Splunk
Sızma hadisələri Splunk-a hadisə kimi yazılır.
Necə işləyir
Bağlantı HTTP Event Collector üzərindən qurulur. Hadisələr seçilən indeksə darkradar:event növü ilə göndərilir. Eyni müqaviləni işlədən CrowdStrike Falcon NG-SIEM (LogScale) da bu yolla qoşulur.
Göndəriş təkistiqamətlidir. Splunk-dan məlumat oxunmur, axtarış işlədilmir, idarəetmə uclarına çıxılmır.
Splunk-ın qəbul cavabı qeydin alındığını göstərir. Qeydin axtarışda görünmə müddəti Splunk-ın indeksləmə sürətindən asılıdır.
Ötürülən sahələr
| Sahə | Məzmun |
|---|---|
source | darkradar |
sourcetype | darkradar:event |
index | Quraşdırmada seçilən indeks |
event.kind | Hadisə növü: sızma, tarama xülasəsi, tarama xətası, test |
event.eventId | Hadisə kimliyi |
event.title | Hadisə başlığı |
event.summary | Tək cümləlik xülasə |
event.severity | kritik · yüksək · orta · aşağı · məlumat |
event.link | Hadisənin paneldəki ünvanı |
Sızan dəyərin özü göndərilmir. Parol, çərəz və sessiya məlumatı bu qeyddə olmur.
Hədlər
Token yalnız hadisə yazma səlahiyyəti daşıyır.
Ünvan yalnız
https ola bilər; daxili şəbəkə və bulud meta məlumat ünvanları rədd edilir.Bağlantı bağlandıqda göndəriş dayanır və token silinir.
Quraşdırma
Quraşdırma addımları paneldə, inteqrasiyanın öz ekranındadır. Provayder tərəfində nə ediləcəyi və hansı dəyərin hara yazılacağı orada yazılıb.