Configure um Splunk Integração TCP para Análise de logs de integridade

  • Versão de lançamento: Zurich
  • Atualizado 31 de jul. de 2025
  • 3 min. de leitura

    • Configure uma integração para transmitir mensagens de log para seu ServiceNow Instância no protocolo de transporte TCP usando um Splunk forwarder pesado. Análise de logs de integridade processa os dados de log ingeridos.

    Antes de Iniciar

    • Verifique se um MID Server Está instalado e configurado com o recurso de ingestão de log habilitado. Para obter mais informações, consulte MID Server system requirements.

      Configuração DO MID Server com o recurso de ingestão de log habilitado.

      Importante:
      Análise de logs de integridade Não é compatível com IPv6. Para trabalhar com a aplicação, configure o. MID Server Para IPv4.
    • . MID Server O endereço IP é exposto por meio da conversão de endereços de rede (NAT), de um balanceador de carga ou de um dispositivo semelhante, o. MID Server Deve ter um endereço IP público para ser acessado por clientes externos, como Filebeat agentes, localizados fora de sua rede. Endereços IP privados não são roteáveis pela Internet, portanto, sem um IP público, esses clientes externos não podem se conectar ao MID Server mesmo se eles estiverem configurados com seu endereço. Em MID Server, adicione uma propriedade chamada mid.public_ipCom o endereço IP público como o valor. Para obter mais informações, consulte Crie uma propriedade do MID Server .
      Nota:
      . MID Server E os clientes externos estão na mesma rede, um IP público não é necessário e as conexões podem ser feitas usando o endereço IP privado.
    • Para enviar seus logs criptografados usando SSL TLS, consulte Streaming de dados com rsyslog e Filebeat usando SSL [KB0866319] artigo no Now Support Base de conhecimento.
    • . MID Server deve oferecer suporte à autenticação básica.
      Nota:
      MTLS não é compatível com ingestão de log.
    • Não mais do que o máximo padrão de 10 integrações transmitirá logs para uma única MID Server. Você pode modificar o número máximo adicionando a propriedade sn.occ.log_ingestion.max_datainputs_per_mid para MID Server e, em seguida, mudar o valor padrão.

      Para descobrir quantas entradas de dados estão transmitindo logs para o mesmo MID Server, navegue até Fontes de streaming e contar as entradas de dados que são transmitidas para um específico MID Server.

    Função necessária: evt_mgmt_admin

    Procedimento

    1. Navegar até Espaços > Espaço de operações de serviços.
    2. No painel esquerdo, selecione o ícone do Launchpad de integrações: Ícone do Launchpad de integração.
    3. Em Procurar integrações , insira Splunk no campo de pesquisa.
    4. Selecione Splunk Bloco de integração TCP.
      Nota:
      Se você iniciar uma configuração de integração antes de atender a todos os pré-requisitos, uma mensagem será exibida. Você pode cancelar a configuração e concluir os requisitos anteriores primeiro ou continuar no modo de rascunho e concluí-los mais tarde. Observe que você não pode ativar a integração até que todos os pré-requisitos sejam atendidos.
    5. Em Forneça detalhes preencha os campos.
      Para obter uma descrição dos campos, consulte Forneça detalhes tabela em Splunk Campos de configuração de integração TCP.
    6. Opcional: Selecione Configurações avançadas e preencha os campos de configuração avançada.
      Para obter uma descrição dos campos, consulte Configurações avançadas tabela em Splunk Campos de configuração de integração TCP.
    7. Selecione Avançar.
    8. Siga o procedimento em Instrução de configuração tela para instalar a integração no console de terceiros.
      Nota:
      O procedimento varia de acordo com suas configurações.
    9. Selecione Salvar rascunho .
    10. Selecione Ativar para ativar a integração.
      Nota:
      Você só pode ativar uma integração configurada quando tiver atendido a todos os pré-requisitos listados na seção Antes de começar.
      A integração é ativada e o Visão geral é exibida.
    11. Opcional: Se você instalou a integração no modo de rascunho, execute estas etapas para ativá-la:
      1. Conclua os pré-requisitos de integração.
      2. Em Integrations Launchpad Integrações instaladas , em Aguardando sua ação , localize e selecione a integração.
      3. Em Instrução de configuração , selecione Ativar para ativar a integração.

    Resultado

    Os dados de log começam a ser transmitidos para seu ServiceNow instância. O bloco da integração está disponível no Integrações instaladas no Integrations Launchpad.

    O que Fazer Depois

    Aproveite as informações no Visão geral para refinar como HLA lê os dados do log. Para obter mais informações, consulte Revise os dados de streaming de log e ajuste as configurações de integração em Análise de logs de integridade.
    Dica:
    Use o menu Mais opções ( ) para abrir o. Mapeamento de entrada de dados , Estruturas de tipo de origem ou Origens de log páginas com contexto da integração. Se os dados de log não estiverem mapeados, estruturados ou originados corretamente, volte e ajuste a configuração. . Espaço de operações de serviços Análise de logs A aplicação está instalada, o menu Mais opções também fornece acesso direto ao Visualizador de logs , onde você pode revisar mensagens de log brutas ingeridas pela integração.
    Para obter mais informações, consulte: