Splunk SIEM

Splunk Enterprise is een SIEM-platform (Security Information and Event Management) dat kan worden gebruikt met Bitwarden-organisaties. Organisaties kunnen gebeurtenisactiviteit volgen met de Bitwarden Event Logs-app op hun Splunk-dashboard.

Voor het installeren van de Bitwarden-app op Splunk is een Splunk Enterprise- of Spunk Cloud Platform-account vereist. Bitwarden event monitoring is beschikbaar op:

• Splunk cloud klassiek

• Splunk-cloud Victoria

• Splunk Onderneming

Voor gebruikers van Splunk op locatie is de volgende stap het installeren van Splunk Enterprise. Volg de Splunk documentatie om een installatie van de Splunk Enterprise software te voltooien.

Voordat u uw Bitwarden-organisatie aansluit op uw Splunk Dashboard, moet u een index maken die Bitwarden-gegevens onderhoudt.

1. Open het menu Instellingen op de bovenste navigatiebalk en selecteer Indexen.

2. Zodra je in het indexenscherm bent, selecteer je Nieuwe index. Er verschijnt een venster waarin u een nieuwe index kunt maken voor uw Bitwarden-app.
   

   • Splunk-cloud
   • Splunk Onderneming

   

   

3. Voer in het veld Indexnaam bitwarden_events in.


   noot

   Het enige verplichte veld voor het aanmaken van de index is Indexnaam. De overige velden kunnen naar wens worden aangepast.

4. Als je klaar bent, selecteer je Opslaan.

Nadat je Bitwarden-index is aangemaakt, navigeer je naar je Splunk-dashboard.

1. Open het vervolgkeuzemenu Apps en selecteer Find More Apps (Meer apps zoeken).
   

   

2. Selecteer Bladeren door meer apps rechtsboven in het scherm.

3. Zoek Bitwarden-gebeurtenislogboeken in de app-catalogus. Selecteer Installeren voor de Bitwarden Gebeurtenislogboeken-app .
   

   

4. Om de installatie te voltooien, moet u uw Splunk-account invoeren. Uw Splunk-account zijn mogelijk niet dezelfde referenties die worden gebruikt om toegang te krijgen tot uw Splunk-portaal.
   

   

5. Nadat u uw gegevens hebt ingevoerd, selecteert u Akkoord en Installeren.

Zodra de Bitwarden-gebeurtenislogboek-app is geïnstalleerd in uw Splunk Enterprise-instantie, kunt u uw Bitwarden-organisatie verbinden met behulp van uw Bitwarden API-sleutel.

1. Ga naar het startscherm van het dashboard en selecteer de Bitwarden Gebeurtenislogboeken-app :

   

2. Selecteer vervolgens op de pagina App configureren Ga door naar de pagina app instellen. Hier voegt u de gegevens van uw Bitwarden-organisatie toe.

   

3. Houd dit scherm open, log op een ander tabblad in op de Bitwarden webapp en open de beheerconsole met de productswitcher ():

   

4. Navigeer naar het scherm Instellingen → Organisatie-info van je organisatie en selecteer de knop API-sleutel weergeven . U wordt gevraagd uw hoofdwachtwoord opnieuw in te voeren om toegang te krijgen tot uw API-sleutelgegevens.

   

5. Kopieer en plak de client_id en client_secret waarden op hun respectievelijke locaties op de Splunk setup pagina.

Vul ook de volgende extra velden in:

Als je klaar bent, selecteer je Submit.

De bitwarden_event_logs_index zoekmacro wordt aangemaakt na de eerste installatie van Bitwarden Event Logs. Om de macro te openen en de instellingen aan te passen:

1. Open Instellingen op de bovenste navigatiebalk. Selecteer vervolgens Geavanceerd zoeken.

2. Selecteer Zoekmacro's om de lijst met zoekmacro's te openen.

Stel vervolgens in welke gebruikersrollen toestemming hebben om de macro te gebruiken:

1. Bekijk macro's door Instellingen → Geavanceerd zoeken → Macro's zoeken te selecteren.

2. Selecteer Rechten op bitwarden_events_logs_index. Bewerk de volgende machtigingen en selecteer Opslaan zodra u klaar bent:
   

   • Splunk-cloud
   • Splunk Onderneming

   

   

Het Dashboard biedt verschillende opties voor het monitoren en visualiseren van organisatiegegevens van Bitwarden. De drie primaire categorieën van gegevensbewaking zijn:

• Bitwarden authenticatiegebeurtenissen

• Bitwarden kluis item gebeurtenissen

• Bitwarden organisatie evenementen

De gegevens die worden weergegeven op de dashboards bieden informatie en visualisatie voor een breed scala aan zoekopdrachten. Complexere zoekopdrachten kunnen worden uitgevoerd door het tabblad Zoeken bovenaan het dashboard te selecteren.

Bij het zoeken op de Zoekpagina of Dashboards kunnen zoekopdrachten worden toegewezen aan een specifiek tijdsbestek.

Stel specifieke zoekopdrachten in door zoekopdrachten op te nemen. Spunk gebruikt zijn zoekverwerkingstaal (SPL) methode om te zoeken. Raadpleeg de documentatie van Splunk voor meer informatie over zoekopdrachten.

Zoekstructuur:

BashCopy
search | commands1 arguments1 | commands2 arguments2 | ...

Een voorbeeld van een standaard zoekresultaatobject:

De velden in het standaard zoekobject kunnen worden opgenomen in elke specifieke zoekopdracht. Dit omvat alle volgende waarden:

Alles zoeken:

BashCopy
sourcetype="bitwarden:events" type=*

Resultaten filteren op een specifiek veld

In het volgende voorbeeld zoekt de zoekopdracht naar actingUserName met een jokerteken * , waardoor alle resultaten met actingUserName worden weergegeven.

BashCopy
sourcetype="bitwarden:events" actingUserName=*

De AND operator wordt geïmpliceerd in Splunk zoekopdrachten. De volgende query zoekt naar resultaten met een specifiek type EN actingUserName.

BashCopy
sourcetype="bitwarden:events" type=1000 actingUserName="John Doe"

Voeg meerdere commando's toe door ze te scheiden met |. Het volgende toont resultaten met als hoogste waarde ipAddress.

BashCopy
sourcetype="bitwarden:events" type=1115 actingUserName="John Doe" | top ipAddress

Gebruikersrollen instellen

Beheer gebruikersrollen om individuen specifieke taken te laten uitvoeren. Gebruikersrollen bewerken:

1. Open het menu Instellingen op de bovenste navigatiebalk.

2. Selecteer Gebruikers in de rechterbenedenhoek van het menu.

3. Zoek in het gebruikersscherm de gebruiker waarvoor je de rechten wilt bewerken en selecteer Bewerken.

In dit scherm kunnen de gegevens van de gebruiker worden ingevuld. Toestemmingen zoals admin, power en can_delete kunnen hier ook individueel worden toegewezen.

Gegevens verwijderen

Verwijder Bitwarden zoekgegevens door de index te wissen met SSH-toegang. Het is mogelijk dat gegevens moeten worden gewist wanneer bijvoorbeeld de organisatie die wordt gecontroleerd, wordt gewijzigd.

1. Ga naar de Splunk-map en stop Splunk-processen.

2. Wis de bitwarden_events index met de -index vlag. Bijvoorbeeld:
   

   BashCopy
   splunk clean eventdata -index bitwaren_events

3. Splunk-processen opnieuw starten.

• Splunk Enterprise-gebruikers loggen naar: /opt/splunk/var/log/splunk/bitwarden_event_logs.log

Als er fouten optreden of als de Bitwarden-app niet goed werkt, kunnen gebruikers het logbestand controleren op fouten of de documentatie van Spunk raadplegen.