Configure ou mude a instância em que incidentes ou eventos são criados

Para configurar ou mudar o. ServiceNow Instância em que novos incidentes de segurança e eventos de segurança são criados, use a ação Configuração na lista de aplicações.

Antes de Iniciar

Função necessária: sn_si.admin

Procedimento

1. Aberto Splunk .
2. Clique em Aplicações ícone de engrenagem ou Gerenciar aplicações item de menu de atalho.
3. Na lista de aplicações, pesquise ServiceNow aplicativos que usam o filtro.
4. Procure Integração de operações de segurança da ServiceNow e clique no correspondente Configurar ação.
5. No formulário, preencha os campos.

   Campo	Descrição
   Especifique o ServiceNow Server
   URL	URL do Splunk Enterprise Security console ou Splunk Cloud instância. O URL deve incluir a porta da API, por exemplo: https://mysplunkserver.com:8089
   Tipo de autenticação	Opção para selecionar o tipo de autenticação. Você pode selecionar Autenticação básica ou Autenticação do OAuth 2,0 . Se você estiver usando o Nome de usuário da conta de API e a Senha da API para configuração, habilite o. Autenticação básica caixa de seleção. O padrão é desabilitado. Se você estiver usando autenticação OAuth 2,0 para a configuração, habilite o. Autenticação do OAuth 2,0 caixa de seleção. O padrão é desabilitado.
   Autenticação básica
   Nome do usuário	Nome de usuário que você criou para sua conta de usuário da API no Splunk Enterprise Security console.
   Senha	Senha que você criou para sua conta de usuário de API no Splunk Enterprise Security console.
   Confirmar Senha	Locatário a senha para confirmá-la.
   Autenticação do OAuth 2,0
   ID de cliente	ID do cliente do app criado no ServiceNow Server.
   Segredo do cliente	Segredo do cliente do app criado no ServiceNow Server.
   Redirecional URL	O URL para o qual será redirecionado. Você pode copiar e colar este URL no URL de redirecionamento do registro da ServiceNow.
   Proxy opcional
   URL do proxy	URL do proxy para seu Splunk Enterprise Security console ou Splunk Cloud instância.
   Porta	Endereço da porta.
   Nome do usuário	Nome de usuário que você criou para a conta de proxy no Splunk Enterprise Security console.
   Senha	Senha que você criou para a conta de proxy no Splunk Enterprise Security console.
   Confirmar Senha	Locatário a senha para confirmá-la.
   Configuração do nível de registro em log
   Nível de registro em log	O nível de logs de relatórios gerados pela integração, ou seja, o nome do tipo de informação. Você também pode atualizar o valor para as seguintes opções: informações error aviso depurar Por padrão, o valor é informações .
   Seleção de API
   Seleção de API	Selecione uma das seguintes APIs: API da tabela API do Import Set

   

6. Clique em Salvar.
7. Como alternativa, procure Integração de ingestão de eventos da ServiceNow e clique no correspondente Configurar ação.
   A Integração de ingestão de eventos da ServiceNow é configurada em três guias diferentes.

   • Splunk primário : A configuração padrão ou primária do Splunk.
   • Splunk secundário : (Opcional) O backup ou a segunda configuração do Splunk.
   • Nível de registro em log : O nível de logs de relatórios gerados pela integração, ou seja, o nome do tipo de informação.
8. Selecione Splunk primário guia.
9. No formulário, preencha os campos.

