Erstellen und benennen Sie ein Ereignisprofil für Splunk Enterprise Security Integration der Ereigniserfassung
Sie erstellen ein Ereignisprofil in Ihrem ServiceNow AI Platform Instanz und bestimmen, welche Splunk Wichtige Ereignisse erstellen Security Incidents.
Vorbereitungen
Erforderliche Rolle: sn_si.ingestion_profile_admin
Warum und wann dieser Vorgang ausgeführt wird
Vor ServiceNow AI Platform Security Incident Response( SIR) Security Incidents werden aus erfassten wichtigen Ereignissen erstellt, die Feldwerte aus Warnungen werden in einem Layout von angezeigt ServiceNow AI Platform Security Incident, damit Sie eine Vorschau anzeigen können, wie der tatsächliche Security Incident erstellt wird.
Aus Integrationsperspektive mithilfe der verfügbaren APIs Splunk ES Bemerkenswerte Ereignisse werden einzeln und manuell als diskrete bemerkenswerte Ereignisse weitergeleitet oder automatisch in erfasst Security Operations Umgebung von ServiceNow AI Platform Instanz abhängig vom definierten Profiltyp.
Die Integrations-Workflows erfassen verschiedene Arten wichtiger Ereignisse, z. B. nicht autorisierte Zugriffsversuche und Malware. Diese wichtigen Ereignisse werden basierend auf den Profilen erfasst, die Sie in konfigurieren Security Operations Umgebung Ihrer Instanz.
Alle wichtigen Elemente werden anfänglich für einen konfigurierten Korrelationssuchtyp in einem Profil erfasst. Erfasste wichtige Elemente können dann weiter gefiltert werden, um anzugeben, welche wichtigen Personen Security Incidents erstellen. Sie können beispielsweise Filter bevorzugen, die Security Incidents nur für wichtige Ereignisse erstellen, die als hohes Risiko identifiziert werden. Bevor ein Profil aktiviert wird und Security Incidents aus erfassten wichtigen Ereignissen erstellt werden, werden einzelne Feldwerte in den wichtigen Ereignissen den entsprechenden Feldern in einem Layout des Security Incident zugeordnet, um eine Vorschau anzuzeigen.
Prozedur
Richten Sie ein Profil für die geplante Erfassung bedeutender Ereignisse ein
Abhängig vom definierten Profil Splunk ES Wichtige Ereignisse werden automatisch in erfasst Security Operations Umgebung von ServiceNow AI Platform Instanz.
Die folgende Tabelle zeigt die Liste der Aufgaben, die Sie ausführen müssen, um ein Profil für die geplante Erfassung wichtiger Ereignisse einzurichten:
Erstellen Sie Profile für die geplante Erfassung wichtiger Ereignisse
Sie können ein Profil einrichten, damit wichtige Ereignisse automatisch erfasst werden.
Vorbereitungen
Erforderliche Rolle: sn_si.ingestion_profile_admin
Prozedur
-
Füllen Sie die Felder aus.
Ein Beispiel für ein ausgefülltes Formular folgt der Tabelle.
Feld Beschreibung Name Eindeutiger Name für das Profil. Wenn Namen nicht eindeutig sind, wird ein Fehler angezeigt, und doppelte Profilnamen werden nicht gespeichert. Profilnamen in Ihrem ServiceNow AI Platform Instanz muss eindeutig sein.
Aktiv Das Kontrollkästchen ist standardmäßig deaktiviert und deaktiviert. Sie sollten alle Abschnitte im Profil abschließen, bevor Sie es aktivieren. Typ Wählen Sie den Profiltyp aus der Auswahlliste aus. - Geplante Ereigniserfassung: Dieser Profiltyp unterstützt wichtige Ereignisse, die in einem konfigurierten Zeitplan erfasst werden. Füllen Sie die Felder aus.
- Manuelle Ereignisweiterleitung: Dieser Profiltyp unterstützt wichtige Ereignisse, die manuell von Ihrem weitergeleitet werden Splunk Enterprise Security Incident-Überprüfungskonsole bei Bedarf. Lesen Sie die folgenden Schritte, um das Formular für diese Profiltypen auszufüllen.
Quelle Splunk Server- oder Suchende, die Sie für die Erfassung wichtiger Ereignisse konfiguriert haben. Wenn Sie mehrere haben Splunk Server konfiguriert, wählen Sie den entsprechenden Server für die wichtigsten Ereignistypen aus, die für das Profil erfasst werden. Sie müssen einen Wert eingeben. Reihenfolge Der Standardwert ist 100. Wenn Sie mehrere Profile erstellt haben, gibt dieser Wert eine Laufzeitausführungspriorität an, wenn zwei oder mehr Profile dieselben Auslösebedingungen haben. Der Workflow im Profil mit der niedrigsten Zahl hat die höchste Priorität.
