Splunk Enterprise イベントの取り込み統合での手動イベント取り込み用の Splunk 環境設定

この統合のために Splunk Enterprise コンソールから手動でオンデマンドでイベントをエクスポートする場合は、ServiceNow Security Operations Event Ingestion Addon for Splunk Enterprise アプリケーションを Splunk Enterprise コンソールまたは Splunk クラウドインスタンスにインストールして設定します。

始める前に

手動イベントの取り込みに必要な splunkbase からのアドオンプラグインをインストールする前に、ServiceNow Store からこの統合用のアプリケーションがインストールされていることを確認してください。ServiceNow Store から統合用のアプリケーションをインストールしていない場合は、「Splunk Enterprise Event Ingestion 統合用の ServiceNow アプリケーションのインストールと設定」を参照し、手順に従ってインストールします。

必要なロール：ServiceNow AI Platform アドミニストレーター (admin)

このタスクについて

ServiceNow Security Operations Event Ingestion Addon のインストールと設定はオプションです。

統合用に Splunk Enterprise コンソールから手動でオンデマンドでイベントをエクスポートする場合は、ServiceNow Security Operations Event Ingestion Addon for Splunk Enterprise を Splunk Enterprise コンソールにインストールして設定します。

この ServiceNow 拡張アドオンは、ServiceNow AI Platform インスタンスにある手動でエクスポートされたイベントからセキュリティインシデントを作成するために必要です。ServiceNow Security Operations Event Ingestion Addon for Splunk Enterprise アプリケーションは splunkbase で入手できます。

手動イベント転送の場合は、Splunk Enterprise コンソールで最大 2 つの異なる ServiceNow AI Platform エンドポイント (インスタンス) を特定できます。イベントをエンドポイントに手動で転送して、セキュリティインシデントを作成します。たとえば、ステージング (開発) インスタンスと本番インスタンスの両方を指定できます。個別のインスタンスを指定し、各インスタンスのプライマリおよびセカンダリワークフローに名前を付けることで、さまざまなイベントの転送先を選択できます。

手順

1. ServiceNow Security Operations Event Ingestion Addon for Splunk Enterprise をまだインストールしていない場合は、次のステップに従ってインストールして設定します。
   1. splunkbase に移動します。
   2. ServiceNow セキュリティオペレーション Security Operations Event Ingestion Addon for Splunk Enterprise を検索します。
      注:

      ServiceNow セキュリティオペレーション Event Ingestion Addon for Splunk Enterprise を選択していることを確認します。このリストに表示される追加の ServiceNow アドオンがあります。これらのアドオンはさまざまな ServiceNow Splunk 統合用であり、この統合には必要ありません。
   3. アプリケーションをダウンロードします。
   4. Splunk Enterprise アカウントを開きます。
   5. [アプリ] ページで、メニュードロップダウンリストの歯車アイコンまたは [アプリを管理] ショートカットをクリックします。
   6. 表示される [アプリ] ページの左上で、[ファイルからアプリをインストール] をクリックします。
   7. [ファイルを選択] をクリックし、ServiceNow Security Operations Event Ingestion Addon for Splunk Enterprise を選択して、[アップロード] をクリックします。
   8. プロンプトが表示されたら、Splunk Enterprise を再起動します。
      ServiceNow Security Operations Event Ingestion Addon for Splunk Enterprise が Splunk Enterprise Enterprise コンソールにインストールされます。次のステップでは、アドオンを設定します。
2. アドオンを設定するには、次のステップを実行します。
   1. Splunk Enterprise で、メニュードロップダウンリストの [アプリ] 歯車アイコンまたは [アプリを管理] をクリックします。
   2. 表示されるアプリケーションのリストの [アクション] 列で、ServiceNow セキュリティオペレーション Event Ingestion Addon for Splunk Enterprise の [セットアップ] をクリックします。
   3. フォームに記入します。
      次の図は、Splunk Enterprise コンソールの完成したフォームの例です。

      

