Splunk SIEM

Splunk Enterprise ist eine Plattform für Sicherheitsinformationen und Ereignisverwaltung (SIEM), die mit Bitwarden Organisationen verwendet werden kann. Organisationen können die Ereignisaktivität mit der Bitwarden Event Logs App auf ihrem Splunk Dashboard überwachen.

Die Installation der Bitwarden-App auf Splunk erfordert ein Splunk Enterprise- oder Spunk Cloud Platform-Konto. Bitwarden Ereignisüberwachung ist verfügbar auf:

• Splunk Cloud Classic

• Splunk Cloud Victoria

• Splunk Enterprise

Für On-Premise-Splunk-Benutzer ist der nächste Schritt die Installation von Splunk Enterprise. Befolgen Sie die Splunk-Dokumentation, um eine Installation der Splunk Enterprise-Software abzuschließen.

Bevor Sie Ihre Bitwarden Organisation mit Ihrem Splunk Dashboard verbinden, erstellen Sie einen Index, der die Bitwarden Daten speichern wird.

1. Öffnen Sie das Einstellungen-Menü, das sich in der oberen Navigationsleiste befindet, und wählen Sie Indizes aus.

2. Sobald Sie sich auf dem Indexbildschirm befinden, wählen Sie Neuer Index. Ein Fenster wird erscheinen, damit Sie einen neuen Index für Ihre Bitwarden-App erstellen können.
   

   • Splunk Cloud
   • Splunk Enterprise

   

   

3. Geben Sie im Feld Indexname bitwarden_events ein.


   Hinweis

   Das einzige erforderliche Feld für die Indexerstellung ist Indexname. Die verbleibenden Felder können nach Bedarf angepasst werden.

4. Wenn Sie fertig sind, wählen Sie Speichern.

Nachdem Ihr Bitwarden-Index erstellt wurde, navigieren Sie zu Ihrem Splunk-Dashboard.

1. Öffnen Sie das Apps Dropdown-Menü und wählen Sie Weitere Apps finden aus.
   

   

2. Wählen Sie Weitere Apps durchsuchen, das sich oben rechts auf dem Bildschirm befindet.

3. Suchen Sie Bitwarden Ereignisprotokolle im App-Katalog. Wählen Sie Installieren für die Bitwarden Ereignisprotokolle App.
   

   

4. Um die Installation abzuschließen, müssen Sie Ihr Splunk Konto eingeben. Ihr Splunk-Konto hat möglicherweise nicht dieselben Anmeldedaten, die Sie verwenden, um auf Ihr Splunk-Portal zuzugreifen.
   

   

5. Nachdem Sie Ihre Informationen eingegeben haben, wählen Sie Zustimmen und Installieren.

Sobald die Bitwarden Event Logs App in Ihrer Splunk Enterprise Instanz installiert wurde, können Sie Ihre Bitwarden Organisation mit Ihrem Bitwarden API Schlüssel verbinden.

1. Gehen Sie zur Startseite des Dashboards und wählen Sie die Bitwarden Event Logs App:

   

2. Als nächstes wählen Sie auf der App-Konfigurationsseite Weiter zur App-Einrichtungsseite. Hier fügen Sie die Informationen Ihrer Bitwarden Organisation hinzu.

   

3. Lassen Sie diesen Bildschirm geöffnet, melden Sie sich in einem anderen Tab bei der Bitwarden-Web-App an und öffnen Sie die Administrator-Konsole mit dem Produktumschalter ():

   

4. Navigieren Sie zu den Einstellungen Ihrer Organisationsinformationen und wählen Sie die Schaltfläche API-Schlüssel anzeigen aus. Sie werden aufgefordert, Ihr Master-Passwort erneut einzugeben, um auf Ihre API-Schlüsselinformationen zugreifen zu können.

   

5. Kopieren und fügen Sie die Werte client_id und client_secret an ihren jeweiligen Stellen auf der Splunk-Einrichtungsseite ein.

Vervollständigen Sie auch die folgenden zusätzlichen Felder:

Einmal fertig, wählen Sie Absenden.

Das bitwarden_event_logs_index Such-Makro wird nach der ersten Installation von Bitwarden Event Logs erstellt. Um auf das Makro zuzugreifen und die Einstellungen anzupassen:

1. Öffnen Sie die Einstellungen in der oberen Navigationsleiste. Dann wählen Sie Erweiterte Suche.

2. Wählen Sie Suchmakros, um die Liste der Suchmakros zu öffnen.

Als nächstes richten Sie ein, welche Benutzerrollen die Berechtigung haben, das Makro zu verwenden:

1. Makros anzeigen durch Auswahl von Einstellungen → Erweiterte Suche → Makros suchen.

2. Wählen Sie Berechtigungen auf bitwarden_events_logs_index. Bearbeiten Sie die folgenden Berechtigungen und wählen Sie Speichern, sobald Sie fertig sind:
   

   • Splunk Cloud
   • Splunk Enterprise

   

   

Das Dashboard bietet mehrere Optionen zur Überwachung und Visualisierung von Bitwarden Organisationsdaten. Die drei Hauptkategorien der Datenüberwachung umfassen:

• Bitwarden Authentifizierung Ereignisse

• Bitwarden Tresor Eintrag Ereignisse

• Bitwarden Organisation Veranstaltungen

Die auf den Dashboards angezeigten Daten liefern Informationen und Visualisierungen für eine Vielzahl von Suchen. Komplexere Anfragen können durch Auswahl des Suchen Tabs oben auf dem Dashboard abgeschlossen werden.

Während der Suche von der Suchen Seite oder Dashboards, können Suchen auf einen bestimmten Zeitrahmen festgelegt werden.

Richten Sie spezifische Suchen ein, indem Sie Suchanfragen einschließen. Spunk verwendet seine Suchverarbeitungssprache (SPL) Methode zum Suchen. Siehe Splunks Dokumentation für zusätzliche Details zu Suchen.

Suchstruktur:

Bash
search | commands1 arguments1 | commands2 arguments2 | ...

Ein Beispiel für ein Standard-Suchergebnis-Objekt:

Die in dem Standard-Suchobjekt angezeigten Felder können in jede spezifische Suche einbezogen werden. Dies beinhaltet alle folgenden Werte:

Alle suchen:

Bash
sourcetype="bitwarden:events" type=*

Ergebnisse nach einem bestimmten Feld filtern

Im folgenden Beispiel sucht die Suche nach actingUserName mit einem * Platzhalter, der alle Ergebnisse mit actingUserName anzeigen wird.

Bash
sourcetype="bitwarden:events" actingUserName=*

Der AND-Operator ist in Splunk-Suchen impliziert. Die folgende Abfrage wird nach Ergebnissen suchen, die einen bestimmten Typ UND actingUserName. enthalten.

Bash
sourcetype="bitwarden:events" type=1000 actingUserName="John Doe"

Fügen Sie mehrere Befehle hinzu, indem Sie sie mit | trennen. Die folgenden Ergebnisse werden angezeigt, wobei der höchste Wert ipAddress ist.

Bash
sourcetype="bitwarden:events" type=1115 actingUserName="John Doe" | top ipAddress

Benutzerrollen festlegen

Verwalten Sie Benutzerrollen, um Einzelpersonen die Ausführung spezifischer Aufgaben zu ermöglichen. Benutzerrollen bearbeiten:

1. Öffnen Sie das Einstellungen-Menü in der oberen Navigationsleiste.

2. Wählen Sie Benutzer aus der unteren rechten Ecke des Menüs.

3. Suchen Sie auf dem Benutzerbildschirm den Benutzer, für den Sie die Berechtigungen bearbeiten möchten, und wählen Sie Bearbeiten aus.

Von diesem Bildschirm aus können die Details für den Benutzer ausgefüllt werden. Berechtigungen wie Administrator, Macht und kann_löschen können hier auch individuell zugewiesen werden.

Daten löschen

Löschen Sie Bitwarden Suchdaten, indem Sie den Index mit SSH-Zugang löschen. Daten müssen möglicherweise gelöscht werden, in Fällen wie dem Wechsel der überwachten Organisation.

1. Greifen Sie auf das Splunk-Verzeichnis zu und stoppen Sie Splunk-Prozesse.

2. Leeren Sie den bitwarden_events Index mit der -index Flagge. Zum Beispiel:
   

   Bash
   splunk clean eventdata -index bitwaren_events

3. Starten Sie die Splunk-Prozesse neu.

• Splunk Enterprise-Benutzer, die App protokolliert unter: /opt/splunk/var/log/splunk/bitwarden_event_logs.log

Wenn Sie irgendwelche Fehler erleben, oder die Bitwarden-App funktioniert nicht korrekt, können Benutzer die Protokolldatei auf Fehler überprüfen oder Spunk's Dokumentation einsehen.