# Splunk SIEM Splunk Enterprise es una plataforma de gestión de información de seguridad y gestión de eventos (SIEM) que se puede utilizar con organizaciones de Bitwarden. Las organizaciones pueden monitorear la actividad de [eventos](https://bitwarden.com/es-la/help/event-logs/) con la aplicación [Bitwarden Event Logs](https://splunkbase.splunk.com/app/7203) en su tablero de Splunk. ## Configuración ### Crea una cuenta de Splunk La instalación de la aplicación Bitwarden en Splunk requiere una cuenta de Splunk Empresa o Plataforma Cloud de Splunk. El monitoreo de eventos de Bitwarden está disponible en: - Splunk Cloud Classic - Splunk Cloud Victoria - Splunk Empresa ### Instala Splunk Para los usuarios de Splunk en las instalaciones, el siguiente paso es instalar Splunk Empresa. Sigue la [documentación de Splunk](https://docs.splunk.com/Documentation/Splunk/9.0.4/SearchTutorial/InstallSplunk) para completar una instalación del software de la Empresa Splunk. > [!NOTE] Splunk Enterprise supported versions > Las versiones 8.X de Splunk Empresa ya no están soportadas. Actualmente Bitwarden es compatible con las versiones 9.0, 9.1 y 9.2. ### Crear un índice Antes de conectar tu organización Bitwarden a tu Dashboard de Splunk, crea un índice que mantendrá los Datos de Bitwarden. 1. Abra el menú de **Ajustes** ubicado en la barra de navegación superior y seleccione **Índices**. 2. Una vez que estés en la pantalla de índices, selecciona **Nuevo Índice**. Aparecerá una ventana para que puedas crear un nuevo índice para tu aplicación Bitwarden. ### Splunk Cloud ![Nuevo Índice](https://bitwarden.com/assets/j3k8D4EBEEFPv7le82mFS/7cae447085492faf80f61898b7c4f0cf/new_index.png) ### Splunk Empresa ![Nueva Empresa Índice](https://bitwarden.com/assets/3yYEP61PqzSEl9tOBuwWIl/c452955bbba510d972d1584c5416fe13/new_index_sh.png) 3. En el campo **Nombre del Índice**, ingrese `bitwarden_events`.` ` > [!NOTE] Splunk index creation > El único campo requerido para la creación del índice es **Nombre del Índice**. Los campos restantes se pueden ajustar según sea necesario. 4. Cuando hayas terminado, selecciona **Guardar**.` ` ### Instala la aplicación Bitwarden de Splunk Después de que se haya creado tu índice de Bitwarden, navega a tu panel de control de Splunk. 1. Abre el menú desplegable de **Aplicaciones** y selecciona **Buscar Más Aplicaciones**. ![Tablero de aplicaciones de Splunk](https://bitwarden.com/assets/IsbH3oo9FYomh0InDjVwt/fc2aca538dedd4d56820e8da236d8278/more_apps.png) 2. Seleccione **Explorar más aplicaciones** ubicado en la parte superior derecha de la pantalla. 3. Buscar **Bitwarden Event Logs** en el catálogo de la aplicación. Seleccione **Instalar** para la aplicación **Bitwarden Event Logs**. ![Aplicación de registros de eventos de Bitwarden](https://bitwarden.com/assets/5IzRtDgpykBPZ21AUJnxbJ/c70ffa253781789cbeb200932edc0554/Bitwarden_event_logs.png) 4. Para completar la instalación, necesitará ingresar a su cuenta de [Splunk ](https://splunkbase.splunk.com/). Tu cuenta de Splunk puede que no sea la misma que las credenciales utilizadas para acceder a tu portal de Splunk. ![Inicie sesión e instale la aplicación Bitwarden en Splunk.](https://bitwarden.com/assets/1Ko0eUuBz2AYIo0kNuxDoQ/2bb4b832236780509e6667e3c325a72f/2024-04-16_11-04-51.png) 5. Después de haber ingresado su información, seleccione **Aceptar e Instalar**. > [!NOTE] Restart Splunk > Después de descargar la aplicación Bitwarden Event Logs, es posible que debas reiniciar Splunk. ### Conecta tu organización Bitwarden Una vez que la aplicación Bitwarden Event Logs ha sido instalada en su instancia de Splunk Empresa, puede conectar su organización Bitwarden usando su clave de Bitwarden [API](https://bitwarden.com/es-la/help/public-api/#authentication/). 1. Ve al inicio del panel de control y selecciona la aplicación **Bitwarden Event Logs**: ![Bitwarden en el tablero de Splunk](https://bitwarden.com/assets/4XFuwwljpBglow8GsaYTcP/08af521d324c76fea00937617a7fe19d/2024-05-06_16-09-59.png) 2. A continuación, en la página de configuración de la aplicación, seleccione **Continuar a la página de configuración de la aplicación**. Este es el lugar donde agregarás la información de tu organización Bitwarden. ![Configura el menú de Bitwarden](https://bitwarden.com/assets/4c0008B7jTVp0PQtp97p0h/e725995706475b44b8726db6fbf066c1/SplunkSetupFull_edited.png) 3. Mantén esta pantalla abierta, en otra pestaña, inicia sesión en la aplicación web de Bitwarden y abre