Splunk SIEM

Splunk Enterprise est une plateforme de gestion des informations et des événements de sécurité (SIEM) qui peut être utilisée avec les organisations Bitwarden. Les organisations peuvent surveiller l'activité des événements avec l'application Bitwarden Event Logs sur leur tableau de bord Splunk.

L'installation de l'application Bitwarden sur Splunk nécessite un compte Splunk Entreprise ou Spunk Cloud Platform. La surveillance des événements Bitwarden est disponible sur :

• Splunk Cloud Classic

• Splunk Cloud Victoria

• Splunk Entreprise

Pour les utilisateurs de Splunk sur site, l'étape suivante consiste à installer Splunk Entreprise. Suivez la documentation Splunk pour effectuer une installation du logiciel Splunk Entreprise.

Avant de connecter votre organisation Bitwarden à votre tableau de bord Splunk, créez un index qui maintiendra les données Bitwarden.

1. Ouvrez le menu Paramètres situé sur la barre de navigation supérieure et sélectionnez Indices.

2. Une fois que vous êtes sur l'écran des index, sélectionnez Nouvel Index. Une fenêtre apparaîtra pour vous permettre de créer un nouvel index pour votre application Bitwarden.
   

   • Splunk Cloud
   • Splunk Entreprise

   

   

3. Dans le champ Nom de l'index, entrez bitwarden_events.


   note

   Le seul champ requis pour la création de l'index est Nom de l'Index. Les champs restants peuvent être ajustés selon les besoins.

4. Lorsque vous avez terminé, sélectionnez Enregistrer.

Après la création de votre index Bitwarden, naviguez vers votre tableau de bord Splunk.

1. Ouvrez le menu déroulant Applications et sélectionnez Trouver plus d'applications.
   

   

2. Sélectionnez Parcourir plus d'applications situé en haut à droite de l'écran.

3. Recherchez Bitwarden Event Logs dans le catalogue d'applications. Sélectionnez Installer pour l'application Bitwarden Event Logs.
   

   

4. Pour terminer l'installation, vous devrez entrer votre Splunk compte. Votre compte Splunk peut ne pas être les mêmes identifiants utilisés pour accéder à votre portail Splunk.
   

   

5. Après avoir entré vos informations, sélectionnez Accepter et Installer.

Une fois que l'application Bitwarden Event Logs a été installée dans votre instance Splunk Entreprise, vous pouvez connecter votre organisation Bitwarden en utilisant votre clé API Bitwarden.

1. Allez à l'accueil du tableau de bord et sélectionnez l'application Bitwarden Event Logs :

   

2. Ensuite, sur la page de configuration de l'application, sélectionnez Continuer vers la page de configuration de l'application. C'est ici que vous ajouterez les informations de votre organisation Bitwarden.

   

3. Gardez cet écran ouvert, dans un autre onglet, connectez-vous à l'application web Bitwarden et ouvrez la console Admin en utilisant le sélecteur de produit ():

   

4. Naviguez vers l'écran Paramètres → Informations de l'organisation de votre organisation et sélectionnez le bouton Afficher la clé API. On vous demandera de ressaisir votre mot de passe principal afin d'accéder à vos informations de clé API.

   

5. Copiez et collez les valeurs client_id et client_secret dans leurs emplacements respectifs sur la page de configuration de Splunk.

Complétez également les champs suivants :

Une fois terminé, sélectionnez Soumettre.

