# Splunk SIEM

Splunk Enterpriseは、セキュリティ情報およびイベント管理（SIEM）プラットフォームであり、Bitwarden組織と一緒に使用することができます。組織は、Splunkダッシュボード上の[Bitwardenイベントログ](https://bitwarden.com/ja-jp/help/event-logs/)アプリを使用して[イベント](https://splunkbase.splunk.com/app/7203)活動を監視することができます。

## 設定

### Splunkアカウントを作成します

BitwardenアプリをSplunkにインストールするには、SplunkエンタープライズまたはSpunk Cloud Platformのアカウントが必要です。Bitwardenのイベント監視は以下で利用可能です：

- スプランク クラウド クラシック
- スプランククラウドビクトリア
- Splunk エンタープライズ

### Splunkをインストールします

オンプレミスのSplunkユーザーの次のステップは、Splunkエンタープライズをインストールすることです。[Splunkのドキュメンテーション](https://docs.splunk.com/Documentation/Splunk/9.0.4/SearchTutorial/InstallSplunk)に従って、Splunkエンタープライズソフトウェアのインストールを完了してください。

> [!NOTE] Splunk Enterprise supported versions
> Splunk Enterpriseバージョン8.Xはもうサポートされていません。現在、Bitwardenはバージョン9.0、9.1、および9.2でサポートされています。

### インデックスを作成する

あなたのBitwarden組織をSplunkダッシュボードに接続する前に、Bitwardenデータを保持するインデックスを作成してください。

1. 上部のナビゲーションバーにある**設定**メニューを開き、**インデックス**を選択してください。
2. インデックス画面に移動したら、**新規インデックス**を選択してください。新しいインデックスを作成するためのウィンドウがBitwardenアプリに表示されます。

### スプランク クラウド

![新しいインデックス](https://bitwarden.com/assets/j3k8D4EBEEFPv7le82mFS/7cae447085492faf80f61898b7c4f0cf/new_index.png)

### Splunk エンタープライズ

![新しいインデックスエンタープライズ](https://bitwarden.com/assets/3yYEP61PqzSEl9tOBuwWIl/c452955bbba510d972d1584c5416fe13/new_index_sh.png)
3. 「**インデックス名**」フィールドに、`bitwarden_events`を入力してください。`
`

> [!NOTE] Splunk index creation
> インデックス作成に必要な唯一のフィールドは**インデックス名**です。残りのフィールドは必要に応じて調整できます。
4. 終了したら、**保存**を選択してください。``

### Splunk Bitwardenアプリをインストールしてください

あなたのBitwardenインデックスが作成された後、Splunkダッシュボードに移動してください。

1. **アプリ**のドロップダウンメニューを開き、**他のアプリを探す**を選択してください。

![Splunkアプリダッシュボード](https://bitwarden.com/assets/IsbH3oo9FYomh0InDjVwt/fc2aca538dedd4d56820e8da236d8278/more_apps.png)
2. 画面の右上にある**他のアプリを見る**を選択してください。
3. アプリカタログで**Bitwarden イベントログ**を検索してください。**インストール**を選択して、**Bitwarden イベントログ**アプリをインストールしてください。

![Bitwarden イベントログアプリ](https://bitwarden.com/assets/5IzRtDgpykBPZ21AUJnxbJ/c70ffa253781789cbeb200932edc0554/Bitwarden_event_logs.png)
4. インストールを完了するためには、あなたの[Splunk ](https://splunkbase.splunk.com/)アカウントを入力する必要があります。あなたのSplunkアカウントは、Splunkポータルにアクセスするために使用する資格情報と同じでない場合があります。

![SplunkにBitwardenアプリをインストールしてログインしてください。](https://bitwarden.com/assets/1Ko0eUuBz2AYIo0kNuxDoQ/2bb4b832236780509e6667e3c325a72f/2024-04-16_11-04-51.png)
5. あなたの情報を入力した後、**同意してインストール**を選択してください。

> [!NOTE] Restart Splunk
> Bitwardenイベントログアプリのダウンロード後、Splunkを再起動する必要があるかもしれません。

### あなたのBitwarden組織を接続してください

あなたのSplunkエンタープライズインスタンスにBitwardenイベントログアプリがインストールされたら、Bitwardenの[APIキー](https://bitwarden.com/ja-jp/help/public-api/#authentication/)を使用してBitwarden組織に接続できます。

1. ダッシュボードのホームに移動し、**Bitwarden イベントログ**アプリを選択してください：

![Splunkダッシュボード上のBitwarden](https://bitwarden.com/assets/4XFuwwljpBglow8GsaYTcP/08af521d324c76fea00937617a7fe19d/2024-05-06_16-09-59.png)
2. 次に、アプリ設定ページで、**アプリ設定ページに進む**を選択します。これはあなたのBitwarden組織の情報を追加する場所です。

