Recoger registros de Citrix Analytics

Disponible en:

SecOps de Google SIEM

Nota: Esta función está cubierta por los Términos de las Ofertas Previas a la Disponibilidad General de los Términos Específicos del Servicio de Google Security Operations. Las funciones previas a la disponibilidad general pueden tener una asistencia limitada y los cambios que se produzcan en ellas podrían no ser compatibles con otras versiones previas a la disponibilidad general. Para obtener más información, consulta las directrices del servicio de asistencia técnica de Google SecOps y los Términos Específicos de los Servicios de Google SecOps.

En este documento se explica cómo ingerir registros de Citrix Analytics en Google Security Operations mediante Amazon S3.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Instancia de Google SecOps
• Acceso privilegiado al arrendatario de Citrix Analytics for Performance
• Acceso privilegiado a AWS (S3, IAM, Lambda y EventBridge)

Recoger los requisitos previos de Citrix Analytics

1. Inicia sesión en la consola de Citrix Cloud.
2. Ve a Identity and Access Management > API Access.
3. Haz clic en Crear cliente.
4. Copia y guarda en un lugar seguro los siguientes detalles:
   • ID de cliente
   • Secreto de cliente
   • ID de cliente (ubicado en la URL de Citrix Cloud o en la página de IAM)
   • URL base de la API: https://api.cloud.com/casodata

Configurar un segmento de AWS S3 y IAM para Google SecOps

1. Crea un segmento de Amazon S3 siguiendo esta guía de usuario: Crear un segmento.
2. Guarda el nombre y la región del segmento para consultarlos más adelante (por ejemplo, citrix-analytics-logs).
3. Crea un usuario siguiendo esta guía: Crear un usuario de gestión de identidades y accesos.
4. Selecciona el Usuario creado.
5. Selecciona la pestaña Credenciales de seguridad.
6. En la sección Claves de acceso, haz clic en Crear clave de acceso.
7. Selecciona Servicio de terceros como Caso práctico.
8. Haz clic en Siguiente.
9. Opcional: añade una etiqueta de descripción.
10. Haz clic en Crear clave de acceso.
11. Haz clic en Descargar archivo CSV para guardar la clave de acceso y la clave de acceso secreta para usarlas más adelante.
12. Haz clic en Listo.
13. Selecciona la pestaña Permisos.
14. En la sección Políticas de permisos, haz clic en Añadir permisos.
15. Selecciona Añadir permisos.
16. Seleccione Adjuntar políticas directamente.
17. Busca y selecciona la política AmazonS3FullAccess.
18. Haz clic en Siguiente.
19. Haz clic en Añadir permisos.

Configurar la política y el rol de gestión de identidades y accesos para las subidas de S3

1. En la consola de AWS, ve a IAM > Policies > Create policy > pestaña JSON.

2. Introduce la siguiente política:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowPutObjects",
         "Effect": "Allow",
         "Action": "s3:PutObject",
         "Resource": "arn:aws:s3:::citrix-analytics-logs/*"
       },
       {
         "Sid": "AllowGetStateObject",
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::citrix-analytics-logs/citrix_analytics/state.json"
       }
     ]
   }
   

   • Sustituye citrix-analytics-logs si has introducido otro nombre de segmento.

3. Haz clic en Siguiente > Crear política.

4. Ve a IAM > Roles > Crear rol > Servicio de AWS > Lambda.

5. Adjunte la política que acaba de crear.

6. Dale el nombre CitrixAnalyticsLambdaRole al rol y haz clic en Crear rol.

Crear la función Lambda

1. En la consola de AWS, ve a Lambda > Funciones > Crear función.
2. Haz clic en Crear desde cero.

3. Proporciona los siguientes detalles de configuración:

   Ajuste	Valor
   Nombre	CitrixAnalyticsCollector
   Tiempo de ejecución	Python 3.13
   Arquitectura	x86_64
   Rol de ejecución	CitrixAnalyticsLambdaRole

4. Una vez creada la función, abra la pestaña Código, elimine el stub e introduzca el siguiente código (CitrixAnalyticsCollector.py):

   import os
   import json
   import uuid
   import datetime
   import urllib.parse
   import urllib.request
   import boto3
   import botocore
   
   CITRIX_TOKEN_URL_TMPL = "https://api.cloud.com/cctrustoauth2/{customerid}/tokens/clients"
   DEFAULT_API_BASE = "https://api.cloud.com/casodata"
   
   s3 = boto3.client("s3")
   
   def _http_post_form(url, data_dict):
       """POST form data to get authentication token."""
       data = urllib.parse.urlencode(data_dict).encode("utf-8")
       req = urllib.request.Request(url, data=data, headers={
           "Accept": "application/json",
           "Content-Type": "application/x-www-form-urlencoded",
       })
       with urllib.request.urlopen(req, timeout=30) as response:
           return json.loads(response.read().decode("utf-8"))
   
   def _http_get_json(url, headers):
       """GET JSON data from API endpoint."""
       req = urllib.request.Request(url, headers=headers)
       with urllib.request.urlopen(req, timeout=60) as response:
           return json.loads(response.read().decode("utf-8"))
   