(Optional) Beschreibung Zusätzlicher Text, der Ihnen hilft, dieses Profil von anderen Profilen zu unterscheiden. Die folgende Abbildung zeigt ein Beispiel für ein ausgefülltes Formular für einen geplanten Ereignistyp mit wichtigen Elementen.
Nächste Maßnahme
Der nächste Schritt besteht darin, wichtige Ereignisse für die automatische Erfassung auszuwählen.
Wählen Sie wichtige Ereignisse basierend auf dem Namen der Korrelationsregel für das Profil für aus Splunk ES Integration der Ereigniserfassung
Nachdem Sie ein Profil für eine geplante Erfassung eines bedeutenden Ereignistyps erstellt haben, wählen Sie ein aus Splunk Enterprise Security Name der Korrelationsregel für dieses Profil, für das Sie entsprechende wichtige Ereignisse einem zuordnen möchten ServiceNow AI Platform Security Incident Response Security Incident.
Vorbereitungen
Erforderliche Rolle: sn_si.ingestion_profile_admin
Warum und wann dieser Vorgang ausgeführt wird
Zeigen Sie die verfügbaren Korrelationsregeln in an ServiceNow AI Platform Instanz, damit Sie die wichtigen Ereignistypen kennen, für die Sie Security Incidents erfassen und erstellen möchten. Wählen Sie eine Korrelationsregel aus. Sie können in diesem Formular ein oder mehrere wichtige Ereignisse aus der Liste auswählen.
Prozedur
-
Wählen Sie in der Liste der Korrelationsregeln eine der folgenden Optionen aus, um eine einzelne Korrelationsregel oder mehrere Korrelationsregeln auszuwählen, sie zu verschieben und sie von der Spalte verfügbar in die Spalte ausgewählt zu verschieben.
Die Liste der Korrelationsregeln in diesem Formular stimmt mit der Liste der Korrelationsregeln in überein Splunk ES Incident-Überprüfungskonsole. In diesem Formular werden bis zu 500 Korrelationsregeln angezeigt. Wenn mehr als 500 Korrelationsregeln in aufgeführt sind Splunk ES, Nur die ersten 500 wichtigen Ereignisse werden in diesem Formular in angezeigt ServiceNow AI Platform Instanz.
Option Beschreibung Geben Sie im Suchfeld Korrelationsregelliste Text ein. Die Spalte unter dem Suchfeld wird basierend auf dem von Ihnen eingegebenen Text mit verfügbaren Optionen gefiltert. Wählen Sie eine Korrelationsregel aus, und verschieben Sie den ausgewählten Alarm mit den Pfeiltasten aus Verfügbar Bis Ausgewählt . Doppelklicken Sie in der Korrelationsregelliste auf eine Korrelationsregel. Die Ausgewählt Spalte wird mit Ihrer Auswahl ausgefüllt. Klicken Sie in der Korrelationsregelliste einmal auf eine Korrelationsregel. Die Korrelationsregel ist ausgewählt. Verschieben Sie mit den Pfeiltasten die ausgewählte Korrelationsregel aus Verfügbar Bis Ausgewählt .
Nächste Maßnahme
Sie haben erfolgreich eine Korrelationsregel für eine geplante ausgewählt Splunk Enterprise Security Profil. Der nächste Schritt besteht darin, Felder in einem Security Incident wichtige Ereigniswerte zuzuordnen.
Zuordnung von wichtigen Ereignisfeldern für Splunk Enterprise Security Integration
Nachdem Sie die spezifische Korrelationsregel und den entsprechenden Ereignistyp für das Profil identifiziert haben, besteht der nächste Schritt darin, den Feldern in einem einzelne relevante Ereignisfelder zuzuordnen ServiceNow AI Platform Security Incident Response( SIR) Security Incident.
Übersicht über die Zuordnung
Für den Zuordnungsschritt können Sie Beispielereignisse für die ausgewählte Korrelationsregel erfassen oder wichtige Ereignisdaten für manuell weitergeleitete wichtige Ereignisse exportieren. Der Ereigniszuordnungsprozess ist unabhängig vom Profiltyp, den Sie erstellen, identisch.
