Skip to main content
NetApp Ransomware Resilience
Se proporciona el idioma español mediante traducción automática para su comodidad. En caso de alguna inconsistencia, el inglés precede al español.

Configura un SIEM de Splunk en NetApp Ransomware Resilience

Colaboradores netapp-ahibbard
PDF

NetApp Ransomware Resilience ofrece compatibilidad nativa con la gestión de información y eventos de seguridad (SIEM) con Splunk Cloud y Splunk Enterprise. Al conectar Ransomware Resilience a un SIEM de Splunk, puedes enviar automáticamente datos de eventos para el análisis y la detección de amenazas para optimizar la protección contra el ransomware y la gestión de eventos.

Configurar Splunk Cloud y Splunk Enterprise para la detección de amenazas

Debes realizar las configuraciones en Splunk Cloud o Splunk Enterprise antes de autenticar el sistema SIEM en Ransomware Resilience.

Antes de empezar

Ransomware Resilience es compatible con la detección de amenazas con Splunk Cloud y Splunk Enterprise. Antes de habilitar la conexión de Splunk en Ransomware Resilience, necesitas:

  • Habilita un recopilador de eventos HTTP en Splunk Cloud o Enterprise para recibir datos de eventos a través de HTTP o HTTPS desde la consola.

  • Crea un token de recopilador de eventos en Splunk Cloud o Enterprise.

  • Para Splunk Enterprise, si eliges Deliver via NetApp Console, permite el tráfico entrante de Internet público para que Ransomware Resilience pueda enviar eventos al HTTP Event Collector. Si eliges Deliver via Console agent, el Console agent debe poder acceder al HTTP Event Collector.

Habilita un recolector de eventos HTTP en Splunk

  1. En Splunk Cloud o Enterprise, selecciona Settings > Data Inputs.

  2. Seleccione Recopilador de eventos HTTP > Configuración global.

  3. En el interruptor Todos los tokens, seleccione Habilitado.

  4. Para que el Recopilador de eventos escuche y se comunique a través de HTTPS en lugar de HTTP, seleccione Habilitar SSL.

  5. Introduce un puerto en HTTP Port Number para el HTTP Event Collector. Guarda el número de puerto para el proceso de autenticación.

Crear un token de Event Collector en Splunk

  1. En Splunk Cloud o Enterprise, selecciona Settings > Add Data.

  2. Seleccione Monitor > Recopilador de eventos HTTP.

  3. Introduce un Nombre para el token y luego selecciona Siguiente.

  4. Seleccione un Índice predeterminado donde se enviarán los eventos y luego seleccione Revisar.

  5. Comprueba que todos los ajustes del punto final sean correctos. Pulsa el botón «Atrás» para realizar cambios, de lo contrario selecciona Enviar.

  6. Copie el token y péguelo en otro documento para tenerlo listo para el paso de autenticación.

Autentica Splunk con Ransomware Resilience

  1. En Ransomware Resilience, selecciona Configuración en la barra lateral.

  2. En la página Configuración, seleccione Conectar en el mosaico de conexión SIEM.

    Captura de pantalla de las opciones de conexión de SIEM

  3. Elige Splunk como proveedor SIEM.

  4. Revisa las secciones Colector de eventos y Token para confirmar que tienes la información correcta.

  5. Expande la sección Autenticación.

    1. Selecciona el Protocolo para el HTTP Event Collector. Se recomienda que uses HTTPS, pero si SSL no está habilitado para el HTTP Event Collector, selecciona HTTP.

    2. Introduce el host y el puerto de la instancia de Splunk en la que se ejecuta el colector de eventos HTTP. El puerto debe coincidir con el que introdujiste en el proceso del colector de eventos HTTP.

    3. Ingresa el token del recopilador de eventos que creaste en Splunk.

  6. Elige la "ruta de entrega de eventos". Para entregar eventos SIEM a tu endpoint SIEM, selecciona Deliver via NetApp Console. Para enrutar eventos a través del agente de Console que ya está en tu red, selecciona Deliver via Console agent.

    Si has seleccionado Entregar a través del agente de la consola, selecciona el agente de la consola que quieres usar en el menú desplegable.

  7. Selecciona Conectar para comenzar a enviar datos SIEM.

Próximos pasos