注意
注意： 这是一个早期可用 (EA) 特性，仅限于有限发布。 有关启用该功能的更多信息，请联系您的 Cato Networks 代表或发送电子邮件至 ea@catonetworks.com。
Cato 允许您将事件和流量直接传输到 Splunk，并使用 Cato 技术插件 (TA) 将数据规范化到 Splunk 通用信息模型 (CIM)，这样您可以立即使用标准的 Splunk 搜索、仪表板和检测内容而无需构建自定义解析。 Cato TA 是一个 Splunk 应用程序，将 Cato 遥测映射为符合 CIM 的字段，以便与 Splunk 分析、仪表板和检测一起使用。
CIM 规范化数据使您的遥测数据可在整个 Splunk 生态系统中立即使用，包括 Splunk 企业安全 (ES)。 您可以使用开箱即用的仪表板、关联搜索和检测内容，而无需额外的自定义，减少操作开销，加速网络、安全和用户活动的调查工作流程。
Cato Splunk 与 TA 的集成支持以下数据源：
-
事件 - 由 Cato 平台生成的事件，包括互联网和广域网防火墙、威胁防护、认证、系统和连接性变更
-
流量 - 富化的网络流量遥测，带有应用程序上下文和聚合指标
您可以以以下格式摄取数据：
-
原生 Cato 模式
-
使用 Cato TA 的 Splunk 通用信息模型 (CIM)
基于 CIM 的选项使您能够快速使用 Splunk 原生分析和安全内容。
有关更多信息，请参阅 事件到 Splunk CIM 字段映射 (EA)。
Cato 技术插件 (TA) 将 Cato 遥测规范化为符合 CIM 的字段。应用详情：
-
应用名称：Cato Networks CIM 插件 for Splunk
-
应用 ID: TA-catonetworks-cim
-
作者：Cato Networks
配置集成并部署技术插件以规范化数据。
配置与 Cato 技术插件的集成：
-
从导航菜单中，选择 资源 > 集成。
-
配置 Splunk 集成，以流式传输数据到您的 Splunk 环境。
-
选择数据源：
-
事件
-
流量
-
-
在您的 Splunk 环境中，搜索 Cato Networks CIM 插件 for Splunk 并安装它。
-
（可选） 启用 Splunk 企业安全以进行高级分析和检测。
为了在 Splunk 中获得最佳可见性，我们建议您为集成启用 事件 和 流量。 这提供了更广泛的遥测覆盖范围，并使您能够将离散的安全事件与相关流量上下文关联。 如果需要，您可以仅启用一个数据源，并支持事件过滤。 然而，完整的可见性和关联需要事件和流量。
0 条评论
请登录写评论。