Die folgenden Abbildungen sind Beispiele für die Standardzuordnungskonfigurationen, die für jeden Ereignisprofiltyp bereitgestellt werden. Sie können die Felder anpassen, die den Security Incident ausfüllen. Während dieser Zuordnungsphase können Sie sicherstellen, dass alle relevanten relevanten Ereignisfelddaten der entsprechenden Stelle im SIR-Incident-Formular zugeordnet werden, und dann den SIR-Incident im Vorschauabschnitt visualisieren.
Wenn mehrere Korrelationen verwendet werden, können beachtliche Ereignisse abgerufen werden, indem erforderliches Ereignis ausgewählt wird. Verwenden Warnungsname Um Ihre Warnung auszuwählen, wenn Sie mehrere Warnungen für die Erfassung konfiguriert haben.
Nachdem Sie auf geklickt haben, um Daten abzurufen Splunk Namen der Ereignisfelder und entsprechende Werte werden auf der linken Seite des Formulars ausgefüllt. Dies sind die Splunk Wichtige Ereignisfelder, die zur Zuordnung zu verfügbar sind SIR Security Incident-Felder. Einige Felder können den SIR Security Incident-Feldern mehrmals zugeordnet werden.
Möglicherweise möchten Sie einige Beispiele für wichtige Ereignisse auf Ihrem überprüfen Splunk Konsole, die für den Konfigurationsschritt der Feldzuordnung erfasst werden soll. Dieser Schritt wird auf der Fortschrittsleiste mit Zuordnung bezeichnet. Wenn diese Seite nicht angezeigt wird, klicken Sie auf Zuordnung Auf der Fortschrittsleiste. Sie können bis zu fünf Beispiele für wichtige Ereignisse aus erfassen Splunk Enterprise Security Zur Unterstützung des Zuordnungsprozesses für wichtige Ereignisfelder. Es gibt Optionen zum Erfassen der fünf neuesten bemerkenswerten Ereignisse für die ausgewählte Korrelationsregel oder zum Erfassen von bis zu fünf spezifischen bemerkenswerten Ereignissen basierend auf den bemerkenswerten Ereignis-IDs.
- Geplante Erfassung von Beispieldaten für wichtige Ereignisse: Für Beispieldaten, die für automatisch erfasste Profile für wichtige Ereignisse verwendet werden, werden verfügbare Felder für wichtige Ereignisse und ihre entsprechenden Werte in einem Standardzuordnungslayout auf der linken Seite des Zuordnungsformulars angezeigt, sobald die Beispieldaten abgerufen wurden. Registerkarten werden angezeigt, auf denen Sie die Werte für eine bestimmte wichtige Ereignis-ID anzeigen können, die Sie abgerufen haben. Überprüfen Sie, ob alle kritischen Felder aus dem Abschnitt „Stichprobenerfassung für wichtige Ereignisse“ auf der linken Seite des Formulars zugeordnet sind ServiceNow Security Incident-Felder auf der rechten Seite des Formulars.
- Feldzuordnung: Bearbeiten Sie die Zuordnungskonfiguration, indem Sie wichtige Ereignisfelder von der linken Seite ziehen und auf dem ablegen ServiceNow SIR-Incident-Zuordnungsabschnitt auf der rechten Seite. Die Zuordnung auf der rechten Seite ordnet das Feld „eingehendes bedeutendes Ereignis“ einem Feld für ausgehende Security Incidents zu.
- Zuordnungs-Experience: Passen Sie das Zuordnungsraster an, indem Sie Felder mithilfe des +-Symbols unten im SIR-Incident-Feldzuordnungsabschnitt hinzufügen oder entfernen. Verfolgen Sie übersehene oder duplizierte Felder mit der bereitgestellten Farbcodierung nach (zugeordnete Felder sind ausgegraut, blaue Felder sind nicht zugeordnet).
- Bedingungen für die Incident-Generierung: Sobald der Zuordnungsabschnitt abgeschlossen ist, können Sie Filterbedingungen festlegen, um anzugeben, welche wichtigen Ereignisse Security Incidents erstellen sollen und welche wichtigen Ereignisse herausgefiltert werden sollen, z. B. Ereignisse mit niedriger Priorität. Dies geschieht im Abschnitt „Bedingungen für die Incident-Generierung“ unter dem Abschnitt „Zuordnung von wichtigen Ereignissen“.
- Kriterien für Ereigniszusammenfassung: Definieren Sie zusätzliche Kriterien für die Ereigniszusammenfassung, die ein eingehendes Ereignis mit einem vorhandenen zusammenfassen SIR Security Incident stattdessen pf, um ähnliche, potenziell doppelte Incidents zu erstellen. Mithilfe von Feldübereinstimmungswertkriterien für jedes Profil kann diese zusätzliche Zusammenfassungsfunktion die Anzahl der aktiven, sich überschneidenden Security Incidents reduzieren, indem alle zugehörigen sicherheitsrelevanten Ereignisdaten in einem einzelnen Security Incident platziert werden.