   def get_citrix_token(customer_id, client_id, client_secret):
       """Get Citrix Cloud authentication token."""
       url = CITRIX_TOKEN_URL_TMPL.format(customerid=customer_id)
       payload = {
           "grant_type": "client_credentials",
           "client_id": client_id,
           "client_secret": client_secret,
       }
       token_response = _http_post_form(url, payload)
       return token_response["access_token"]
   
   def fetch_odata_entity(entity, when_utc, top, headers, api_base):
       """Fetch data from Citrix Analytics OData API with pagination."""
       year = when_utc.year
       month = when_utc.month
       day = when_utc.day
       hour = when_utc.hour
   
       base_url = f"{api_base.rstrip('/')}/{entity}?year={year:04d}&month={month:02d}&day={day:02d}&hour={hour:02d}"
       skip = 0
   
       while True:
           url = f"{base_url}&$top={top}&$skip={skip}"
           data = _http_get_json(url, headers)
           items = data.get("value", [])
   
           if not items:
               break
   
           for item in items:
               yield item
   
           if len(items) < top:
               break
   
           skip += top
   
   def read_state_file(bucket, state_key):
       """Read the last processed timestamp from S3 state file."""
       try:
           obj = s3.get_object(Bucket=bucket, Key=state_key)
           content = obj["Body"].read().decode("utf-8")
           state = json.loads(content)
           timestamp_str = state.get("last_hour_utc")
           if timestamp_str:
               return datetime.datetime.fromisoformat(timestamp_str.replace("Z", "+00:00")).replace(tzinfo=None)
       except botocore.exceptions.ClientError as e:
           if e.response["Error"]["Code"] == "NoSuchKey":
               return None
           raise
       return None
   
   def write_state_file(bucket, state_key, dt_utc):
       """Write the current processed timestamp to S3 state file."""
       state_data = {"last_hour_utc": dt_utc.isoformat() + "Z"}
       s3.put_object(
           Bucket=bucket, 
           Key=state_key,
           Body=json.dumps(state_data, separators=(",", ":")),
           ContentType="application/json"
       )
   
   def write_ndjson_to_s3(bucket, key, records):
       """Write records as NDJSON to S3."""
       body_lines = []
       for record in records:
           json_line = json.dumps(record, separators=(",", ":"), ensure_ascii=False)
           body_lines.append(json_line)
   
       body = ("n".join(body_lines) + "n").encode("utf-8")
       s3.put_object(
           Bucket=bucket, 
           Key=key, 
           Body=body, 
           ContentType="application/x-ndjson"
       )
   
   def lambda_handler(event, context):
       """Main Lambda handler function."""
   
       # Environment variables
       bucket = os.environ["S3_BUCKET"]
       prefix = os.environ.get("S3_PREFIX", "").strip("/")
       state_key = os.environ.get("STATE_KEY") or f"{prefix}/state.json"
       customer_id = os.environ["CITRIX_CUSTOMER_ID"]
       client_id = os.environ["CITRIX_CLIENT_ID"]
       client_secret = os.environ["CITRIX_CLIENT_SECRET"]
       api_base = os.environ.get("API_BASE", DEFAULT_API_BASE)
       entities = [e.strip() for e in os.environ.get("ENTITIES", "sessions,machines,users").split(",") if e.strip()]
       top_n = int(os.environ.get("TOP_N", "1000"))
       lookback_minutes = int(os.environ.get("LOOKBACK_MINUTES", "75"))
   
       # Determine target hour to collect
       now = datetime.datetime.utcnow()
       fallback_target = (now - datetime.timedelta(minutes=lookback_minutes)).replace(minute=0, second=0, microsecond=0)
   
       last_processed = read_state_file(bucket, state_key)
       if last_processed:
           target_hour = last_processed + datetime.timedelta(hours=1)
       else:
           target_hour = fallback_target
   
       # Get authentication token
       token = get_citrix_token(customer_id, client_id, client_secret)
       headers = {
           "Authorization": f"CwsAuth bearer={token}",
           "Citrix-CustomerId": customer_id,
           "Accept": "application/json",
           "Content-Type": "application/json",
       }
   
       total_records = 0
   
       # Process each entity type
       for entity in entities:
           records = []
   
           for row in fetch_odata_entity(entity, target_hour, top_n, headers, api_base):
               enriched_record = {
                   "citrix_entity": entity,
                   "citrix_hour_utc": target_hour.isoformat() + "Z",
                   "collection_timestamp": datetime.datetime.utcnow().isoformat() + "Z",
                   "raw": row
               }
               records.append(enriched_record)
   
               # Write in batches to avoid memory issues
               if len(records) >= 1000:
                   s3_key = f"{prefix}/{entity}/year={target_hour.year:04d}/month={target_hour.month:02d}/day={target_hour.day:02d}/hour={target_hour.hour:02d}/part-{uuid.uuid4().hex}.ndjson"
                   write_ndjson_to_s3(bucket, s3_key, records)
                   total_records += len(records)
                   records = []
   
           # Write remaining records
           if records:
               s3_key = f"{prefix}/{entity}/year={target_hour.year:04d}/month={target_hour.month:02d}/day={target_hour.day:02d}/hour={target_hour.hour:02d}/part-{uuid.uuid4().hex}.ndjson"
               write_ndjson_to_s3(bucket, s3_key, records)
               total_records += len(records)
   
       # Update state file
       write_state_file(bucket, state_key, target_hour)
   
       return {
           "statusCode": 200,
           "body": json.dumps({
               "success": True,
               "hour_collected": target_hour.isoformat() + "Z",
               "records_written": total_records,
               "entities_processed": entities
           })
       }
   

5. Ve a Configuración > Variables de entorno > Editar > Añadir nueva variable de entorno.

6. Introduce las siguientes variables de entorno y sustituye los valores por los tuyos:

   Clave	Valor de ejemplo
   S3_BUCKET	citrix-analytics-logs
   S3_PREFIX	citrix_analytics
   STATE_KEY	citrix_analytics/state.json
   CITRIX_CLIENT_ID	your-client-id
   CITRIX_CLIENT_SECRET	your-client-secret
   API_BASE	https://api.cloud.com/casodata
   CITRIX_CUSTOMER_ID	your-customer-id
   ENTITIES	sessions,machines,users
   TOP_N	1000
   LOOKBACK_MINUTES	75

7. Una vez creada la función, permanece en su página (o abre Lambda > Funciones > CitrixAnalyticsCollector).

8. Seleccione la pestaña Configuración.

9. En el panel Configuración general, haz clic en Editar.

10. Cambia Tiempo de espera a 5 minutos (300 segundos) y haz clic en Guardar.

    Nota: El tiempo de espera es un límite superior estricto, lo que significa que, si la función sigue ejecutándose cuando el temporizador llegue a los 5 minutos, AWS Lambda la finalizará. Si la ejecución es más corta, se completará con normalidad y solo se te cobrará por el tiempo de ejecución real.

Crear una programación de EventBridge

1. Ve a Amazon EventBridge > Scheduler > Create schedule (Amazon EventBridge > Programador > Crear programación).
2. Proporcione los siguientes detalles de configuración:
   • Programación periódica: tarifa (1 hour)
   • Destino: tu función Lambda CitrixAnalyticsCollector
   • Nombre: CitrixAnalyticsCollector-1h
3. Haz clic en Crear programación.

Opcional: Crear un usuario y claves de gestión de identidades y accesos de solo lectura para Google SecOps

1. En la consola de AWS, ve a IAM > Usuarios > Añadir usuarios.
2. Haz clic en Add users (Añadir usuarios).
3. Proporcione los siguientes detalles de configuración:
   • Usuario: secops-reader
   • Tipo de acceso: clave de acceso (acceso programático)
4. Haz clic en Crear usuario.
5. Asigna una política de lectura mínima (personalizada): Usuarios > secops-reader > Permisos > Añadir permisos > Asignar políticas directamente > Crear política.

6. En el editor de JSON, introduce la siguiente política:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["s3:GetObject"],
         "Resource": "arn:aws:s3:::citrix-analytics-logs/*"
       },
       {
         "Effect": "Allow",
         "Action": ["s3:ListBucket"],
         "Resource": "arn:aws:s3:::citrix-analytics-logs"
       }
     ]
   }
   

7. Asigna el nombre secops-reader-policy.

8. Ve a Crear política > busca o selecciona > Siguiente > Añadir permisos.

9. Ve a Credenciales de seguridad > Claves de acceso > Crear clave de acceso.

10. Descarga el archivo CSV (estos valores se introducen en el feed).

Configurar un feed en Google SecOps para ingerir registros de Citrix Analytics

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en + Añadir nuevo feed.
3. En el campo Nombre del feed, introduce un nombre para el feed (por ejemplo, Citrix Analytics Performance logs).
4. Selecciona Amazon S3 V2 como Tipo de fuente.
5. Seleccione Citrix Analytics como Tipo de registro.
6. Haz clic en Siguiente.
7. Especifique los valores de los siguientes parámetros de entrada:
   • URI de S3: s3://citrix-analytics-logs/citrix_analytics/
   • Opciones de eliminación de la fuente: selecciona la opción de eliminación que prefieras.
   • Antigüedad máxima del archivo: incluye los archivos modificados en los últimos días. Valor predeterminado: 180 días.
   • ID de clave de acceso: clave de acceso de usuario con acceso al bucket de S3.
   • Clave de acceso secreta: clave secreta del usuario con acceso al bucket de S3.
   • Espacio de nombres de recursos: el espacio de nombres de recursos.
   • Etiquetas de ingestión: la etiqueta aplicada a los eventos de este feed.
8. Haz clic en Siguiente.
9. Revise la configuración de la nueva fuente en la pantalla Finalizar y, a continuación, haga clic en Enviar.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.