Splunk SIEM

Splunk Enterprise es una plataforma de gestión de información de seguridad y gestión de eventos (SIEM) que se puede utilizar con organizaciones de Bitwarden. Las organizaciones pueden monitorear la actividad de eventos con la aplicación Bitwarden Event Logs en su tablero de Splunk.

La instalación de la aplicación Bitwarden en Splunk requiere una cuenta de Splunk Empresa o Plataforma Cloud de Splunk. El monitoreo de eventos de Bitwarden está disponible en:

• Splunk Cloud Classic

• Splunk Cloud Victoria

• Splunk Empresa

Para los usuarios de Splunk en las instalaciones, el siguiente paso es instalar Splunk Empresa. Sigue la documentación de Splunk para completar una instalación del software de la Empresa Splunk.

Antes de conectar tu organización Bitwarden a tu Dashboard de Splunk, crea un índice que mantendrá los Datos de Bitwarden.

1. Abra el menú de Ajustes ubicado en la barra de navegación superior y seleccione Índices.

2. Una vez que estés en la pantalla de índices, selecciona Nuevo Índice. Aparecerá una ventana para que puedas crear un nuevo índice para tu aplicación Bitwarden.
   

   • Splunk Cloud
   • Splunk Empresa

   

   

3. En el campo Nombre del Índice, ingrese bitwarden_events.


   note

   El único campo requerido para la creación del índice es Nombre del Índice. Los campos restantes se pueden ajustar según sea necesario.

4. Cuando hayas terminado, selecciona Guardar.

Después de que se haya creado tu índice de Bitwarden, navega a tu panel de control de Splunk.

1. Abre el menú desplegable de Aplicaciones y selecciona Buscar Más Aplicaciones.
   

   

2. Seleccione Explorar más aplicaciones ubicado en la parte superior derecha de la pantalla.

3. Buscar Bitwarden Event Logs en el catálogo de la aplicación. Seleccione Instalar para la aplicación Bitwarden Event Logs.
   

   

4. Para completar la instalación, necesitará ingresar a su cuenta de Splunk . Tu cuenta de Splunk puede que no sea la misma que las credenciales utilizadas para acceder a tu portal de Splunk.
   

   

5. Después de haber ingresado su información, seleccione Aceptar e Instalar.

Una vez que la aplicación Bitwarden Event Logs ha sido instalada en su instancia de Splunk Empresa, puede conectar su organización Bitwarden usando su clave de Bitwarden API.

1. Ve al inicio del panel de control y selecciona la aplicación Bitwarden Event Logs:

   

2. A continuación, en la página de configuración de la aplicación, seleccione Continuar a la página de configuración de la aplicación. Este es el lugar donde agregarás la información de tu organización Bitwarden.

   

3. Mantén esta pantalla abierta, en otra pestaña, inicia sesión en la aplicación web de Bitwarden y abre la Consola de Administrador utilizando el conmutador de producto ():

   

4. Navegue a la pantalla de Ajustes → Información de la organización de su organización y seleccione el botón Ver clave API. Se le pedirá que vuelva a ingresar su contraseña maestra para acceder a la información de su clave API.

   

5. Copia y pega los valores de client_id y client_secret en sus respectivas ubicaciones en la página de configuración de Splunk.

Complete los siguientes campos adicionales también:

Una vez hecho, seleccione Enviar.

La macro de búsqueda bitwarden_event_logs_index se creará después de la instalación inicial de los registros de eventos de Bitwarden. Para acceder a la macro y ajustar los ajustes:

1. Abre los Ajustes en la barra de navegación superior. Luego, selecciona Búsqueda Avanzada.

2. Seleccione Buscar Macros para abrir la lista de macros de búsqueda.

A continuación, configure qué roles de usuario tendrán permiso para usar la macro:

1. Ver macros seleccionando Ajustes → Búsqueda Avanzada → Buscar macros.

2. Seleccione Permisos en bitwarden_events_logs_index. Edita los siguientes permisos y selecciona Guardar una vez completado:
   

   • Splunk Cloud
   • Splunk Empresa

   

   

El Tablero proporcionará varias opciones para monitorear y visualizar los datos organizativos de Bitwarden. Las tres categorías principales de monitoreo de datos incluyen:

• Eventos de autenticación de Bitwarden

• Eventos de elementos de la caja fuerte de Bitwarden

• Eventos de la organización Bitwarden

Los datos mostrados en los tableros proporcionarán información y visualización para una amplia variedad de búsquedas. Las consultas más complejas se pueden completar seleccionando la pestaña Buscar en la parte superior del tablero.

Mientras se busca desde la página de Buscar o los Tableros, las búsquedas pueden ser designadas a un marco de tiempo específico.

Configura búsquedas específicas incluyendo consultas de buscar. Spunk utiliza su método de lenguaje de procesamiento de búsqueda (SPL) para buscar. Vea la documentación de Splunk para obtener detalles adicionales sobre las búsquedas.

Estructura de búsqueda:

BashCopy
search | commands1 arguments1 | commands2 arguments2 | ...

Un ejemplo de un objeto estándar de resultado de búsqueda:

Los campos mostrados en el objeto de búsqueda estándar pueden incluirse en cualquier búsqueda específica. Esto incluye todos los siguientes valores:

Buscar todo:

BashCopy
sourcetype="bitwarden:events" type=*

Filtrar resultados por un campo específico

En el siguiente ejemplo, la búsqueda está buscando actingUserName con un comodín * que mostrará todos los resultados con actingUserName.

BashCopy
sourcetype="bitwarden:events" actingUserName=*

El operador AND está implícito en las búsquedas de Splunk. La siguiente consulta buscará resultados que contengan un tipo específico Y nombreDeUsuarioActuante.

BashCopy
sourcetype="bitwarden:events" type=1000 actingUserName="John Doe"

Incluye múltiples comandos separándolos con |. Lo siguiente mostrará resultados con el valor superior siendo ipAddress.

BashCopy
sourcetype="bitwarden:events" type=1115 actingUserName="John Doe" | top ipAddress

Establecer roles de usuario

Gestionar los roles de los usuarios para permitir a las personas realizar tareas específicas. Para editar roles de usuario:

1. Abra el menú de Ajustes en la barra de navegación superior.

2. Seleccione Usuarios desde la esquina inferior derecha del menú.

3. Desde la pantalla de usuarios, localice al usuario para el que desea editar los permisos y seleccione Editar.

Desde esta pantalla, se pueden completar los detalles para el usuario. El permiso como administrador, poder, y puede_eliminar también se pueden asignar individualmente aquí.

Eliminar datos

Eliminar los datos de búsqueda de Bitwarden limpiando el índice con acceso SSH. Los datos pueden necesitar ser borrados en casos como cambiar la organización que se está monitoreando.

1. Acceda al directorio de Splunk y detenga los procesos de Splunk.

2. Limpia el índice bitwarden_events con la bandera -index. Por ejemplo:
   

   Plain TextCopy
   splunk clean eventdata -index bitwaren_events

3. Reinicia los procesos de Splunk.

• Usuarios de Splunk Empresa, la aplicación registrará en: /opt/splunk/var/log/splunk/bitwarden_event_logs.log

Si está experimentando algún error, o la aplicación Bitwarden no está funcionando correctamente, los usuarios pueden verificar el archivo de registro para buscar errores o ver la documentación de Spunk.