La macro de recherche bitwarden_event_logs_index sera créée suite à l'installation initiale des journaux d'événements Bitwarden. Pour accéder à la macro et ajuster les paramètres :

1. Ouvrez les Paramètres sur la barre de navigation supérieure. Ensuite, sélectionnez Recherche Avancée.

2. Sélectionnez Rechercher Macros pour ouvrir la liste des macros de recherche.

Ensuite, configurez quels rôles d'utilisateur auront l'autorisation d'utiliser la macro :

1. Affichez les macros en sélectionnant Paramètres → Recherche avancée → Rechercher des macros.

2. Sélectionnez Autorisations sur bitwarden_events_logs_index. Éditez les autorisations suivantes et sélectionnez Enregistrer une fois terminé:
   

   • Splunk Cloud
   • Splunk Entreprise

   

   

Le tableau de bord fournira plusieurs options pour surveiller et visualiser les données organisationnelles de Bitwarden. Les trois catégories principales de surveillance des données comprennent:

• Événements d'authentification Bitwarden

• Événements d'élément de coffre Bitwarden

• Événements de l'organisation Bitwarden

Les données affichées sur les tableaux de bord fourniront des informations et une visualisation pour une grande variété de recherches. Des requêtes plus complexes peuvent être effectuées en sélectionnant l'onglet Rechercher en haut du tableau de bord.

Lors de la recherche à partir de la page Rechercher ou des Tableaux de bord, les recherches peuvent être désignées pour une période spécifique.

Configurez des recherches spécifiques en incluant des requêtes de recherche. Spunk utilise sa méthode de langage de traitement de recherche (SPL) pour rechercher. Voir la documentation de Splunk pour plus de détails sur les recherches.

Structure de recherche:

BashCopy
search | commands1 arguments1 | commands2 arguments2 | ...

Un exemple d'un objet standard de résultat de recherche :

Les champs affichés dans l'objet de recherche standard peuvent être inclus dans n'importe quelle recherche spécifique. Cela inclut toutes les valeurs suivantes :

Rechercher tout:

BashCopy
sourcetype="bitwarden:events" type=*

Filtrer les résultats par un champ spécifique

Dans l'exemple suivant, la recherche cherche actingUserName avec un * joker qui affichera tous les résultats avec actingUserName.

BashCopy
sourcetype="bitwarden:events" actingUserName=*

L'opérateur ET est implicite dans les recherches Splunk. La requête suivante va rechercher des résultats contenant un certain saisir ET actingUserName.

BashCopy
sourcetype="bitwarden:events" type=1000 actingUserName="John Doe"

Incluez plusieurs commandes en les séparant avec |. Les résultats suivants seront affichés avec la valeur supérieure étant ipAddress.

BashCopy
sourcetype="bitwarden:events" type=1115 actingUserName="John Doe" | top ipAddress

Définir les rôles des utilisateurs

Gérez les rôles des utilisateurs pour permettre aux individus d'effectuer des tâches spécifiques. Pour éditer les rôles des utilisateurs:

1. Ouvrez le menu des Paramètres sur la barre de navigation supérieure.

2. Sélectionnez Utilisateurs dans le coin inférieur droit du menu.

3. Depuis l'écran des utilisateurs, localisez l'utilisateur pour lequel vous souhaitez éditer les autorisations et sélectionnez Éditer.

À partir de cet écran, les détails pour l'utilisateur peuvent être remplis. L'autorisation telle que admin, pouvoir, et peut_supprimer peut également être attribuée individuellement ici.

Supprimer les données

Supprimez les données de recherche Bitwarden en effaçant l'index avec l'accès SSH. Il peut être nécessaire de supprimer les Données dans des cas tels que le changement de l'organisation surveillée.

1. Accédez au répertoire Splunk et arrêtez les processus Splunk.

2. Effacez l'index bitwarden_events avec le drapeau -index. Par exemple:
   

   BashCopy
   splunk clean eventdata -index bitwaren_events

3. Redémarrez les processus Splunk.

• Les utilisateurs de Splunk Entreprise, l'application enregistrera dans : /opt/splunk/var/log/splunk/bitwarden_event_logs.log

Si vous rencontrez des erreurs, ou si l'application Bitwarden ne fonctionne pas correctement, les utilisateurs peuvent vérifier le fichier journal pour les erreurs ou consulter la documentation de Spunk.