Come inviare i webhook NinjaOne a un SIEM

NinjaOne tiene traccia delle azioni intraprese all’interno della piattaforma, e molte organizzazioni hanno bisogno di aggregare questi log in uno strumento di Security Information and Event Management, comunemente noto come SIEM. In questo blog viene illustrato come impostare il processo di trasmissione dei dati da NinjaOne a un SIEM utilizzando webhook NinjaOne che vengono forniti man mano che si verificano le attività. Puoi recuperare queste informazioni anche tramite l’API.

Cose da sapere sui webhook NinjaOne prima di iniziare

• I webhook NinjaOne consentono la trasmissione di eventi in tempo reale da NinjaOne al tuo strumento SIEM.
• Puoi configurare webhook per eventi specifici come avvisi sui dispositivi, condizioni dei criteri o notifiche specifiche relative ad integrazioni.
• Nel nostro esempio utilizziamo Splunk, ma qualsiasi strumento SIEM che permette di inserire webhook dovrebbe funzionare con questa metodologia.
• Le diverse integrazioni (ServiceNow, Zendesk ecc.) hanno metodi di configurazione dei webhook unici.

Sincronizzare i messaggi di attività

NinjaOne è configurato per lo streaming di webhook in un raccoglitore di eventi HTTP (HEC) di Splunk.

1. 1. Crea un raccoglitore di eventi HTTP (HEC) in Splunk come descritto qui. Questo è il meccanismo che riceverà i webhook NinjaOne. Durante il processo di creazione dell’HEC, verrà generato un token. Prendi nota di questo token perché NinjaOne ne avrà bisogno per l’autenticazione durante l’invio di webhook a Splunk.
   2. Accedi a NinjaOne (l’utente deve avere il ruolo di “amministratore di sistema” per eseguire questa azione) e vai su Amministrazione -> App -> API.
      1. Passa il mouse sul punto interrogativo accanto alla barra del titolo dell’API e clicca su “Documentazione API”
   3. Nello stessa scheda browser, vai su questo endpoint API.
      1. Dopo aver completato il passaggio 2, dovresti essere autenticato nella pagina web dei documenti API ed essere in grado di effettuare chiamate API.
   4. Leggi la documentazione relativa agli endpoint qui e decidi quali tipi di attività trasmettere a Splunk.
      1. Le attività in NinjaOne sono classificate in base al tipo di azione a cui si riferiscono: per esempio “CONDITION” recupera solo i log relativi agli avvisi e ai reset attivati, mentre “ACTIONSET” riguarda qualsiasi automazione in esecuzione o azione intrapresa da un tecnico.
      2. Non tutti i tipi di attività saranno rilevanti per le tue esigenze di raccolta dati, quindi seleziona solo quelli che devono essere registrati in Splunk. Inoltre, puoi aggiungere ulteriori informazioni utilizzando i parametri “EXPAND”.

1. 5. Personalizza questo esempio di payload
      1. Inserisci l’URL dell’HEC di Splunk creato al punto 1. Assicurati che l’URL finisca con /services/collector/raw affinché i webhook NinjaOne vengano analizzati correttamente.
      2. Personalizza i tipi di attività che vuoi trasmettere a Splunk. Tieni presente che ogni chiave ActivityType utilizza un “*” come valore nel payload JSON.
      3. Personalizza i parametri expand desiderati
      4. Inserisci il token creato per Splunk HEC al punto 1 nel “valore” sotto “intestazioni” nel payload JSON; “Splunk” deve precedere il token, per esempio Splunk 123456
   6. Nella scheda che hai aperto al punto 3, clicca su “Prova” e incolla il payload di esempio che è stato personalizzato nella casella “request body”. Clicca sul pulsante Esegui e, al termine, dovrebbe essere visibile una risposta 204.

In conclusione

Una volta completato questo processo, le attività di NinjaOne verranno inviate come webhook al SIEM, dove potranno essere processate. Nel menu Canali di notifica di NinjaOne, noterai una voce webhook senza nome. È importante che questa voce non venga modificata in alcun modo per garantire che i webhook vengano continuamente inviati al SIEM. In Generale -> Attività, troverai un’attività che può notificare se si sono verificati problemi con i webhook che falliscono o se il webhook viene disabilitato. Ti consigliamo di abilitare queste attività, in modo da poter identificare e risolvere rapidamente eventuali interruzioni dell’attività dei webhook NinjaOne.