![Bitwardenメニューの設定](https://bitwarden.com/assets/4c0008B7jTVp0PQtp97p0h/e725995706475b44b8726db6fbf066c1/SplunkSetupFull_edited.png)
3. この画面を開いたまま、別のタブでBitwardenのウェブアプリにログインし、製品切り替えを使用して管理者コンソールを開きます（[filter]）：

![製品切り替えメニュー](https://bitwarden.com/assets/2uxBDdQa6lu0IgIEfcwMPP/e3de3361749b6496155e25edcfdcf08b/2024-12-02_11-19-56.png)
4. あなたの組織の**設定** → **組織情報**画面に移動し、**APIキーを表示**ボタンを選択してください。あなたのAPIキー情報にアクセスするために、マスターパスワードを再入力するように求められます。

![組織API情報](https://bitwarden.com/assets/6gHjAyqgeqDj6UPT6agsBK/3a614e043cb3836a41bd68f226835e53/2024-12-04_09-51-07.png)
5. `client_id`と`client_secret`の値をコピーして、Splunk設定ページのそれぞれの位置に貼り付けてください。

以下の追加フィールドも記入してください:

| フィールド | 値 |
|------|------|
| インデックス | 以前のガイドで作成されたインデックスを選択してください：`bitwarden_events`。 |
| サーバー URL | 自己ホスト型のBitwardenユーザーの方は、自己ホスト型のURLを入力してください。` `クラウドホスト型の組織の方は、URL `https://bitwarden.com`を使用してください。 |
| 開始日（任意） | データ監視の開始日を設定してください。設定されていない場合、デフォルトの日付は1年後に設定されます。 これは一度限りの設定で、一度設定すると、この設定は**変更できません**。 |

> [!NOTE] Rotate API key
> あなたの組甔のAPIキーは、あなたの組織への完全なアクセスを可能にします。あなたのAPIキーを秘密に保ってください。あなたのAPIキーが侵害されたと思われる場合、この画面で**設定>組織情報>** **APIキーをロテート**ボタンを選択してください。あなたの現在のAPIキーのアクティブな実装は、使用する前に新しいキーで再設定する必要があります。

完了したら、**送信**を選択してください。

## 検索マクロの理解

初期のBitwardenイベントログのインストールに続いて、`bitwarden_event_logs_index `検索マクロが作成されます。マクロにアクセスして設定を調整するには：

1. 上部のナビゲーションバーで**設定**を開きます。次に、**詳細検索**を選択してください。
2. **検索マクロ**を選択して、検索マクロのリストを開きます。

### マクロの検索権限

次に、マクロを使用する権限を持つユーザーの役割を設定します。

1. マクロを表示するには、**設定** → **高度な検索** → **マクロの検索**を選択します。
2. **権限**を選択してください`bitwarden_events_logs_index`上で。次の権限を編集し、完了したら保存を選択してください。

### スプランク クラウド

![マクロの権限を検索](https://bitwarden.com/assets/69xCHcmqFE8CLp7kGJJkdJ/4faffad91633090dd5709b32e4cb7bc0/2024-05-14_08-44-55.png)

### Splunk エンタープライズ

![エンタープライズ検索マクロ権限](https://bitwarden.com/assets/5IAOPUu7tbiuPfxNR5NSOF/9616f70e6a51029f85a546e3fb3397f8/macro_permissions_sh.png)

| フィールド | 説明 |
|------|------|
| オブジェクトは表示されるべきです | イベントの検索でマクロを使用するには、**このアプリのみ**を選択してください。マクロは、**プライヴェートに保つ**が選択されている場合には適用されません。 |
| 権限 | **読み取り**と**書き込み**アクセスを持つユーザーの役割に対して、希望の権限を選択してください。 |

> [!NOTE] Splunk single macro
> アプリでは一度に機能する検索マクロは一つだけです。

## ダッシュボードの理解

ダッシュボードは、Bitwarden組織のデータを監視し視覚化するためのいくつかのオプションを提供します。データ監視の3つの主要なカテゴリーは次のとおりです：

- Bitwarden認証イベント
- Bitwarden 保管庫 アイテム イベント
- Bitwarden 組織イベント

ダッシュボードに表示されるデータは、幅広い種類の検索に対する情報と視覚化を提供します。より複雑なクエリは、ダッシュボードの上部にある**検索**タブを選択することで完了できます。

### 時間枠

**検索**ページや**ダッシュボード**から検索する際、検索は特定の時間枠に指定することができます。

![Splunk 時間枠の検索](https://bitwarden.com/assets/zizTsxjCMKlD4TXLmi2UZ/86807e58f3de67b9b51c10924f594069/2024-03-06_16-56-03.png)

