Wird Verwendet ServiceNow Add-on zur Ereigniserfassung für Sicherheitsvorgänge für Splunk es

Leiten Sie Ereignisse bei Bedarf von weiter Splunk Enterprise Security Konsole zum Erstellen einer Antwort auf Security Incidents (SIR) auf der ServiceNow Instanz.

Vorbereitungen

Erforderliche Rolle: sn_sec_splunkes.api_account_access

Prozedur

1. Melden Sie sich bei an Splunk Enterprisean.
2. Navigieren zu Apps > Unternehmenssicherheitan.
3. Wählen Sie Aus Missionssteuerung .
   Eine Liste bedeutender Ereignisse, die in der Splunk-Konsole basierend auf der zuvor konfigurierten Korrelationsregel generiert wurden, wird angezeigt.
4. Wählen Sie beliebig aus Bedeutendes Ereignis Aus der Liste.
5. Wählen Sie Aus Ellipse-Symbol (⋮) .
6. Wählen Sie in der Dropdown-Liste aus Bezeichnung der Workflow-Aktion Wird beim Einrichten des Add-ons konfiguriert.
   Weitere Informationen zur Bezeichnung der Workflow-Aktion finden Sie unter Setup ServiceNow Add-on zur Ereigniserfassung für Security Operations für Splunk es
   Ereignisse gehen ein Splunk es-Ereignisimport Tabelle gefolgt von Splunk es-Ereignis zu Aufgaben Tabelle.

Ergebnisse

Ein Datensatz für die Reaktion auf Security Incidents (SIR) wird auf erstellt ServiceNow Instanz gemäß der im Profil „Manuelle Ereignisweiterleitung“ angegebenen Zuordnung. Anweisungen zum Einrichten eines Profils für die manuelle Ereignisweiterleitung finden Sie unter Erstellen und benennen Sie ein Ereignisprofil