Guide d’intégration Splunk

Connectez Splunk à l’API WeTransfer Activity Events et transmettez les événements de votre espace de travail vers votre SIEM.

Ce dont vous aurez besoin

• Un jeton Activity API — voir Generate an API token dans le guide principal du journal d’activité
• Une instance Splunk Enterprise (Cloud ou auto‑hébergée), version 9.x ou ultérieure

Étape 1 — Installer le module complémentaire REST API Modular Input

L’intégration repose sur le module complémentaire REST API Modular Input de BaboonBones Ltd (Damien Dallimore), disponible sur Splunkbase.

1. Dans l’interface web de Splunk, ouvrez Apps → Find More Apps
2. Recherchez REST API Modular Input et installez‑le depuis Splunkbase
3. Redémarrez Splunk lorsque vous y êtes invité

Étape 2 — Configurer une nouvelle entrée REST

Allez dans Settings → Data inputs → REST → New et remplissez le formulaire avec les valeurs ci‑dessous. Les noms des champs correspondent aux libellés affichés par le module complémentaire.

Étape 3 — Ajouter le gestionnaire de réponse personnalisé

Le point de terminaison WeTransfer renvoie un seul objet JSON contenant un tableau events[] et un next_cursor. Par défaut, le module complémentaire REST indexe toute la réponse comme un seul événement Splunk. Pour obtenir un événement Splunk par événement d’activité WeTransfer, ajoutez un petit gestionnaire de réponse personnalisé.

Éditez $SPLUNK_HOME/etc/apps/rest_ta/bin/responsehandlers.py et ajoutez :

class WTActivityEventHandler:
    """Splits the WeTransfer activity-events response (dict with events[]) into one Splunk event per WT event."""
    def __init__(self, **args):
        pass

    def __call__(self, response_object, raw_response_output, response_type, req_args, endpoint, oauth2=None):
        if response_type == "json":
            output = json.loads(raw_response_output)
            for entry in output.get("events", []):
                print_xml_stream(json.dumps(entry))
        else:
            print_xml_stream(raw_response_output)

Redémarrez Splunk après avoir modifié le fichier.

Étape 4 — Vérifier l’ingestion

Dans la barre de recherche Splunk, exécutez :

index=<your-index> sourcetype=wetransfer:activity | head 20

Vous devriez voir un événement Splunk par événement d’activité WeTransfer, avec les champs suivants visibles : event_id, event_type, actor_email, actor_id, ip_address, country_code, created_at, target.* et data.*.

Étape 5 — Remarques sur la pagination

• Le module complémentaire REST ne suit pas automatiquement le next_cursor. Pour rétroremplir de larges plages historiques, exécutez un script ponctuel qui parcourt le next_cursor jusqu’à ce que has_more soit false, puis pointez le module complémentaire vers le présent.
• Pour l’ingestion continue, un intervalle de sondage de 60 s suffit pour les espaces de travail typiques — les événements par minute tiennent généralement sur une seule page, donc le suivi du curseur n’est pas nécessaire. Pour les espaces de travail à volume élevé, consultez la remarque sur le rétroremplissage ci‑dessus.
• Le point de terminaison renvoie au maximum 100 événements par réponse (par défaut 50).

Mettre en place des alertes

Une fois que les événements sont ingérés, vous pouvez créer des alertes à partir des données wetransfer:activity en utilisant les fonctionnalités intégrées de Splunk pour les recherches enregistrées et les alertes. La conception des détections dépend de l’espace de travail et des politiques ; consultez la documentation de Splunk pour les options d’alerte disponibles dans votre version.

Dépannage

La plupart des problèmes côté Splunk liés à cette intégration apparaissent dans $SPLUNK_HOME/var/log/splunk/restmodinput*.log — vérifiez d’abord ce fichier lorsque quelque chose semble anormal.