Admin Console · Live

Löscht das Team aus allen Speichern: Lobby + Mitglieder, ES/SOAR-Endpunkte, Token, Event-Zuordnung; das Server-Paar geht zurück in den Pool. Die Scoring-Historie bleibt. Nicht möglich, solange eine Welle des Events läuft.

Ein Server-Paar = eine ES-Instanz (HEC + Search) und eine SOAR-Instanz. Tokens sind Write-only: sie werden gespeichert, aber nie wieder angezeigt.

Splunk Cloud oder on-prem? Die drei URLs unterscheiden sich in Hostname und Port: der Cloud-HEC liegt auf https://http-inputs-<stack>.splunkcloud.com (Port 443, nicht :8088; auf GCP/Azure mit Punkt statt Bindestrich), die Search-URL braucht in beiden Welten :8089 — in der Cloud erst, nachdem Splunk Support den Port freigeschaltet hat —, und SOAR in der Cloud läuft ohne :8443. Vollständige Plattform-Matrix in der Anleitung.

Der Index cta muss im Ziel-Splunk vor dem HEC-Token existieren — beim Anlegen des Tokens wird er als erlaubter Index ausgewählt. Fehlt er, antwortet der HEC später mit HTTP 400 Incorrect index und das Token muss neu angelegt werden. Splunk Cloud: Index von Hand anlegen; on-prem bringt ihn die cta-ops.spl mit.

ES-Search-Token: „Auth fehlgeschlagen“ heißt hier in der Praxis meistens abgelaufen — Splunk meldet abgelaufene, noch nicht gültige und ungültige Tokens identisch als call not properly authenticated. Die Gültigkeit wird beim Anlegen gesetzt: in Settings → Tokens → New Token das Feld Expiration ausfüllen (z. B. +30d) und Not Before leer lassen.

Bearbeiten: leeres Token-Feld = vorhandenes Token behalten.

Der ES-HEC-Test schreibt ein markiertes Wegwerf-Event (cta_selftest=true) in den cta-Index des Ziel-Splunk — nur so lässt sich das HEC-Token wirklich prüfen. ES-Search und SOAR werden nur gelesen (/services/server/info bzw. GET /rest/version).

Fleet-CSV — Spalten: pair_id,label,es_hec_url,es_hec_token,es_search_url,es_search_token,soar_base_url,soar_token,referee_token

In einer freien Zeile oben das Team wählen (nur Teams ohne Server-Paar) und „Zuweisen“ klicken. Die sechs Endpunkte werden dem Team hinterlegt, der Prep-Countdown startet. KEINE SOAR/ES-Schreibzugriffe — die Paare sind fertig installiert.

Standard: manuell. Eingeschaltet = ein freies Paar wird bei Team-Gründung / CSV-Import automatisch gebunden (Verhalten wie zuvor). –

Pro zugewiesenem Team ein vorkonfiguriertes cta-referee.tgz: Game-Server-URL, Team-ID, Team-Token und „TLS prüfen = aus“ sind im App-Manifest als Standardwerte hinterlegt — der Asset-Dialog in SOAR öffnet sich vorbelegt. Das Paket enthält das Team-Token im Klartext: nur als Admin laden, nur an das jeweilige Team weitergeben. Enrichment/Response bleiben generisch (Appliance/Rollout).