la Consola de Administrador utilizando el conmutador de producto ([filter]): ![Selector de productos](https://bitwarden.com/assets/2uxBDdQa6lu0IgIEfcwMPP/e3de3361749b6496155e25edcfdcf08b/2024-12-02_11-19-56.png) 4. Navegue a la pantalla de **Ajustes** → **Información de la organización** de su organización y seleccione el botón **Ver clave API**. Se le pedirá que vuelva a ingresar su contraseña maestra para acceder a la información de su clave API. ![Información de API de la organización](https://bitwarden.com/assets/6gHjAyqgeqDj6UPT6agsBK/3a614e043cb3836a41bd68f226835e53/2024-12-04_09-51-07.png) 5. Copia y pega los valores de `client_id` y `client_secret` en sus respectivas ubicaciones en la página de configuración de Splunk. Complete los siguientes campos adicionales también: | Campo | Valor | |------|------| | Índice | Seleccione el índice que se creó anteriormente en la guía: `bitwarden_events`. | | Server URL | Para los usuarios de Bitwarden autoalojado, ingrese su URL autoalojada.` `Para las organizaciones alojadas en la nube, use la URL `https://bitwarden.com`. | | Fecha de inicio (opcional) | Establezca una fecha de inicio para la monitorización de datos. Cuando no se establece, la fecha predeterminada se ajustará a 1 año. Esta es una configuración única, una vez establecida, este ajuste **no** puede ser cambiado. | > [!NOTE] Rotate API key > La clave API de su organización permite el acceso completo a su organización. Mantén tu clave de API en privado. Si cree que su clave API ha sido comprometida, seleccione **Ajustes > Información de la organización >** **Botón Rotar clave API** en esta pantalla. Las implementaciones activas de su clave API actual necesitarán ser reconfiguradas con la nueva clave antes de usarla. Una vez hecho, seleccione **Enviar**. ## Entendiendo Buscar Macro La macro de búsqueda `bitwarden_event_logs_index ` se creará después de la instalación inicial de los registros de eventos de Bitwarden. Para acceder a la macro y ajustar los ajustes: 1. Abre los **Ajustes** en la barra de navegación superior. Luego, selecciona **Búsqueda Avanzada**. 2. Seleccione **Buscar Macros** para abrir la lista de macros de búsqueda. ### Buscar permisos de macro A continuación, configure qué roles de usuario tendrán permiso para usar la macro: 1. Ver macros seleccionando **Ajustes**→ **Búsqueda Avanzada**→ **Buscar macros**. 2. Seleccione **Permisos**en `bitwarden_events_logs_index`. Edita los siguientes permisos y selecciona Guardar una vez completado: ### Splunk Cloud ![Buscar Permisos de Macro](https://bitwarden.com/assets/69xCHcmqFE8CLp7kGJJkdJ/4faffad91633090dd5709b32e4cb7bc0/2024-05-14_08-44-55.png) ### Splunk Empresa ![Buscar Macro Permisos Empresa](https://bitwarden.com/assets/5IAOPUu7tbiuPfxNR5NSOF/9616f70e6a51029f85a546e3fb3397f8/macro_permissions_sh.png) | Campo | Descripción | |------|------| | El objeto debería aparecer en | Para usar la macro en la búsqueda de eventos, selecciona **Solo esta aplicación**. La macro no se aplicará si se selecciona **Mantener privado**. | | Permisos | Seleccione los permisos deseados para los roles de usuario con acceso de **Lectura**y **Escribir**. | > [!NOTE] Splunk single macro > Solo una macro de búsqueda estará funcional en la aplicación en un momento dado. ## Entendiendo los tableros de control El Tablero proporcionará varias opciones para monitorear y visualizar los datos organizativos de Bitwarden. Las tres categorías principales de monitoreo de datos incluyen: - Eventos de autenticación de Bitwarden - Eventos de elementos de la caja fuerte de Bitwarden - Eventos de la organización Bitwarden Los datos mostrados en los tableros proporcionarán información y visualización para una amplia variedad de búsquedas. Las consultas más complejas se pueden completar seleccionando la pestaña **Buscar** en la parte superior del tablero. ### Plazo de tiempo Mientras se busca desde la página de **Buscar**o los **Tableros**, las búsquedas pueden ser designadas a un marco de tiempo específico. ![Búsqueda de intervalo de tiempo en Splunk](https://bitwarden.com/assets/zizTsxjCMKlD4TXLmi2UZ/86807e58f3de67b9b51c10924f594069/2024-03-06_16-56-03.png) > [!NOTE] Splunk on-premises search > Para los usuarios locales, los siguientes plazos son compatibles para buscar en los registros de eventos de Bitwarden: > > - Mes hasta la fecha > - Año hasta la fecha > - Semana pasada > - Semana laboral anterior > - Mes anterior > - Año anterior > - Últimos 30 días > - Todo el