集成 GravityZone 云端与Splunk集成

作为 Bitdefender 合作伙伴，您可通过 GravityZone 与Splunk集成，使用 GravityZone 通过API和Splunk HTTP事件收集器实现。借助该服务，您可将 GravityZone 控制中心的数据直接发送至Splunk Enterprise或Splunk Cloud。

前提条件

要实现 GravityZone 与Splunk的集成，您需准备以下内容：

您的 GravityZone 云账户凭证。
Splunk账户（云端或本地部署）凭证。

可选：可通过脚本自动启用集成功能。

若需 Bitdefender Splunk应用关联来自 GravityZone 的数据，必须安装 Bitdefender Splunk插件。

集成步骤

使用 GravityZone 与Splunk的集成需按以下步骤操作：

在 GravityZone 控制中心

登录 GravityZone 控制中心 .
前往 我的账户 .
在 API密钥 部分，点击添加 .
勾选 事件推送服务API 复选框并点击保存。新密钥将显示在API密钥表中。
点击保存以保存 我的账户 页面的更改。

在Splunk中启用HTTP事件收集器的新令牌

登录Splunk。
进入 设置 > 数据输入 > HTTP事件收集器 .
点击 新建令牌 .
在 添加数据 界面中，填写名称字段（如下图所示），然后点击 下一步 .
在 源类型 处，点击选择并选择 _json .

使用 Bitdefender Splunk应用时，安装完 Bitdefender Splunk插件后，点击选择并选择 bitdefender:gz 作为数据源。
在索引处，选择默认索引或新建一个。HTTP事件收集器接收的事件将被存入所选索引。
点击审核 .
确认输入信息后点击提交 .

令牌已成功创建。请复制令牌值并妥善保存，后续启用集成时将需要使用。
前往 设置 > 数据输入 > HTTP事件收集器 并点击 全局设置 .
在新窗口的 所有令牌 部分，勾选启用 .
点击保存 .

启用Splunk集成

当您在 GravityZone 控制中心创建事件推送服务密钥并在Splunk中启用HTTP事件收集器后，需启用集成功能以开始将事件从 GravityZone 推送至Splunk。

手动启用Splunk集成

通过Linux或Mac终端模拟器获取配置事件推送服务所需信息：
- GravityZone API URL。
  
  该地址位于 我的账户 > 控制中心 API 页面，通常格式类似 https://cloudgz.gravityzone.bitdefender.com/api .
- 在 GravityZone .
  
  头部值为Basic base64编码。
  
  重要提示
  
  要获取授权头，请运行 echo 命令 后跟带冒号的API密钥（ : ).
```
> echo -n '604821e87e4c7de3aa15d0e6a97f5ab362281dbf0763746671da2caf4b5cccd1:' | base64 -w 0
```
  结果应类似于：
```
NjA0ODIxZTg3ZTRjN2RlM2FhMTVkMGU2YTk3ZjVhYjM2MjI4MWRiZjA3NjM3NDY2NzFkYTJjYWY0YjVjY2NkMTo=
```
- Splunk URL。
  
  在Splunk Cloud平台中可以找到，应类似于： https://prd-p-xlpxkqpw84k2.cloud.splunk.com 。如果使用本地部署的Splunk，URL已就绪。
- HTTP事件收集器令牌。

运行以下命令（需编辑的设置已加下划线）：

> curl -k -X POST \https://cloudgz.gravityzone.bitdefender.com/api/v1.0/jsonrpc/push \
-H 'authorization: BasicNjA0ODIxZTg3ZTRjN2RlM2FhMTVkMGU2YTk3ZjVhYjM2MjI4MWRiZjA3NjM3NDY2NzFkYTJjYWY0YjVjY2NkMTo=' \
-H 'cache-control: no-cache' \
-H 'content-type: application/json' \
-d '{"params": {"status": 1, "serviceType": "splunk", "serviceSettings": {"url": "https://input-prd-p-r2rmnllpzv4n.cloud.splunk.com:8088/services/collector", "requireValidSslCertificate": false, "splunkAuthorization": "SplunkEA900DEB-22C8-402B-A7F9-A926C1633E7A"}, "subscribeToEventTypes": {"hwid-change": true,"modules": true,"sva": true,"registration": true,"supa-update-status": true,"av": true,"aph": true,"fw": true,"avc": true,"uc": true,"dp": true,"device-control": true,"sva-load": true,"task-status": true,"exchange-malware": true,"network-sandboxing": true,"malware-outbreak": true,"adcloud": true,"exchange-user-credentials": true,"exchange-organization-info": true,"hd": true,"antiexploit": true}}, "jsonrpc": "2.0", "method":"setPushEventSettings", "id": "1"}'

注意

GravityZone 在事件推送服务设置重新加载后，开始向Splunk发送事件。此过程每10分钟执行一次。

若要立即开始发送事件，请运行以下命令（需编辑的设置已加下划线）：

> curl -k -X POST \https://cloudgz.gravityzone.bitdefender.com/api/v1.0/jsonrpc/push \
-H 'authorization: BasicR2U5SENZcWRVN2pJRFI5MHdOMGVFMXpiQjVTbmM1SE46' \
-H 'cache-control: no-cache' \
-H 'content-type: application/json' \
-d '{"params": {}, "jsonrpc": "2.0", "method": "getPushEventSettings", "id": "2"}'