> [!NOTE] Splunk on-premises search
> オンプレミスのユーザーの場合、次の時間枠がBitwardenイベントログの検索に対応しています：
> 
> - 今月まで
> - 今年初から現在まで
> - 先週
> - 先週の営業日
> - 先月
> - 前年
> - 過去30日間
> - すべての時間

## クエリパラメータ

検索クエリを含めて特定の検索を設定します。Spunkはその検索処理言語（SPL）方法を検索に利用します。詳細な検索については、[Splunkのドキュメンテーション](https://docs.splunk.com/Documentation/Splunk/9.0.4/Search/GetstartedwithSearch)をご覧ください。

**検索構造**

```
search | commands1 arguments1 | commands2 arguments2 | ...
```

標準的な検索結果オブジェクトの例：

![Splunk検索結果オブジェクト](https://bitwarden.com/assets/620J7a17eXWhkgkCOzpixU/a75acef6074ca30a014811363cb36c8a/query_data.png)

標準検索オブジェクトに表示されるフィールドは、特定の検索に含めることができます。これには、以下のすべての値が含まれます：

| 値 | 例の結果 |
|------|------|
| `アクティングユーザーエメール` | アクションを実行するユーザーのメールアドレス。 |
| `行動中のユーザーID` | アクションを実行するユーザーのユニークID。 |
| `行動中のユーザー名` | アクションを実行するユーザーの名前。 |
| `デート` | イベントの日付は`YYYY-MM-DD TT:TT:TT `形式で表示されます。 |
| `デバイス` | アクションが実行されたデバイスを識別するための数値番号。 |
| `ハッシュ` | Splunkはデータハッシュを計算しました。Splunkのデータ整合性について[ここ](https://docs.splunk.com/Documentation/Splunk/9.0.4/Security/Dataintegritycontrol)で詳しく学びましょう。 |
| `IPアドレス` | イベントを実行したIPアドレス。 |
| `メンバーメール` | その行動が向けられた組电のメンバーのメールアドレス。 |
| `メンバーID` | アクションが向けられた組电のメンバーのユニークID。 |
| `メンバー名` | その行動が向けられた組电のメンバーの名前。 |
| `タイプ` | 発生した組織イベントを表すイベントタイプコード。説明付きのイベントコードの完全なリストは[ここ](https://bitwarden.com/ja-jp/help/event-logs/)でご覧いただけます。 |

**すべてを検索する**

```
sourcetype="bitwarden:events" type=*
```

**特定のフィールドで結果をフィルタリングする**

次の例では、検索は`actingUserName `を`*`ワイルドカードと共に探しており、`actingUserName`を含むすべての結果が表示されます。

```
sourcetype="bitwarden:events" actingUserName=*
```

Splunkの検索では、**AND演算子**が暗黙的に使用されます。次のクエリは、特定の`タイプ`と* *`actingUserName`を含む結果を検索します。

```
sourcetype="bitwarden:events" type=1000 actingUserName="John Doe"
```

複数のコマンドを含めるには、`|`で区切ってください。次の結果は、トップの値が`ipAddress`で表示されます。

```
sourcetype="bitwarden:events" type=1115 actingUserName="John Doe" | top ipAddress
```

## 追加のリソース

#### ユーザーの役割を設定する

特定のタスクを実行するために、個々のユーザーの役割を管理します。ユーザーの役割を編集するには：

1. トップナビゲーションバーの**設定**メニューを開きます。

2. メニューの右下隅から**ユーザー**を選択します。

3. ユーザー画面から、権限を編集したいユーザーを探し、**編集**を選択します。

![Splunkユーザーの権限を編集](https://bitwarden.com/assets/5CnTzwphqVenaRu638uVoI/151e295ab1e06fad53698b648accf500/Screenshot_2023-04-13_at_9.48.48_AM__2_.png)

この画面から、ユーザーの詳細を入力することができます。`管理者`、`パワー`、そして`削除可能`などの権限もここで個別に割り当てることができます。

#### データを削除

SSHアクセスでインデックスをクリアして、Bitwardenの検索データを削除します。監視対象の組織を変更するなどの場合、データをクリアする必要があるかもしれません。

1. Splunkディレクトリにアクセスし、`停止` Splunkプロセス。
2. `bitwarden_events` インデックスを `-index` フラグでクリアします。例えば：

```plain text
splunk clean eventdata -index bitwaren_events
```
3. Splunkプロセスを再起動します。

## トラブルシューティング

- Splunk Enterpriseのユーザーは、アプリが以下にログを記録します：`/opt/splunk/var/log/splunk/bitwarden_event_logs.log

`エラーが発生している場合、またはBitwardenアプリが正しく機能していない場合、ユーザーはログファイルでエラーを確認するか、[Spunkのドキュメンテーション](https://docs.splunk.com/Documentation/Splunk/9.2.0/Indexer/RemovedatafromSplunk)を参照できます。