ステップ 2:Forwarder App と Search Head App の構成(分散型デプロイメント)
2024年8月22日
ID 167080
分散型デプロイメントのスキームでは、お使いの分散型 Splunk 環境の構成に基づき、Forwarder App を構成する必要があります。たとえば、アプリが使用する Kaspersky CyberTrace サービスアドレスを変更する、Forwarder App のイベントソースを新たに追加するといった構成変更が必要な場合があります。Search Head App では、アラートのためのメールアドレスの構成が必要な場合があります。
Forwarder App と Search Head App の構成
Forwarder App では、次の手順が必要な場合があります:
- イベントを Kaspersky CyberTrace サービスに転送するアドレスとポートを変更します。以下の「データを Kaspersky CyberTrace サービスに転送するアドレスとポートの変更」サブセクションを参照してください。
- イベントを 1 つ以上の Indexer に送信するように Forwarder App を構成します。既定では、Forwarder App から Kaspersky CyberTrace サービスに送信されるイベントはインデックスに登録されていません。以下の「イベントをインデックスに送信するように Forwarder App を構成」サブセクションを参照してください。
- 複数の Forwarder App を使用している場合、1 つの Forwarder App のみがポート
9998
で Kaspersky CyberTrace からイベントを受信する必要があります。その他のすべての Forwarder App では、Forwarder App 設定情報ファイル内のこのルールのdisabled
パラメータにtrue
を指定することで、このルールを無効化します。Kaspersky CyberTrace からイベントを受信する Forwarder App の IP アドレスとポートは、Kaspersky CyberTrace Web の[Settings]→[Service]タブで指定する必要があります。 - 新しいイベントソースを追加します。以下の「新しいイベントソースの追加」サブセクションを参照してください。
Search Head App では、次の手順が必要な場合があります:
設定情報ファイルの変更後、Splunk を再起動します。
このセクションで説明する Forwarder App 設定情報ファイルと Search Head App 設定情報ファイルのみを編集してください。その他の設定情報ファイルを編集すると、予期せぬ動作が発生する可能性があります。
設定情報ファイル(分散型デプロイメント)
以下の表では、次に示す分散型デプロイメントスキームのバリアントにおいて、Forwarder App と Search Head App が使用する設定情報ファイルをまとめています:
- 単一 Indexer と複数 Forwarder
- 複数 Indexer と複数 Forwarder
Forwarder App と Search Head App の設定情報ファイル
アプリケーション
設定情報ファイル
既定のルール
Forwarder App
\default\inputs.conf
ポート
3000
でソースからデータを受信し、そのデータをoutputs.conf
で構成されている通りに転送します。:9998
ポートで Kaspersky CyberTrace からイベントを受信します。Forwarder App
\default\outputs.conf
データを
127.0.0.1:9999
(Kaspersky CyberTrace サービスアドレス)に転送します。Forwarder App
\default\props.conf
:3000
と:9998
で受信したデータを解析します。既定のデータ解析ルールの説明は、以下の「既定のデータ解析ルール」サブセクションを参照してください。Search Head App
\default\savedsearches.conf
アラートテンプレートのルール。
既定のデータ解析ルール
Splunk が受信データを解析する方法は、ファイル props.conf で定義されます。既定では、以下のように定義されます:
- 受信データからタイムスタンプを抽出する方法を定義します。
- 受信データのイベント間の区切り文字(改行文字)を定義します。
たとえば、受信データにシーケンス
「%data_1%\n\n%data_2%」
があり、改行文字が 1 つ以上の\n
記号の場合、Splunk はこのシーケンスを 2 つのイベント(%data_1%
と%data_2%
)に分割します。
以下は、Forwarder App が受信データの解析に使用する既定のルールです。
TIME_PREFIX = ^ MAX_TIMESTAMP_LOOKAHEAD = 17 TIME_FORMAT = %b %d %H:%M:%S LINE_BREAKER = ([\n]+) SHOULD_LINEMERGE = false |
Universal Forwarder はイベントを解析できません。props.conf で定義されている解析設定は Universal Forwarder で実行されません。この場合、イベントは Indexer で直接解析されます。「ステップ 1:Forwarder App と Search Head App のインストール」を参照してください。
データを Kaspersky CyberTrace サービスに転送するアドレスとポートの変更
既定では、Forwarder App は 127.0.0.1:9999
でデータを Kaspersky CyberTrace サービスに転送するように構成されています。
データを Kaspersky CyberTrace サービスに転送するアドレスとポートを変更するには:
設定情報ファイル outputs.conf
の [tcpout:service9999]
セクションで、Kaspersky CyberTrace サービスが使用する新しいアドレスとポートを server
