INTEGRITY Dokumentace

← Analytics / analytics / analytics-integrations

Splunk

Tento návod vysvětluje, jak analyzovat Cloudflare Logs ↗ pomocí Cloudflare App for Splunk ↗.

Předpoklady

Než začnete odesílat data protokolů Cloudflare do Splunku, ujistěte se, že:

Úkol 1 - Instalace a konfigurace Cloudflare App for Splunk

Chcete-li nainstalovat Cloudflare App for Splunk ↗:

  1. Přihlaste se ke své instanci Splunk.
  2. V části Aplikace > Najít další aplikace, vyhledejte Cloudflare App for Splunk.
  3. Klikněte na Instalovat.
Web Splunk s rozbalenou nabídkou Apps, položkou nabídky Search & Reporting a aplikací Cloudflare App for Splunk

  1. Restartujte a znovu otevřete svou instanci Splunk.

  2. Upravte cloudflare:json typ zdroje v aplikaci Cloudflare App for Splunk. Úprava typu zdroje:

    1. Klikněte na Nastavení rozevírací nabídce vyberte Zdrojové typy.
    2. Zrušte zaškrtnutí Zobrazit jen oblíbené a vyhledejte cloudflare.
    3. Klikněte na Úprava a změňte regulární výraz na ([\r\n]+).
    4. Uložte své úpravy.

  3. Vytvořte index ve Splunk pro uložení protokolů HTTP Event. Postup vytvoření indexu:

    1. Obrazovku nastavení otevřete kliknutím na Nastavení rozevíracího seznamu a poté klikněte na Indexy.
    2. Vyberte New Index. Mějte na paměti, že Indexy stránka také zobrazuje stav všech vašich existujících indexů, takže vidíte, zda se blížíte vyčerpání licencovaného množství prostoru.
    3. Pojmenujte index cloudflare, což je výchozí index, který aplikace Cloudflare App použije.

  4. Nastavte HTTP Event Collector (HEC) ve Splunku. Postup vytvoření HEC:

    1. Klikněte na Nastavení rozevírací nabídce vyberte Datové vstupy.
    2. Klikněte na +Add new a postupujte podle průvodce. Na výzvu zadejte následující hodnoty:
      • Name: Cloudflare
      • Source Type: Select > "cloudflare:json"
      • App Context: Cloudflare App for Splunk (cloudflare)
      • Index: cloudflare
    3. Na konci průvodce uvidíte Hodnota tokenu. Tento token opravňuje úlohu Cloudflare Logpush odesílat data do vaší instance Splunk. Pokud si jej nyní zapomenete zkopírovat, Splunk vám umožní hodnotu zobrazit kdykoli později.

  5. Ověřte, zda Splunk používá self-signed certifikát. Tuto informaci budete potřebovat při vytváření úlohy Logpush.

  6. Určete koncový bod, na který budete data odesílat. Koncový bod by měl mít tento tvar:

"<protocol>://input-<host>:<port>/<endpoint>" or "<protocol>://http-inputs-<host>:<port>/<endpoint>"

Kde:

Například: https://prd-p-0qk3h.splunkcloud.com:8088/services/collector/raw. Přečtěte si Splunk Documentation ↗ další podrobnosti a příklady.

Poznámky k instalaci

Můžete změnit Název indexu po počáteční konfiguraci kliknutím na Nastavení rozevíracího seznamu a přejděte na Pokročilé vyhledávání. Tam můžete vybrat Vyhledávací makra a vyhledejte Cloudflare App for Splunk.

Rozhraní Splunk se zvýrazněnou nabídkou Apps, možností Manage Apps a zaškrtávacím políčkem Enable Acceleration

Cloudflare App for Splunk obsahuje vlastní Cloudflare Data Model s akceleračním oknem 1 den, který ale ve výchozím nastavení není akcelerovaný. Pokud povolíte Akcelerace datového modelu ↗, doporučujeme akcelerovat Data Model pouze na 1 nebo 7 dní, aby nedošlo k nežádoucím vlivům na vaše prostředí Splunk.

Akceleraci můžete po počáteční konfiguraci povolit nebo zakázat na stránce Set up aplikace, kterou otevřete kliknutím na Aplikace rozevíracího seznamu a poté Správa aplikací > Nastavení Cloudflare.

Stránka Splunk Advanced Search se zvýrazněnými položkami Search macros a Advanced search

Datové modely můžete nakonfigurovat i manuálně, a to přechodem na Nastavení > Datové modely. Více o akceleraci datového modelu se dozvíte v dokumentace Splunk ↗.

Úkol 2 - Volání API pro vytvoření úlohy Logpush

Vytvořte úlohu Logpush podle pokynů na Povolení Logpush do Splunku. Toto volání API vytvoří úlohu Logpush, ale neaktivuje ji.

Úlohu Logpush povolte přes dashboard Cloudflare nebo přes API podle pokynů na Povolení Logpush do Splunku. Aktivace přes dashboard:

  1. Přejděte do dashboardu Cloudflare a vyberte Analytics & Logs > Protokoly.
  2. Vyberte Úprava a vyberte pole uvedená v sekci dashboard níže, aby se plně vyplnily všechny tabulky a grafy.
  3. Úlohu Logpush povolíte přepnutím přepínače vedle odkazu Edit. Naplnění daty trvá několik minut.

Chcete-li ověřit, že přijímáte data, vyhledejte index=cloudflare ve Splunku.

