مراحل راه‌اندازی Tetragon و Splunk با OpenTelemetry Collector

1️⃣ راه‌اندازی Splunk و تنظیم HTTP Event Collector (HEC)

🔹 یک Splunk Enterprise یا Splunk Cloud داشته باشید.
🔹 این HEC را فعال کنید:

به Settings > Data Inputs > HTTP Event Collector بروید.
یک توکن جدید ایجاد کنید و Index مناسب را تنظیم کنید.
آدرس HEC معمولاً به این شکل است:

https://<your_splunk_hostname_or_ip>:8088/services/collector

2️⃣ راه‌اندازی Kubernetes و OpenTelemetry Collector

🔹 برای جمع‌آوری و ارسال لاگ‌های Kubernetes به Splunk، از Splunk OpenTelemetry Collector استفاده می‌کنیم.
🔹 این Collector را با Helm Chart مستقر کنید.
📌 ایجاد فایل values.yaml

این فایل شامل تنظیمات OpenTelemetry Collector برای ارسال داده‌ها به Splunk است:

clusterName: "my-k8s-cluster"

splunkPlatform:
endpoint: "https://<your_splunk_hostname_or_ip>:8088/services/collector"
token: "<your_hec_token>"
index: "kubernetes"
insecureSkipVerify: true
اگر از گواهی Self-Signed استفاده می‌کنید

logCollection:
enabled: true
excludePaths:
- "/var/log/containers/noisy-container*.log"

3️⃣ استقرار OpenTelemetry Collector در Kubernetes

helm repo add splunk-otel-collector https://signalfx.github.io/splunk-otel-collector-chart
helm install my-otel-collector splunk-otel-collector/splunk-otel-collector -f values.yaml

4️⃣ تأیید ارسال لاگ‌ها در Splunk

📌 در Splunk Search & Reporting، دستور زیر را اجرا کنید تا لاگ‌ها را مشاهده کنید:

index=kubernetes | stats count by host, source

📌 یکپارچه‌سازی Tetragon با Splunk

این Tetragon با جمع‌آوری لاگ‌های امنیتی و فرایندهای در حال اجرا، داده‌های حیاتی را به Splunk ارسال می‌کند.
🔹 ارسال لاگ‌های Tetragon به Splunk از طریق OpenTelemetry

📌 ایجاد tetragon-values.yaml برای تنظیمات Tetragon:

tetragon:
enabled: true
logLevel: "info"

exporters:
splunk_hec:
endpoint: "https://<your_splunk_hostname_or_ip>:8088"
token: "<your_hec_token>"
index: "tetragon"
source: "tetragon-security"
sourcetype: "_json"

📌 استقرار Tetragon با Helm:

helm install tetragon cilium/tetragon -f tetragon-values.yaml

5️⃣ ایجاد داشبورد امنیتی در Splunk

📌 اجرای Query برای نمایش فعالیت‌های مشکوک ثبت‌شده توسط Tetragon:

index=tetragon source="tetragon-security" | table timestamp, process, container, namespace, event_type

🔹 این Query نشان می‌دهد کدام پردازش‌ها در چه Namespace و کانتینری اجرا شده‌اند.
🎯 کاربردهای امنیتی Tetragon در Splunk

✅ تشخیص TLS ضعیف: پیدا کردن ارتباطات با Cipherهای ناامن
✅ ردیابی دسترسی به فایل‌های حساس: مثل /etc/shadow و /root/.ssh/
✅ شناسایی رفتار مشکوک در Pods: مثل اجرای bash در یک پاد غیرمنتظره
✅ ایجاد هشدارهای امنیتی در Splunk بر اساس داده‌های Tetragon
🔚 نتیجه‌گیری

🔹 اینTetragon با استفاده از OpenTelemetry Collector می‌تواند به Splunk متصل شود.
🔹 وSplunk می‌تواند لاگ‌های امنیتی Tetragon را تحلیل کند و هشدارهای لازم را ایجاد کند.
🔹 این یکپارچه‌سازی به تیم‌های امنیتی امکان نظارت دقیق بر فعالیت‌های مشکوک در Kubernetes را می‌دهد.

🚀 با این روش، می‌توان به یک سیستم SIEM قوی برای تحلیل رویدادهای امنیتی Kubernetes دست یافت.

#آکادمی_روزبه