   Campo	Descrição
   Rótulo da ação do fluxo de trabalho	Nome do Splunk Enterprise Security console primário ou Splunk Cloud instância primária usada para a integração. Espaços são compatíveis com nomes, mas parênteses não são compatíveis. Por exemplo, insira SplunkES2 .
   URL	URL do Splunk Enterprise Security console primário ou Splunk Cloud instância primária. O URL deve incluir a porta da API, por exemplo: https://mysplunkserver.com:8089
   Endpoint	Endpoint para seu Splunk Enterprise Security console primário ou Splunk Cloud instância primária.
   Tipo de autenticação	Opção para selecionar o tipo de autenticação. Você pode selecionar Autenticação básica ou Autenticação do OAuth 2,0 . Se você estiver usando o Nome de usuário da conta de API e a Senha da API para configuração, habilite o. Autenticação básica caixa de seleção. O padrão é desabilitado. Se você estiver usando autenticação OAuth 2,0 para a configuração, habilite o. Autenticação do OAuth 2,0 caixa de seleção. O padrão é desabilitado.
   Autenticação básica
   Nome do usuário	Nome de usuário que você criou para sua conta de usuário da API no Splunk Enterprise Security console.
   Senha	Senha que você criou para sua conta de usuário de API no Splunk Enterprise Security console.
   Confirmar Senha	Locatário a senha para confirmá-la.
   Autenticação do OAuth 2,0
   ID de cliente	ID do cliente do app criado no ServiceNow Server. Para obter informações sobre como obter o ID do cliente, consulte Configure o registro de aplicações na instância da ServiceNow
   Segredo do cliente	Segredo do cliente do app criado no servidor. Para obter informações sobre como obter o segredo do cliente, consulte Configure o registro de aplicações na instância da ServiceNow
   Redirecional URL	O URL para o qual será redirecionado. Você pode copiar e colar este URL no URL de redirecionamento do registro da ServiceNow. Para obter informações, consulte Configure o registro de aplicações na instância da ServiceNow
   Configuração de proxy opcional
   URL do proxy	URL do proxy para seu Splunk Enterprise Security console secundário ou Splunk Cloud instância secundária.
   Porta	Endereço da porta.
   Nome do usuário	Nome de usuário que você criou para a conta de proxy no Splunk Enterprise Security console secundário.
   Senha	Senha que você criou para a conta de proxy no Splunk Enterprise Security console secundário.
   Confirmar Senha	Locatário a senha para confirmá-la.

   

10. Opcional: Selecione Splunk secundário guia.
11. Opcional: No formulário, preencha os campos.

    Campo	Descrição
    Rótulo da ação do fluxo de trabalho	Nome do Splunk Enterprise Security console secundário ou Splunk Cloud instância secundária usada para a integração. Espaços são compatíveis com nomes, mas parênteses não são compatíveis. Por exemplo, insira SplunkES2 .
    URL	URL do Splunk Enterprise Security console secundário ou Splunk Cloud instância secundária. O URL deve incluir a porta da API, por exemplo: https://mysplunkserver.com:8089
    Endpoint	Endpoint para seu Splunk Enterprise Security console secundário ou Splunk Cloud instância secundária.
    Tipo de autenticação	Opção para selecionar o tipo de autenticação. Você pode selecionar Autenticação básica ou Autenticação do OAuth 2,0 . Se você estiver usando o Nome de usuário da conta de API e a Senha da API para configuração, habilite o. Autenticação básica caixa de seleção. O padrão é desabilitado. Se você estiver usando autenticação OAuth 2,0 para a configuração, habilite o. Autenticação do OAuth 2,0 caixa de seleção. O padrão é desabilitado.
    Autenticação básica
    Nome do usuário	Nome de usuário que você criou para sua conta de usuário da API no Splunk Enterprise Security console.
    Senha	Senha que você criou para sua conta de usuário de API no Splunk Enterprise Security console.
    Confirmar Senha	Locatário a senha para confirmá-la.
    Autenticação do OAuth 2,0
    ID de cliente	ID do cliente do app criado no ServiceNow Server.
    Segredo do cliente	Segredo do cliente do app criado no ServiceNow Server.
    Redirecional URL	O URL para o qual será redirecionado. Você pode copiar e colar este URL no URL de redirecionamento do registro da ServiceNow.
    Configuração de proxy opcional
    URL do proxy	URL do proxy para seu Splunk Enterprise Security console secundário ou Splunk Cloud instância secundária.
    Porta	Endereço da porta.
    Nome do usuário	Nome de usuário que você criou para a conta de proxy no Splunk Enterprise Security console secundário.
    Senha	Senha que você criou para a conta de proxy no Splunk Enterprise Security console secundário.
    Confirmar Senha	Locatário a senha para confirmá-la.

12. Selecione Nível de registro em log guia.
13. No formulário, preencha os campos.

    Campo	Descrição
    Nível de Log	O nível de logs de relatórios gerados pela integração, ou seja, o nome do tipo de informação. Você também pode atualizar o valor para as seguintes opções: informações error aviso depurar Por padrão, o valor é informações .

14. Clique em Salvar.
    Depois que a validação for concluída com sucesso, a página Integrações de segurança será exibida com cada uma das suas configurações. Em cada bloco de configuração válido, Atualização e. Excluir os botões são exibidos conforme mostrado na figura a seguir.

    Nota:

    Você precisa usar autenticação básica ou somente autenticação OAuth 2,0. Habilite uma das autenticações e insira os detalhes de autenticação correspondentes. Habilitar ambos exibirá um erro.

    Cada evento é validado e enviado com sucesso Splunk A configuração do servidor é salva na página Integrações de segurança como um bloco. Se os blocos de configuração salvos não forem exibidos na página Integrações de segurança, no canto superior direito da página, na lista Mostrar configurações, clique em Sim .