返回结果应类似于：

{"id":"1","jsonrpc":"2.0","result":true}

测试Splunk集成

要测试集成，请运行以下命令（需编辑的设置已加下划线）：

> curl -k -X POST \https://cloudgz.gravityzone.bitdefender.com/api/v1.0/jsonrpc/push \
-H 'authorization: BasicR2U5SENZcWRVN2pJRFI5MHdOMGVFMXpiQjVTbmM1SE46' \
-H 'cache-control: no-cache' \
-H 'content-type: application/json' \
-d '{"params": {"eventType": "av"}, "jsonrpc": "2.0", "method": "sendTestPushEvent", "id": "3"}'

通过运行脚本启用Splunk集成

您还可以通过运行 GravityZone 创建的脚本，开始将事件从 Bitdefender 发送至Splunk。您可以在Linux或Mac上使用您喜欢的终端模拟器执行此操作。

从此处 .
通过运行以下命令使脚本可执行：
```
chmod +x bdpusheventconfig.sh
```

运行脚本的命令如下：

./bdpusheventconfig.sh -g [控制台URL] -k [API密钥] -t [服务类型] -u [服务URL] -a [Splunk认证令牌] -v -d [事件]

该脚本包含以下选项：

选项	描述
`-g[控制台URL]`	GravityZone API地址
`-k[api_key]`	GravityZone API密钥
`-t[service_type]`	服务类型：splunk 或 jsonRPC
`-u[service_url]`	Splunk或RPC地址
`-a[splunk_auth_token]`	Splunk授权令牌
`-v`	验证服务SSL证书
`-c`	连接Splunk Cloud免费试用版。在服务主机前添加'input-'并使用8088端口（若未指定端口）。
`-d`	连接Splunk Cloud实例。在服务主机前添加'http-inputs-'并使用443端口（若未指定端口）。
`-h,--help`	帮助

这些选项与手动启用集成时使用的选项类似。

[events]列表指代一个或多个以空格分隔的事件，这些事件将从 GravityZone 发送至Splunk。具体事件描述见下表：

事件类型标识符	描述
`模块`	产品模块事件
`安全虚拟化架构`	安全服务器状态事件
`注册`	产品注册事件
`更新服务器状态`	已过时更新服务器事件（当更新服务器作为中继 )
`反病毒`	反恶意软件事件
`反钓鱼`	反钓鱼事件
`防火墙`	防火墙事件
`高级威胁控制`	高级威胁控制 /入侵检测系统事件
`用户控制`	用户控制事件
`数据保护`	数据保护事件
`hd`	高级检测事件
`sva加载`	过载安全服务器事件
`任务状态`	任务状态事件
`exchange恶意软件`	Exchange恶意软件检测事件
`网络沙箱`	沙箱分析器检测
`adcloud`	Active Directory集成问题
`exchange用户凭证`	Exchange用户凭证
`反漏洞利用`	反漏洞利用事件
`网络监控`	网络攻击防御事件
`终端迁入`	终端迁入（用于将终端从一个公司迁移至另一个公司）
`终端迁出`	终端迁出（用于将终端从一个公司迁移至另一个公司）
`硬件ID变更`	硬件ID变更
`安装`	安装代理
`新事件`	新建事件
`勒索软件缓解`	勒索软件活动检测
`安全容器更新可用`	安全容器可用更新
`故障排除活动`	故障排除活动
`卸载`	卸载代理

要订阅所有事件，请使用值 全部 或单独指定每个事件。如果事件列表为空（未指定事件类型），则集成功能将被禁用。

示例

启用Splunk集成

./bdpusheventconfig.sh -g https://gz.example.com/api/v1.0/jsonrpc/push 
-k abcdefghijklmnopqrstuvwxyz123456 -t splunk -u 
https://splunk.example.com -a 11111111-2222-3333-4444-555555555555 -d 
modules sva registration supa-update-status av aph fw avc uc dp sva-load
 task-status exchange-malware network-sandboxing adcloud 
exchange-user-credentials

./bdpusheventconfig.sh -g https://gz.example.com/api/v1.0/jsonrpc/push 
-k abcdefghijklmnopqrstuvwxyz123456 -t splunk -u 
https://splunk.example.com -a 11111111-2222-3333-4444-555555555555 -c 
all

配置json RPC服务

./bdpusheventconfig.sh -g https://gz.example.com/api/v1.0/jsonrpc/push 
-k abcdefghijklmnopqrstuvwxyz123456 -t jsonRPC -u 
https://rpc.example.com modules sva registration supa-update-status av 
aph fw avc uc dp sva-load task-status exchange-malware 
network-sandboxing adcloud exchange-user-credentials

禁用Splunk集成

./bdpusheventconfig.sh -g https://gz.example.com/api/v1.0/jsonrpc/push 
-k abcdefghijklmnopqrstuvwxyz123456 -t splunk -u 
https://splunk.example.com -a 11111111-2222-3333-4444-555555555555 –c

有关推送事件服务的详细信息，请参阅推送部分。

有关基于 GravityZone 数据在Splunk中创建报告的详细信息，请参阅基于以下数据在Splunk中创建报告 GravityZone 数据 .

本节内容 :