HTTP および Secure HTTP（HTTPS）プロトコルを介して、Cisco Secure Application セキュリティイベントを Splunk 展開に送信できます。Splunk サーバーの詳細情報を使用して新しい接続を有効にすると、脆弱性、攻撃、および監視イベントが Cisco Secure Application から指定の Splunk インスタンスに送信されます。

[gear icon] で [Settings ] オプションが表示されます。このオプションから、高度なセキュリティのためにサードパーティのサーバーに接続する [Connections] オプションを使用できます。 

現在、Cisco Secure Application は Splunk との統合のみをサポートしています。

新しい接続を作成するには、[New Connection ] をクリックして、[New Connection] ダイアログボックスで以下の項目を指定します。

  • Name：接続を識別するための任意の名前。
  • Service Type：Splunk HTTP Event Collector。
    現在、Cisco Secure Application は HTTP イベントコレクタのみをサポートしています。
  • Endpoint：Splunk ホストエンドポイント。 
  • Token：Splunk を使用して生成されたトークン。
    接続を保存すると、この値は非表示になります。

[Connections] ページには、Splunk 接続の詳細とそのステータスが表示されます。接続は、[modify icon] を使用して変更できます。 

接続が成功すると、Cisco Secure Application は 1 分ごとにイベントを送信します。

現在、この接続は Vulnerabilities をサポートしています。このサポートは、以降のリリースで Attacks および Observations まで拡張されます。

AppDynamics の IP アドレス

Splunk インスタンスがパブリック IP をブロックしている場合は、次の IP リストのロックを解除してください。オレゴン環境から発信されるすべてのトラフィックには、次のいずれかのソース IP アドレスが割り当てられます。

  • 34.218.183.67 

  • 52.88.49.75

  • 34.218.135.55

  • 44.224.91.190

  • 44.224.93.208

  • 100.21.44.47

  • 35.163.240.75

  • 100.21.168.150

  • 44.224.41.204

すべての IP とそのリージョンを表示するには、「SaaS ドメインと IP 範囲」を参照してください。 

セキュリティ イベント

サポートされているエージェントは、セキュリティイベントを Cisco Secure Application に送信して、UI に攻撃と脆弱性を表示します。Splunk 内でこれらのイベントを使用する場合、Cisco Secure Application はイベント属性を必要な形式で Splunk に送信します。イベントの詳細を以下に示します。

属性タイプ説明
tenantIdint32AppDynamics コントローラがインストールされているサーバーのテナント ID。
tenantName文字列AppDynamics コントローラがインストールされているサーバーの名前。
applicationIdint32脆弱なアプリケーションの ID。
applicationname文字列脆弱なアプリケーションの名前。
applicationUuid文字列アプリケーションが実行されているサーバーの一意の ID。
tierIdint32脆弱なアプリケーションの階層 ID。
tiername文字列脆弱なアプリケーション階層の名前。
tierUuid文字列階層が実行されているサーバーの一意の ID。
timestamp文字列脆弱性が最初に検出された時刻。
severity文字列CVSS3 環境のシビラティ（重大度）の説明。 
severityNumberFloat32脆弱性のリスクスコア。数値が高いほどリスクが高くなる。
リソース文字列セキュリティイベントのソース。この値は Secure App と表示されます。つまり、セキュリティイベントは Cisco Secure Application から送信されます。
createdAt文字列脆弱性が最初に検出された時刻。この値はタイムスタンプ値と同じです。
lastSeenAt文字列脆弱性が最後に検出された時刻。
fixedAt文字列CVE 修復の日付。この値は CVE が修正されている場合にのみ使用できます。 
cveId文字列Common Vulnerability and Exposure ID。
packageName文字列脆弱性が検出されたライブラリの名前。 
packageVersion文字列脆弱性があるパッケージのバージョン。
fixedVersion文字列脆弱性が修正されたパッケージのバージョン。これは修復バージョンです。
属性タイプ説明
TenantIdint32AppDynamics コントローラがインストールされているサーバーのテナント ID。
TenantName文字列AppDynamics コントローラがインストールされているサーバーの名前。
ApplicationIdint32攻撃の影響を受けるアプリケーションの ID。
ApplicationName文字列攻撃の影響を受けるアプリケーションの名前。
ApplicationUuid文字列攻撃の影響を受けるアプリケーションの一意の ID。
タイムスタンプ文字列攻撃が検出された時刻。
SeverityNumberfloat32攻撃のリスクスコア。数値が高いほどリスクが高くなる。
NameString攻撃イベントの名前。
Resource文字列攻撃のエントリポイント。イベントをトリガーしたトランザクションでクライアントがアクセスした Web サーバーの URL。イベントタイプによっては、このフィールドが表示されない場合があります。
CreatedAt文字列攻撃が最初に検出された時点を示すタイムスタンプ。これはタイムスタンプと同じです。
LastSeenAt文字列攻撃が最後に検出された時刻。
MaliciousIpSource文字列

悪意のある IP リストの名前。これは、既知の悪意のある IP リストにあるクライアント IP アドレスから攻撃されている場合に使用できます。

現在、Talos の悪意のある IP リストがサポートされています。したがって、この属性には攻撃が Talos リストのクライアント IP からのものである場合、値 Talos が表示されます。