- Formatfeldübersetzung: In bestimmten Fällen Ereignisfeldwerte im Splunk Wichtige Enterprise-Ereignisse werden möglicherweise nicht direkt in die Felder auf übersetzt SIR Security Incident. Für diese Werte können Sie einen Skripteditor verwenden, um Feldwerte für den Security Incident während des Zuordnungsschritts zu formatieren. Verwenden Sie den Skript-Editor, wenn Sie Werte formatieren möchten, die ähnlich, aber nicht identisch sind. Beispielsweise kann ein Kategoriewert „Malware-Warnung“ und „Virusinfektion“ mit dem Skripteditor unterschiedliche Feldwerte für die Quellkategorie haben, aber beide Werte können in eine allgemeine schädliche Code-Aktivität im Feld Kategorie übersetzt werden SIR Security Incident mithilfe der Funktionalität „Formatierungsfeldübersetzung“.
Der nächste Schritt besteht darin, wichtige Ereignisse zu erfassen und Werte dem zuzuordnen SIR Security Incident-Felder.
Erstellen Sie Zuordnungen für Splunk ESÜberprüfung von auffälligen Ereignis-Incidents und Details zu beitragenden Ereignissen (geplante Erfassung)
Während des Schritts „Feldzuordnung für nennenswerte Ereignisse“ ordnen Sie einzelne Ereignisfelder aus nennenswerten Ereignissen zu Feldern in einem zu ServiceNow AI Platform Security Incident Response( SIR) Security Incident.
Vorbereitungen
Erforderliche Rolle: sn_si.ingestion_profile_admin
Warum und wann dieser Vorgang ausgeführt wird
Das Zuordnungsraster kann für den in der Korrelationsregelauswahl ausgewählten bedeutenden Ereignistyp angepasst werden. Die Farbcodierung der Ereignisfelder hilft Ihnen, die Ereigniswerte nachzuverfolgen, die Sie bereits zugeordnet haben, da sie ausgegraut werden, während alle verbleibenden nicht zugeordneten Felder blau angezeigt werden. Auf diese Weise können Sie besser visualisieren, welche Feldwerte dem Security Incident hinzugefügt wurden und ob verbleibende wichtige Ereignisinformationen nicht zugeordnet sind.
Ordnen Sie bis zu fünf wichtige Ereignisse aus der Spalte „Stichprobenerfassung für bedeutendes Ereignis“ auf der linken Seite des Formulars den Security Incident-Feldern in der Spalte „SIR-Incident-Feldzuordnung“ auf der rechten Seite zu.
Erstellen Sie anwenderdefinierte Zuordnungen, indem Sie die Felder im Zuordnungsraster auf der rechten Seite des Formulars hinzufügen oder entfernen. Standardfelder, die normalerweise ein wichtiges Feld sind, das im Antwortformular für Security Incidents ausgefüllt werden soll, werden angezeigt. Diese Felder können jedoch entfernt werden, und zusätzliche Felder können mit den Schaltflächen + und - angezeigt werden. Erstellen Sie anwenderdefinierte Karten, indem Sie die Felder im Zuordnungsraster auf der rechten Seite des Formulars hinzufügen oder entfernen. Durch das Anpassen der Felder können Sie zuordnen Splunk Felder, die nicht im Standardzuordnungsraster auf angezeigt werden SIR Security Incident.
Prozedur
-
Klicken Sie für ein Profil mit einer geplanten Erfassung unter „Stichprobenerfassung für auffällige Ereignisse“ auf Rufen Sie Beispieldaten Ab Dient zum Abrufen der neuesten Beispiele für wichtige Ereignisse aus dem Splunk Enterprise Konsole für die ausgewählte Korrelationsregel.
Hinweis:Sie können entweder die neuesten Beispiele für wichtige Ereignisse abrufen oder die eindeutigen Ereignis-IDs für die spezifischen Ereignisse angeben, die Sie für Ihre Experience für die Zuordnung wichtiger Ereignisse verwenden möchten.
Die Ergebnisse der relevanten Ereignisfelder und -Werte werden als einzelne Registerkarten angezeigt. Sie können bis zu fünf wichtige Ereignisse erfassen.
Der Abruf für Beispiele für wichtige Ereignisse kann einige Minuten dauern. Eine Nachricht, die angibt, dass die Transaktion funktioniert, wird oben auf dem Bildschirm angezeigt.