   [ServiceNow プライマリインスタンスを指定] セクションのフィールド	説明
   ワークフローアクションラベル	本番 (プライマリ) インスタンスの ServiceNow AI Platform ワークフローの名前。この名前は、Splunk イベントを監視しているユーザーがプライマリインスタンス (ServiceNow Event Ingestion (本番)) として特定する ServiceNow AI Platform インスタンスの名前です。 このフィールドのデフォルトは [ServiceNow Event Ingestion (本番)] です。 Splunk Enterprise コンソールで、このワークフロー名は、検索の展開された [イベントアクション] ドロップダウンリストの本番 (プライマリ) インスタンスに表示されます。この名前は本番インスタンスの名前です。その名前を編集できます。
   URL	前のワークフローアクションラベルフィールドに入力した ServiceNow AI Platform インスタンスの URL。 ブラウザーで URL をコピーして、フォームのこのフィールドに貼り付けます。
   エンドポイント	ベース API パス。詳細については、テーブルの下の図を参照してください。 ServiceNow AI Platform 本番インスタンスのエンドポイントの値がない場合は、次のステップを実行します。 システムアドミニストレーター (admin) ロールを持つユーザーとして ServiceNow AI Platform 本番インスタンスにログインします。 ナビゲーションパネルに「スクリプト済み REST API」と入力します。 ナビゲーションパネルが更新されたら、表示される [スクリプト済み REST API] モジュールを選択します。 表示される [スクリプト済み REST API] リストの [名前] 列に Event Ingestion が表示されない場合は、上部の検索フィールドに「Event Ingestion」と入力します。 更新されたページの [ベース API パス] 列で、この値をコピーしてフォームの [エンドポイント] フィールドに貼り付けます。ベース API パスの例は、/api/sn_sec_splunk_v2/event_ingestion です。
   ユーザー名	ServiceNow AI Platform インスタンスのユーザー名。この名前は、手動イベント転送のために (sn_sec_splunk_v2.api_account_access) ロールを持つユーザーを割り当てた ServiceNow AI Platform インスタンスのユーザー名です。 このロールの割り当ての詳細については、「Splunk Enterprise Event Ingestion 統合での ServiceNow AI Platform インスタンスの設定」を参照してください。
   パスワード	ServiceNow AI Platform インスタンスのパスワード。 このパスワードは、手動イベント転送のために (sn_sec_splunk_v2.api_account_access) ロールを持つユーザーを割り当てた ServiceNow AI Platform インスタンスのパスワードです。
   (オプション) [ServiceNow セカンダリインスタンスを指定] セクションのフィールド	説明 これらのフィールドはオプションです。セカンダリインスタンスを指定する必要はありません。
   ワークフローアクションラベル	セカンダリ (ステージング) インスタンスの ServiceNow AI Platform ワークフローの名前。この名前は、Splunk イベントを監視しているユーザーがセカンダリインスタンス (ServiceNow Event Ingeston (ステージング)) として特定する ServiceNow AI Platform インスタンスの名前です。 Splunk Enterprise コンソールで、このワークフロー名は、検索の展開された [イベントアクション] ドロップダウンリストのステージング (セカンダリ) インスタンスに表示されます。この ServiceNow AI Platform インスタンスはステージングインスタンスです。その名前を編集できます。
   URL	セカンダリ ServiceNow AI Platform インスタンスの前のワークフローアクションラベルフィールドに入力した ServiceNow AI Platform インスタンスの URL。 ブラウザーで URL をコピーして、フォームのこのフィールドに貼り付けます。
   エンドポイント	ベース API パス。セカンダリインスタンスのベース API パスのこの値は、プライマリインスタンスのベース API パスと同じ値です。詳細については、フォームの前の図を参照してください。
   ユーザー名	ServiceNow AI Platform ステージングインスタンスのユーザー名。ユーザーは (sn_sec_splunk_v2.api_account_access) ロールを持っている必要があります。
   パスワード	ServiceNow AI Platform ステージングインスタンスのパスワード。ユーザーは (sn_sec_splunk_v2.api_account_access) ロールを持っている必要があります。

   次の図は、ServiceNow AI Platform のスクリプト済み REST API リストの例です。リストには、Splunk Enterprise コンソールで ServiceNow Security Operations Event Ingestion Addon for Splunk Enterprise 拡張機能の設定の一部としてフォームに入力した ServiceNow AI Platform インスタンスのエンドポイント値の場所が表示されます。

   図 : 1. の [スクリプト済み REST API] リスト ServiceNow AI Platform

   

3. Splunk Enterprise コンソールの [セットアップ] フォームで、[保存] をクリックして編集を保存します。

   しばらくすると、Splunk Enterprise コンソールのフォームの左上に、レコードが正常に更新されたことを示すメッセージが表示されます。

   フォームを保存すると、フォームで作成した ServiceNow AI Platform インスタンスの名前 (ワークフローアクションラベル) が、Splunk Enterprise コンソールの検索で選択したイベントの [イベントアクション] 選択リストから使用できるようになります。

次のタスク

Splunk Enterprise コンソールに検索をまだ保存していない場合は、次のステップで Splunk Enterprise コンソールに検索をアラートとして保存します。