tiempo ## Parámetros de consulta Configura búsquedas específicas incluyendo consultas de buscar. Spunk utiliza su método de lenguaje de procesamiento de búsqueda (SPL) para buscar. Vea la [documentación de Splunk](https://docs.splunk.com/Documentation/Splunk/9.0.4/Search/GetstartedwithSearch) para obtener detalles adicionales sobre las búsquedas. **Estructura de búsqueda:** ``` search | commands1 arguments1 | commands2 arguments2 | ... ``` Un ejemplo de un objeto estándar de resultado de búsqueda: ![Objeto de resultado de búsqueda de Splunk](https://bitwarden.com/assets/620J7a17eXWhkgkCOzpixU/a75acef6074ca30a014811363cb36c8a/query_data.png) Los campos mostrados en el objeto de búsqueda estándar pueden incluirse en cualquier búsqueda específica. Esto incluye todos los siguientes valores: | Valor | Resultado de ejemplo | |------|------| | `correo electrónico del usuario` | El correo electrónico del usuario que realiza la acción. | | `idUsuarioActuando` | Identificación única del usuario que realiza la acción. | | `nombreDeUsuarioActuante` | Nombre del usuario que realiza una acción. | | `fecha` | Fecha del evento mostrada en el formato `AAAA-MM-DD HH:MM:SS `. | | `dispositivo` | Número numérico para identificar el dispositivo en el que se realizó la acción. | | `hash` | Splunk calculó el hash de datos. Aprende más sobre la integridad de los datos de Splunk [aquí](https://docs.splunk.com/Documentation/Splunk/9.0.4/Security/Dataintegritycontrol). | | `dirección IP` | La dirección IP que realizó el evento. | | `correo electrónico del miembro` | Correo electrónico del miembro de la organización al que se dirigió la acción. | | `id de miembro` | Identificación única del miembro de la organización hacia el que se dirigió la acción. | | `nombre de miembro` | Nombre del miembro de la organización al que se dirigió la acción. | | `tipo` | El código de tipo de evento que representa el evento de la organización que ocurrió. Vea una lista completa de códigos de eventos con descripciones [aquí](https://bitwarden.com/es-la/help/event-logs/). | **Buscar todo:** ``` sourcetype="bitwarden:events" type=* ``` **Filtrar resultados por un campo específico** En el siguiente ejemplo, la búsqueda está buscando `actingUserName `con un comodín `*` que mostrará todos los resultados con `actingUserName`. ``` sourcetype="bitwarden:events" actingUserName=* ``` El operador **AND** está implícito en las búsquedas de Splunk. La siguiente consulta buscará resultados que contengan un `tipo` específico Y * *`nombreDeUsuarioActuante.` ``` sourcetype="bitwarden:events" type=1000 actingUserName="John Doe" ``` Incluye múltiples comandos separándolos con `|`. Lo siguiente mostrará resultados con el valor superior siendo `ipAddress`. ``` sourcetype="bitwarden:events" type=1115 actingUserName="John Doe" | top ipAddress ``` ## Recursos adicionales #### Establecer roles de usuario Gestionar los roles de los usuarios para permitir a las personas realizar tareas específicas. Para editar roles de usuario: 1. Abra el menú de **Ajustes**en la barra de navegación superior. 2. Seleccione **Usuarios** desde la esquina inferior derecha del menú. 3. Desde la pantalla de usuarios, localice al usuario para el que desea editar los permisos y seleccione **Editar**. ![Splunk editar permisos de usuario](https://bitwarden.com/assets/5CnTzwphqVenaRu638uVoI/151e295ab1e06fad53698b648accf500/Screenshot_2023-04-13_at_9.48.48_AM__2_.png) Desde esta pantalla, se pueden completar los detalles para el usuario. El permiso como `administrador`, `poder`, y `puede_eliminar` también se pueden asignar individualmente aquí. #### Eliminar datos Eliminar los datos de búsqueda de Bitwarden limpiando el índice con acceso SSH. Los datos pueden necesitar ser borrados en casos como cambiar la organización que se está monitoreando. 1. Acceda al directorio de Splunk y `detenga` los procesos de Splunk. 2. Limpia el índice `bitwarden_events` con la bandera `-index`. Por ejemplo: ```plain text splunk clean eventdata -index bitwaren_events ``` 3. Reinicia los procesos de Splunk. ## Solución de problemas - Usuarios de Splunk Empresa, la aplicación registrará en: `/opt/splunk/var/log/splunk/bitwarden_event_logs.log `Si está experimentando algún error, o la aplicación Bitwarden no está funcionando correctamente, los usuarios pueden verificar el archivo de registro para buscar errores o ver [la documentación de Spunk](https://docs.splunk.com/Documentation/Splunk/9.2.0/Indexer/RemovedatafromSplunk).