Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Questo articolo descrive come integrare Splunk con Microsoft Defender per IoT, per visualizzare le informazioni su Splunk e Defender per IoT in un'unica posizione.
La visualizzazione di entrambe le informazioni di Defender per IoT e Splunk offre agli analisti soc una visibilità multidimensionale sui protocolli OT specializzati e sui dispositivi IIoT distribuiti in ambienti industriali, insieme all'analisi comportamentale compatibile con ICS per rilevare rapidamente comportamenti sospetti o anomali.
Prima di iniziare, assicurarsi di avere un Defender per il sensore IoT OT distribuito e un ambiente Splunk configurato. Se si usa l'integrazione legacy, vedere la sezione Prerequisiti per requisiti specifici di versione e autorizzazione.
Se si esegue l'integrazione con Splunk, è consigliabile usare il componente aggiuntivo per la sicurezza OT di Splunk per Splunk. Per altre informazioni, vedere:
- Documentazione di Splunk sull'installazione di componenti aggiuntivi
- Documentazione di Splunk sul componente aggiuntivo per la sicurezza OT per Splunk
Il componente aggiuntivo per la sicurezza OT per Splunk è supportato sia per le integrazioni cloud che locali.
Integrare distribuzioni Splunk basate sul cloud con Defender per IoT
Consiglio
Le integrazioni di sicurezza basate sul cloud offrono diversi vantaggi rispetto alle soluzioni locali, ad esempio la gestione centralizzata e più semplice dei sensori e il monitoraggio centralizzato della sicurezza.
Altri vantaggi includono il monitoraggio in tempo reale, l'uso efficiente delle risorse, una maggiore scalabilità e robustezza, una migliore protezione dalle minacce alla sicurezza, una manutenzione e aggiornamenti semplificati e un'integrazione senza problemi con soluzioni di terze parti.
Per integrare un sensore connesso al cloud con Splunk, è consigliabile usare il componente aggiuntivo di sicurezza OT per Splunk.
Integrare le distribuzioni Splunk locali con Defender per IoT
Se si lavora con un sensore isolato dalla rete e gestito localmente, potrebbe anche essere utile configurarlo per inviare i file syslog direttamente a Splunk oppure usare l'API integrata di Defender for IoT.
Per altre informazioni, vedere:
- Inoltrare le informazioni sugli avvisi OT locali
- Informazioni di riferimento sulle API Defender per IoT
Configura l'integrazione legacy on-premises di Splunk
Le istruzioni seguenti descrivono come integrare Defender per IoT e Splunk usando l'applicazione Legacy CyberX ICS Threat Monitoring for Splunk.
Importante
L'applicazione CyberX ICS Threat Monitoring per Splunk legacy è supportata fino a ottobre 2024 con sensore versione 23.1.3 e non sarà supportata nelle prossime versioni principali del software.
Per i clienti che usano l'applicazione CyberX ICS Threat Monitoring per Splunk legacy, è consigliabile usare invece uno dei metodi seguenti:
- Usa il OT Security Add-on for Splunk
- Configurare il sensore OT per inoltrare gli eventi syslog
- Usare le API di Defender per IoT
Microsoft Defender per IoT era formalmente noto come CyberX. I riferimenti a CyberX fanno riferimento a Defender per IoT.
Prerequisiti
Prima di iniziare, assicurarsi di avere i prerequisiti seguenti:
| Prerequisiti | Descrizione |
|---|---|
| Requisiti di versione | Per l'esecuzione dell'applicazione sono necessarie le versioni seguenti: - Defender per IoT versione 2.4 e successive. - Splunkbase versione 11 e successive. - Splunk Enterprise versione 7.2 e successive. |
| Requisiti di autorizzazione | Assicurarsi di avere: - Accesso a un sensore OT di Defender per IoT come utente Admin. - Utente Splunk con un ruolo utente di livello Admin. |
Nota
L'applicazione Splunk può essere installata in locale ('Splunk Enterprise') o eseguita in un cloud ('Splunk Cloud'). L'integrazione di Splunk insieme a Defender per IoT supporta solo "Splunk Enterprise".
Scaricare l'applicazione Defender per IoT in Splunk
Per accedere all'applicazione Defender per IoT all'interno di Splunk, è necessario scaricare l'applicazione dall'archivio applicazioni Splunkbase.
Per accedere all'applicazione Defender per IoT in Splunk:
Vai allo store di applicazioni Splunkbase.
Cerca
CyberX ICS Threat Monitoring for Splunk.Selezionare l'applicazione CyberX ICS Threat Monitoring for Splunk.
Selezionare il PULSANTE ACCEDI PER SCARICARE.