Partager via

[Déconseillé] Connecteur Citrix ADC (ancien NetScaler) pour Microsoft Sentinel

  • Article

Important

La collecte de journaux dans un grand nombre d’appliances et d’appareils est désormais prise en charge par le CEF (Common Event Format) via AMA, Syslog via AMA ou les journaux personnalisés via le connecteur de données AMA dans Microsoft Sentinel. Pour plus d’informations, consultez Rechercher votre connecteur de données Microsoft Sentinel.

Le connecteur de données Citrix ADC (anciennement NetScaler) offre la possibilité d’ingérer des journaux Citrix ADC dans Microsoft Sentinel. Si vous souhaitez ingérer des journaux d’activité Citrix WAF dans Microsoft Sentinel, reportez-vous à cette documentation

Ce contenu est généré automatiquement. Pour toute modification, contactez le fournisseur de la solution.

Attributs du connecteur

Attribut du connecteur Description
Table(s) Log Analytics syslog
Support des Règles de collecte de données Règles de collecte de données pour la transformation de l’espace de travail
Pris en charge par Microsoft Corporation

Exemples de requête

10 principaux types d’événements

CitrixADCEvent

| where isnotempty(EventType)
 
| summarize count() by EventType

| top 10 by count_

Instructions d’installation du fournisseur

Notes

  1. Ce connecteur de données dépend, pour fonctionner comme prévu, d’un analyseur basé sur une fonction Kusto et déployé dans le cadre de la solution. Pour afficher le code de fonction dans Log Analytics, ouvrez le panneau Journaux Log Analytics/Microsoft Sentinel, cliquez sur Fonctions, recherchez l’alias CitrixADCEvent et chargez le code de fonction ou cliquez ici. Cette fonction mappe des événements Citrix ADC (anciennement NetScaler) à Advanced Security Information Model ASIM. L’activation de la fonction prend généralement 10 à 15 minutes après l’installation ou la mise à jour de la solution.

Remarque

  1. Cet analyseur nécessite une Watchlist nommée Sources_by_SourceType

i. Si vous n’avez pas encore créé de Watchlist, cliquez ici pour en créer.

ii. Ouvrez Watchlist Sources_by_SourceType et ajoutez des entrées pour cette source de données.

iii. La valeur SourceType pour CitrixADC est CitrixADC.

Consultez cette documentation pour plus d’informations

  1. Installer et intégrer l'agent pour Linux

En règle générale, vous devez installer l’agent sur un ordinateur différent de celui sur lequel les journaux sont générés.

Les journaux Syslog sont collectés uniquement à partir d’agents Linux.

  1. Configurer les journaux à collecter

Configurez les installations à collecter et leurs gravités.

  1. Sous Configuration dans les paramètres avancés de l’espace de travail, sélectionnez Données, puis Syslog.

  2. Sélectionnez Appliquer la configuration ci-dessous à mes machines, puis sélectionnez les installations et les gravités.

  3. Cliquez sur Enregistrer.

  4. Configurer Citrix ADC pour transférer les journaux via Syslog

3.1 Accédez à l’onglet Configuration > Système > Audit > Syslog > onglet Serveurs

3.2 Spécifiez le Nom de l’action Syslog.

3.3 Définissez l’adresse IP du serveur et du port Syslog distants.

3.4 Définissez le Type de transport sur TCP ou UDP en fonction de la configuration de votre serveur Syslog distant.

3.5 Pour plus d’informations, consultez la documentation sur Citrix ADC (anciennement NetScaler).

  1. Vérifier les journaux dans Microsoft Azure Sentinel

Ouvrez Log Analytics pour vérifier si les journaux sont reçus à l’aide du schéma Syslog.

REMARQUE : il peut falloir jusqu’à 15 minutes avant que les nouveaux journaux s’affichent dans la table Syslog.

Étapes suivantes

Pour plus d’informations, accédez à la solution associée dans la Place de marché Azure.