Примечание
Примечание: Это функция раннего доступа (EA), доступная только для ограниченного выпуска. Для получения дополнительной информации о включении функции, свяжитесь с вашим представителем Cato Networks или отправьте электронное письмо на ea@catonetworks.com.
Cato позволяет передавать события и потоки непосредственно в Splunk и нормализовать данные до Общей информационной модели Splunk (CIM) с помощью дополнения Cato Technology (TA), чтобы вы могли сразу использовать стандартные поисковые запросы, панели мониторинга и контент обнаружения Splunk без создания пользовательского парсинга. Дополнение Cato TA представляет собой приложение для Splunk, которое отображает телеметрию Cato в поля, совместимые с CIM, для использования с аналитикой, панелями мониторинга и обнаружениями Splunk.
С нормализованными данными CIM ваша телеметрия сразу доступна в экосистеме Splunk, включая Splunk Enterprise Security (ES). Вы можете использовать готовые панели мониторинга, поисковые запросы для корреляции и контент для обнаружения без дополнительной настройки, снизить операционные расходы и ускорить рабочие процессы расследования для сетевой, безопасности и пользовательской активности.
Интеграция Cato и Splunk с TA поддерживает следующие источники данных:
-
События - события, генерируемые платформой Cato, включая интернет и WAN Firewall, предотвращение угроз, аутентификацию, системные изменения и изменения соединения
-
Потоки - обогащенная телеметрия потока сети с контекстом приложения и агрегированными метриками
Вы можете получать данные в одном из этих форматов:
-
Родной Cato схема
-
Splunk Common Information Model (CIM) с использованием дополнения Cato TA
CIM-основанный вариант позволяет быстро использовать встроенную аналитику и контент безопасности Splunk.
Для получения дополнительной информации см. Cato Event to Splunk CIM Field Mapping (EA).
Использование нормализованных данных CIM с дополнением Cato технология предоставляет следующие преимущества:
-
Используйте стандартизированные модели данных Splunk для согласованного анализа в разных средах
-
Запустите готовые поисковые запросы для корреляции и обнаружений в Splunk ES
-
Включите готовые панели мониторинга для сети, безопасности и активности пользователя
-
Сократите необходимость в пользовательской извлечении полей и нормализации
-
Ускорьте процессы по внедрению SOC и расследованию инцидентов
Когда вы используете Splunk Enterprise Security (ES):
-
Данные, сопоставленные с CIM, автоматически заполняют модели данных ES
-
Предустановленные поисковые запросы для корреляции генерируют значимые события
-
Панели мониторинга безопасности обеспечивают немедленную видимость угроз и активности
-
Контент-паки, такие как ESCU, работают без дополнительной настройки
Дополнение Cato Technology (TA) нормализует телеметрию Cato в поля, совместимые с CIM. Подробности приложения:
-
Имя приложения: Дополнение Cato Networks CIM для Splunk
-
ID приложения: TA-catonetworks-cim
-
Автор: Cato Networks
Настройте интеграцию и разверните дополнение для нормализации данных.
Для настройки интеграции с дополнением Cato Technology:
-
Из меню навигации выберите Ресурсы > Интеграции.
-
Настройте интеграцию Splunk для потоковой передачи данных в вашу среду Splunk.
-
Выберите источники данных:
-
События
-
Потоки
-
-
В вашей среде Splunk выполните поиск по Cato Networks CIM Add-on for Splunk и установите его.
-
(Необязательно) Включите Splunk Enterprise Security для расширенной аналитики и обнаружений.
Для лучшей видимости в Splunk мы рекомендуем включить как События, так и Потоки для интеграции. Это обеспечит более широкое покрытие телеметрии и позволит вам коррелировать отдельные события безопасности с связанным контекстом трафика. Вы можете включить только один источник данных, если это необходимо, и поддерживается фильтрация событий. Однако для полной видимости и корреляции требуются события и потоки.
События и потоки имеют общее поле Flow ID, которое позволяет коррелировать события безопасности с соответствующим сетевым трафиком. Это помогает вам расследовать инциденты с дополнительным контекстом трафика и улучшает анализ в сети, безопасности и активности пользователя.
0 комментариев
Войдите в службу, чтобы оставить комментарий.