Splunk
Sızıntı olayları Splunk’a olay olarak yazılır.
Nasıl çalışır
Bağlantı HTTP Event Collector üzerinden kurulur. Olaylar seçilen indekse darkradar:event türüyle gönderilir. Aynı sözleşmeyi kullanan CrowdStrike Falcon NG-SIEM (LogScale) da bu yolla bağlanır.
Gönderim tek yönlüdür. Splunk’tan veri okunmaz, arama çalıştırılmaz, yönetim uçlarına erişilmez.
Splunk’ın kabul yanıtı kaydın alındığını gösterir. Kaydın aramada görünme süresi Splunk’ın indeksleme hızına bağlıdır.
Aktarılan alanlar
| Alan | İçerik |
|---|---|
source | darkradar |
sourcetype | darkradar:event |
index | Kurulumda seçilen indeks |
event.kind | Olay türü: sızıntı, tarama özeti, tarama hatası, test |
event.eventId | Olay kimliği |
event.title | Olay başlığı |
event.summary | Tek cümlelik özet |
event.severity | kritik · yüksek · orta · düşük · bilgi |
event.link | Olayın paneldeki adresi |
Sızan değerin kendisi gönderilmez. Parola, çerez ve oturum bilgisi bu kayıtta yer almaz.
Sınırlar
Belirteç yalnız olay yazma yetkisi taşır.
Adres yalnız
https olabilir; iç ağ ve bulut meta veri adresleri reddedilir.Bağlantı kapatıldığında gönderim durur ve belirteç silinir.
Kurulum
Kurulum adımları panelde, entegrasyonun kendi ekranındadır. Sağlayıcı tarafında ne yapılacağı ve hangi değerin nereye gireceği orada yazılıdır.