Úkol 3 - Zobrazení dashboardů

Protokoly Cloudflare můžete analyzovat pomocí třinácti (13) dashboardů uvedených níže.

Filtry v těchto dashboardech vám pomohou zúžit analýzu podle data a času, typu zařízení, země, uživatelského agenta, IP adresy klienta, hostitele a dalších parametrů, což usnadní ladění a trasování.

O dashboardech

Následující dashboardy popsané níže jsou k dispozici v rámci aplikace Cloudflare App for Splunk.

Cloudflare - Snapshot

Přehled webového provozu a Typy webového provozu: Získejte přehled nejdůležitějších metrik vašich webů a aplikací v síti Cloudflare. Řídicí panel Splunk s metrikami přehledu webového provozu

Cloudflare - Reliability

Souhrn a Podrobné: Získejte přehled o dostupnosti vašich webů a aplikací. Metriky zahrnují poměr chybových odpovědí origin serveru, stav odpovědí origin serveru v čase, procento chyb 3xx/4xx/5xx v čase a další. Řídicí panel Splunk se souhrnným přehledem metrik spolehlivosti na vysoké úrovni

Řídicí panel Splunk s podrobným souhrnem metrik spolehlivosti

Cloudflare - Security

Přehled: Získejte přehled o hrozbách pro vaše weby a aplikace, včetně počtu zastavených hrozeb, jejich vývoje v čase, zemí s nejvyšším výskytem hrozeb a dalších údajů. Řídicí panel Splunk s přehledem bezpečnostních metrik

WAF: Získejte přehled o identifikaci a mitigaci hrozeb pomocí našeho Web Application Firewall, včetně událostí jako SQL injection, XSS a dalších. Tato data využijte k doladění firewallu tak, aby cílil na zjevné hrozby a předcházel falešně pozitivním výsledkům. Řídicí panel Splunk s přehledem bezpečnostních metrik pro WAF

Rate Limiting: Získejte přehled o ochraně pomocí rate limiting proti útokům typu odepření služby, pokusům o prolomení hesla hrubou silou a dalším typům škodlivého chování zaměřeného na vaše weby nebo aplikace. Řídicí panel Splunk s přehledem bezpečnostních metrik pro Rate Limiting

Přehled robotů a Podrobnosti o robotech: Prošetřete aktivitu botů na vašem webu a zabraňte scrapování obsahu, podvodům při placení, spamovým registracím a dalším škodlivým aktivitám. Řídicí panel Splunk se souhrnným přehledem bezpečnostních metrik pro roboty na vysoké úrovni

Řídicí panel Splunk s podrobným souhrnem bezpečnostních metrik pro roboty

Cloudflare - Performance

Požadavky a Cache a Šířka pásma: Identifikujte a řešte problémy s výkonem a nesprávnou konfiguraci cachování. Metriky zahrnují celkovou versus cachovanou šířku pásma, ušetřenou šířku pásma, celkový počet požadavků, poměr cache, nejčastější necachované požadavky a další. Řídicí panel Splunk s metrikami výkonu pro požadavky a cache

Řídicí panel Splunk s metrikami výkonu pro šířku pásma

Hostname, Content Type, Request Methods, Connection Type: Získejte přehled o nejoblíbenějších hostitelských názvech, nejčastěji požadovaných typech obsahu, rozdělení podle metod požadavků a typu připojení.

Řídicí panel Splunk s metrikami výkonu Cloudflare, mimo jiné pro Hostname, Content Type, Request Methods a Connection Type

Statický a dynamický obsah: Získejte přehled o výkonu statického a dynamického obsahu, včetně nejpomalejších URL adres. Řídicí panel Splunk s metrikami výkonu Cloudflare pro statický a dynamický obsah

Filtry

Všechny dashboardy mají sadu filtrů, které můžete použít na celý dashboard, jak ukazuje následující příklad. Filtry se uplatňují v rámci celého dashboardu.

Dostupné filtry dashboardu v aplikaci Splunk

Filtry můžete použít k podrobnějšímu prozkoumání dat až na úroveň jednotlivých položek. Mezi filtry patří země klienta, typ zařízení klienta, IP adresa klienta, hostitel požadavku klienta, URI požadavku klienta, uživatelský agent klienta, stav odpovědi edge, IP adresa origin serveru a stav odpovědi origin serveru.

Výchozí časový interval je nastaven na 24 hodin. Mějte na paměti, že pro správné výpočty musí filtr vylučovat dílčí požadavky Worker (WorkerSubrequest = false) a požadavky na vymazání (ClientRequestMethod není PURGE).

Dostupné filtry:

Tipy pro ladění

Neúplné dashboardy

Aplikace Splunk Cloudflare App vychází z dat v níže uvedených polích Cloudflare Enterprise Logs. V závislosti na tom, která pole máte povolena, se některé dashboardy nemusí zobrazit v plném rozsahu.

Pokud je to váš případ, zkontrolujte a otestujte filtry Cloudflare App pod jednotlivými dashboardy (tyto filtry jsou stejné napříč všemi dashboardy). Filtry, které nepotřebujete, můžete klidně odstranit, i když obsahují datová pole, která už vaše protokoly obsahují.

Seznam polí, která získáváte v Cloudflare Logs, můžete také porovnat s poli uvedenými v Splunk > Nastavení > Datový model > Cloudflare.

Dostupná pole jsou: