（Index Activity Overview report）] に進みます。

d. サマリー インデックスの増加分を探します。

ステップ 5 履歴データのインポートが Splunk 評価ライセンスで実行された場合、アカウント用にダウンロードしたエンタープライズ デフォルト ライセンスをインストールし、非プロダクション ライセンスをすべて削除してください。

次の作業

• 「Splunk でデータ入力を設定」

Splunk でデータ入力を設定

はじめる前に

• 「履歴データのインポートおよびインデックス作成」

• ログ ファイルへのパスを把握します（「ログ ファイルのフォルダ構造を作成」）。

• Splunk Web を開きます。

ステップ 1 Splunk Web 内で、[管理者（Manager）] > [データ入力（Data Inputs）] > [ファイルとディレクトリ（Files and Directories）] と進みます。

ステップ 2 CiscoWSA とラベル付けされた入力をすべて無効にします。

ステップ 3 $SPLUNK_HOME/etc/apps/CiscoforIronportWSA/default/inputs.conf というファイルを以下のフォルダにコピーします。
$SPLUNK_HOME/etc/apps/CiscoforIronportWSA/local/

ステップ 4 テキスト エディタを使用して、$SPLUNK_HOME/etc/apps/CiscoforIronportWSA/local/inputs.conf を開きます。

ステップ 5 入力方法およびログ ソースに対応するセクションを見つけて、パスを編集します。

ステップ 6 同じセクション内で、無効に設定する値を編集します： disabled = false 。

ステップ 7 ファイルを保存します。

ステップ 8 Splunk を再起動します。

ステップ 9 Splunk Web 内で、[管理者（Manager）] > [データ入力（Data Inputs）] > [ファイルとディレクトリ（Files and Directories）] と進みます。

ステップ 10 Splunk Web で、入力内容が一覧表示および有効化され、正しいパスが設定されていることを確認します。

ステップ 11 Splunk Web で、各入力項目のソース タイプを wsa_accesslogs に手動で設定します。

ステップ 12 Splunk Web では、入力の場合、[その他の設定（More settings）] > [インデックス（Index）] > [初期設定（Default）] を選択します。

Cisco Web セキュリティ アプライアンスからのログ転送を確立

はじめる前に

• ログ ファイルへのパスを把握します（「ログ ファイルのフォルダ構造を作成」）。

• 転送の頻度を決定します。60 分単位以下には設定できません。

• Cisco Web セキュリティ アプライアンスの Web インターフェイスを開きます。

ステップ 1 Cisco Web セキュリティ アプライアンスの Web インターフェイスで、
[システム管理（System Administration）] > [サブスクリプション（Log Subsctiptions）] に移動します。

ステップ 2 [ログ設定を追加...（Add Log Subscription...）] をクリックします。

ステップ 3 サブスクリプションを設定します。

（注） [ログ設定を追加（Add Log Subscription）] ページからアクセスできるオンライン ヘルプでは、すべての設定に関する詳細情報をアップデートします。

部門メンバーシップ レポートをセットアップ

はじめる前に

• Linux ユーザ：次のコマンドを使用して、ldapsearch ツールをインストールします。

sudo yum install openldap-clients

ステップ 1 メンバーシップ スクリプトの AD/LDAP グループ ベース DN を特定します。

a. テキスト エディタで適切なメンバーシップ スクリプトを開きます。

– Linux：$SPLUNK_HOME/etc/apps/CiscoWSA/bin/discovery.py

– Windows：X:\ $SPLUNK_HOME \ etc \ App \ CiscoWSA \ bin \ discovery.vbs

b. ヘッダーの一番上の 4 つのフィールドを編集します：

strComputer = 'ad_ldap_host'

strUser = 'cn=service_account,cn=Users,dc=my_directory,dc=net'

strPassword = 'service_account_password'

strGroupOUs = 'Group base DN;Group base DN;Group base DN'

c. ファイルを保存します。

ステップ 2 inputs.conf スクリプトにより、メンバーシップ スクリプトの使用を可能にします。

a. テキスト エディタで、inputs.conf スクリプトを開きます。

$SPLUNK_HOME/etc/apps/CiscoforIronportWSA/local/inputs.conf

b. 適切な文字列を検索します。

– # membership script Windows

– # membership script Linux

c. 無効を false に設定します： disabled = false

ステップ 3 ユーザ データの departments.csv にスクリプトが入力されたことを確認します。

$SPLUNK_HOME/etc/apps/CiscoWSA/lookups/departments.csv

メンバーシップのスクリプトは、毎日実行するように初期設定されます。秒間隔にセットされ、配置要件に合わせて変更できます。

職務別の部門レポートへのアクセスを制限

はじめる前に

• ユーザのデータ閲覧が特定の部門またはグループからのデータに制限されている場合、レイヤ 4 トランスポート モニタ（L4TM）データを利用できるのは管理者のみに限られることを理解します。これは、L4TM データが部門または役割にリンクされていないためです。

• Splunk Web を開きます。

ステップ 1 Splunk Web で、[管理者（Manager）] > [アクセス コントロール（Access controls）] > [役割（Roles）] に移動します。

ステップ 2 [新規（New）] をクリックするか、既存の役割を編集します。

ステップ 3 役割の検索制限を定義します。

例：営業部門データの閲覧だけに役割を限定する場合は、制限検索条件のフィールドに「department=sales」と入力します。

ステップ 4 [保存（Save）] をクリックします。

トラブルシューティング

• departments.csv ファイルがアプリケーションの参照フォルダに存在することを確認します。

• Windows ユーザ：「option explicit」をコメントアウトし、エラーの発生と原因についてより具体的な情報を示します。

• LDAP パスの構文が正しいことを確認します。

• バインド サービスのアカウント名が正しいことを確認します。

• 正しいバインド パスワードが入力されていることを確認します。

• ポート 389 経由でリモート マシンにテスト接続します。

• 正しい属性がメンバー名に設定されていることを確認します。

• 正しい属性がグループ メンバーシップに使用されたことを確認します。

• 正しい属性がグループ名に設定されていることを確認します。

スケジュール済みレポートのセットアップ

ステップ 1 PDF レポート サーバのアドオンを Splunk からダウンロードし、インストールします。

http://splunk-base.splunk.com/apps/22348/pdf-report-server-install-on-linux-only

ステップ 2 Linux ディストリビューション向けの Xvfb X サーバ、xauth およびフォントがインストールされていることを確認します。これらはほとんどの Linux ディストリビューションに含まれていますが、デフォルトではインストールされません。Red Hat では、次のように入力します。

yum install Xvfb xauth bitstream-vera-fonts

ステップ 3 Splunk Web を Linux ホスト上で起動します。

ステップ 4 [管理者（Manager）] > [システム設定（System Settings）] > [電子メール アラート設定（Email Alert Settings）] に移動します。

ステップ 5 [PDF レポート サーバを使用（Use PDF Report Server）] のボックスをチェックします。

ステップ 6 [保存（Save）] をクリックします。

ステップ 7 メール サーバの設定で、Splunk が相互作用している SMTP サーバに関連する情報を入力または更新し、警告の電子メールを送信できるようにします。

ステップ 8 SMTP メール ホスト サーバを識別します。

ステップ 9 SMTP サーバが必要とする認証ユーザ名/パスワードを提供します。

ステップ 10 （任意）SMTP サーバと通信する際に、Splunk が SSL または TLS を使用することを指定します。

ステップ 11 電子メールの形式で、Splunk が送信する電子メールの形式を設定します。

「送信者」のフィールドに表示される名前を定義し（初期設定では Splunk）、電子メールの件名行の形式を設定できます（初期設定では Splunk アラート：$name$ - アラートの基になっている検索の名前が $name$ として表示される）。すべてのアラート用電子メールの形式をマネジャーレベルで設定し、また、アラートのメールがインライン結果を提供するか否かを設定できます。

PDF レポート サーバの通信先となる Splunk Web インスタンスのホスト名が DNS で解決できない場合は、IP アドレスまたはそのホスト名を、リンクのホスト名フィールドに入力します。これにより、Splunk Web の PDF レポート サーバへのアクセスと、電子メールで送信された PDF レポート中のリンクの正常な動作が確保されます。フィールドが空白の場合、Splunk はホスト名の自動検出を試行します。

ステップ 12 Splunk コア サービス ポートの変更方法: %SPLUNK_HOME% \ bin ディレクトリから: splunk set splunkd-port ####