Integrationsanleitung für Splunk

Verbinde Splunk mit der WeTransfer Activity Events API und sende die Ereignisse deines Arbeitsbereichs an dein SIEM.

Was du brauchst

• Ein Activity API-Token — siehe Generate an API token im Haupt‑Activity‑Log‑Leitfaden
• Eine Splunk Enterprise‑Instanz (Cloud oder selbst gehostet), Version 9.x oder neuer

Schritt 1 — Installiere das REST API Modular Input‑Add‑on

Die Integration verwendet das REST API Modular Input Add‑on von BaboonBones Ltd (Damien Dallimore), das auf Splunkbase verfügbar ist.

1. Öffne in der Splunk‑Web‑UI Apps → Find More Apps
2. Suche nach REST API Modular Input und installiere es von Splunkbase
3. Starte Splunk neu, wenn du dazu aufgefordert wirst

Schritt 2 — Konfiguriere einen neuen REST‑Input

Gehe zu Settings → Data inputs → REST → New und fülle das Formular mit den untenstehenden Werten aus. Die Feldnamen entsprechen den vom Add‑on angezeigten Bezeichnungen.

Schritt 3 — Füge den benutzerdefinierten Response‑Handler hinzu

Der WeTransfer‑Endpunkt liefert ein einzelnes JSON‑Objekt mit einem events[]‑Array und einem next_cursor. Standardmäßig indexiert das REST‑Add‑on die gesamte Antwort als ein einziges Splunk‑Event. Um ein Splunk‑Event pro WeTransfer‑Aktivitätsereignis zu erhalten, füge einen kleinen benutzerdefinierten Response‑Handler hinzu.

Bearbeite $SPLUNK_HOME/etc/apps/rest_ta/bin/responsehandlers.py und füge Folgendes hinzu:

class WTActivityEventHandler:
    """Splits the WeTransfer activity-events response (dict with events[]) into one Splunk event per WT event."""
    def __init__(self, **args):
        pass

    def __call__(self, response_object, raw_response_output, response_type, req_args, endpoint, oauth2=None):
        if response_type == "json":
            output = json.loads(raw_response_output)
            for entry in output.get("events", []):
                print_xml_stream(json.dumps(entry))
        else:
            print_xml_stream(raw_response_output)

Starte Splunk nach dem Bearbeiten der Datei neu.

Schritt 4 — Überprüfung der Aufnahme

Gib in der Splunk‑Suchleiste Folgendes ein:

index=<your-index> sourcetype=wetransfer:activity | head 20

Du solltest pro WeTransfer‑Aktivitätsereignis ein Splunk‑Event sehen, mit den sichtbaren Feldern: event_id, event_type, actor_email, actor_id, ip_address, country_code, created_at, target.* und data.*.

Schritt 5 — Hinweise zur Paginierung

• Das REST‑Add‑on folgt dem next_cursor nicht automatisch. Zum Nachfüllen großer historischer Bereiche führe ein einmaliges Skript aus, das über den next_cursor paginiert, bis has_more false ist, und richte das Add‑on anschließend auf die Gegenwart aus.
• Für die laufende Ingestion ist ein Abfrageintervall von 60 s für typische Arbeitsbereiche ausreichend — Ereignisse pro Minute passen normalerweise auf eine Seite, sodass das Folgen des Cursors nicht nötig ist. Für Arbeitsbereiche mit höherem Volumen siehe die obenstehende Notiz zum Nachfüllen.
• Der Endpunkt liefert maximal 100 Ereignisse pro Antwort (Standard 50).

Alarme erstellen

Sobald Ereignisse eingehen, kannst du Alarme auf Basis der wetransfer:activity-Daten mit Splunks integrierten gespeicherten Suchen und Alert‑Funktionen erstellen. Das Erstellen von Erkennungsregeln ist arbeitsbereichs‑ und richtlinienabhängig, daher solltest du Splunks eigene Dokumentation zu den in deiner Version verfügbaren Alarmoptionen konsultieren.

Fehlerbehebung

Die meisten Splunk‑seitigen Probleme mit dieser Integration erscheinen in $SPLUNK_HOME/var/log/splunk/restmodinput*.log — prüfe dort zuerst, wenn etwas nicht stimmt.