パラメータで指定します。
以下の例では、Kaspersky CyberTrace サービスアドレスに 192.0.2.100:9999
が指定されています。
[tcpout:service9999] disabled=false server = 192.0.2.100:9999 sendCookedData = false |
新しいイベントソースの追加
新しいイベントソースを追加するには、アプリの設定情報ファイル inputs.conf および props.conf を編集します。
新しいイベントソースを追加するには:
- inputs.conf で、
service9999
の TCP ルーティングルールを使用する新しいイベントソースを指定します。この入力のすべてのデータが Kaspersky CyberTrace サービスに転送されるようになります。
- props.conf で、このソースから受信したデータを処理する方法を指定します。
- Splunk を再起動します。
新しいイベントソースから受信したデータが、Kaspersky CyberTrace が使用する正規表現と一致するようにします。
以下は、イベントソースとしてアドレス :3001
を追加する例です。アドレス :3001
から受信したデータを、既定の連携スキームの他の入力データのように処理する必要があることを指定しています(このスキームでは、Forwarder、Indexer、Search Head は 1 台のコンピューターにインストールされています)。
# to inputs.conf [tcp://:3001] _TCP_ROUTING = service9999
# to props.conf [source::tcp:3001] TIME_PREFIX = ^ MAX_TIMESTAMP_LOOKAHEAD = 17 TIME_FORMAT = %b %d %H:%M:%S LINE_BREAKER = ([\n]+) SHOULD_LINEMERGE = false |
Splunk Forwarder が既に別のイベントソースからイベントを受信するように構成されている場合に、イベントを Kaspersky CyberTrace サービスに送信するには、次の手順を実行します。この手順を実行できるのは、Forwarder App の設定情報ファイル outputs.conf の[server
]フィールドに、Kaspersky CyberTrace サービス設定情報ファイルの[InputSettings]→[ConnectionString]
要素で指定されている IP アドレスとポートが入力されている場合です。
イベントを Kaspersky CyberTrace サービスに転送するには:
- Splunk からのイベント転送に使用されるファイル outputs.conf(カスタム Splunk アプリケーションのファイル outputs.conf、またはファイル
%SPLUNK_HOME%/etc/system/local/inputs.conf
のいずれか)のdefaultGroup
フィールドに、コンマ 1 つと文字列service9999
を追加します。この場合、イベント転送ロジックを確認し、Kaspersky CyberTrace サービスから受信したイベントが Splunk によって Kaspersky CyberTrace サービスに再び送信されないようにします。
設定情報ファイル inputs.conf にこれらのイベントソース(Kaspersky CyberTrace サービスにイベントを送信するソース)の
_TCP_ROUTING
パラメータが含まれる場合、コンマ 1 つと文字列service9999
を_TCP_ROUTING
パラメータに追加します。 - Splunk を再起動します。
Splunk アーキテクチャによっては、必要に応じて Kaspersky CyberTrace で ScannersCount の設定を変更します。
イベントをインデックスに送信するように Forwarder App を構成
既定では、Forwarder App から Kaspersky CyberTrace サービスに送信されるイベントはインデックスに登録されていません。Forwarder App を構成することでこの動作を変更できます。
イベントを main インデックスに送信するように Forwarder App を構成するには:
- 構成する Forwarder に移動します。通常この Forwarder は、Forwarder App がインストールされているマシンです。お使いの分散型連携スキームで使用されているすべての Forwarder を構成する必要があります。
- Forwarder 上のファイル
%SPLUNK_HOME%\etc\system\local\outputs.conf
で、イベントを 1 つ以上の Indexer に送信するために使用されるターゲットグループの名前を見つけます。ここで%SPLUNK_HOME%
は、Splunk のインストールディレクトリです。既定では、このグループの名前は default-autolb-group です:
[tcpout: default-autolb-group]
- Forwarder App が使用するファイル
inputs.conf
で、service9999
の TCP ルーティングルールが記載されているセクションを見つけます:_TCP_ROUTING = service9999
- このルールにターゲットグループの名前を追加します。
たとえば、ターゲットグループの名前が default-autolb-group の場合、次のようにルールを変更する必要があります:
_TCP_ROUTING=service9999, default-autolb-group
- Forwarder で Splunk を再起動します。
アラートテンプレートの構成
アラートテンプレートの構成に関する詳細は、「ステップ 2(オプション):Kaspersky CyberTrace App の構成」の「アラートテンプレートの構成」サブセクションを参照してください。