In der folgenden Abbildung werden die Feld-Name-Wert-Paare für das erfasste bemerkenswerte Ereignis oder die importierten Beispielereignisse auf der linken Seite dieses Formulars angezeigt, nachdem der Abruf der Erfassung abgeschlossen ist. Diese Werte sind die Werte, die Sie den Security Incident-Feldern auf der Seite „SIR-Incident-Feldzuordnung“ des Formulars zuordnen.
-
Ziehen Sie den Feldnamen, z. B. Rule_Name , Und legen Sie es in einem Feld in der Spalte „Eingabeausdruck“ neben einem Feldnamen in der Spalte „Security Incident“ ab.
Der Feldwert wird in der Spalte „Eingabeausdruck“ angezeigt. In der folgenden Abbildung: Rule_Name Ist dem zugeordnet Kurzbeschreibung Feld im Security Incident. Sie können jedoch einen beliebigen Wert von der linken Seite mit einem Feld auf der rechten Seite abgleichen. Stellen Sie sicher, dass der Wert dem Security Incident während des Vorschauschritts korrekt zugeordnet ist.
Damit Sie sicherstellen können, dass im Zuordnungsprozess keine Ereignisfelder übersehen oder dupliziert werden, sind Felder farbcodiert. Hellblaue Felder auf der linken Seite zeigen an, dass ein auffälliges Ereignisfeld noch nicht ausgewählt und dem Security Incident zugeordnet ist. Möglicherweise möchten Sie ein eingehendes wichtiges Feld mit mehr als einem Feld in einem Security Incident verknüpfen.
Ein graues Feld gibt an, dass ein Feld ausgewählt und einem Feld im Security Incident zugeordnet wurde. Diese Farbcodierung hilft Ihnen, die Zuordnung nachzuverfolgen.
-
Führen Sie die folgenden Schritte aus, um den Standardfeldern, die im Security Incident auf der rechten Seite des Formulars angezeigt werden, Felder hinzuzufügen.
-
Erweitern Sie in der Spalte Security Incident die angezeigte Liste, und wählen Sie ein Feld aus.
In der erweiterten Liste für das neue Feld sind einige Felder schattiert. In der folgenden Abbildung: Rule_Name Hat einen grauen Hintergrund, da er im Security Incident zugeordnet wurde. Ähnlich wie die Farbcodierung für die Felder für wichtige Ereignisse auf der linken Seite des Formulars hilft diese Farbcodierung für die Security Incident-Felder auf der rechten Seite Ihnen, die bereits zugeordneten SIR-Incident-Felder nachzuverfolgen.
Hinweis:Damit mehrere erkennbare Elemente für denselben Security Incident angezeigt werden können, kann das Feld „erkennbares Element“ mehrmals verschiedenen Werten zugeordnet werden. Ebenso unterstützen die Felder „Konfigurationselement“ und „Arbeitsnotizen“ mehrere Werte. Wenn Sie versuchen, zwei Werte einem Feld zuzuordnen, das nicht mehrere Werte unterstützen kann, wird bei der Vorschau des Incident eine Fehlermeldung angezeigt, dass für das Feld kein Wert vorhanden ist. Wenn ein Feld in einem Security Incident über eine Liste verfügt, aus der Sie mehrere Optionen auswählen können, und Sie versuchen, diesem Feld eine Option zuzuordnen, die nicht in der Liste angezeigt wird, wird das Feld im Security Incident nicht ausgefüllt.
-
Erweitern Sie in der Spalte Security Incident die angezeigte Liste, und wählen Sie ein Feld aus.
-
Fahren Sie mit der Zuordnung fort, indem Sie der Zuordnung Feldwerte hinzufügen oder entfernen.
Die folgende Abbildung ist ein Beispiel für eine bearbeitete Zuordnung. Im unteren Feld rechts wird das Feld Arbeitsnotizen hinzugefügt, das mehr als einen Wert hat. Beachten Sie, dass Sie für das Feld mit langer Textzeichenfolge das Zuordnungsfeld erweitern können, um die vollständige Zeichenfolge anzuzeigen und die Größe nach Bedarf neu zu ändern, indem Sie die untere rechte Ecke des Felds wie im Screenshot unten mit dem Feld „hinzugefügte Arbeitsnotizen“ ziehen:Warnung:Beachten Sie dies in SIR-Incident-Feldzuordnung Abschnitt, die URL und die Portnummer, die im erwähnt werden Eingabeausdruck Das Feld ist nur ein Beispiel und nicht die standardmäßig bereitgestellte URL oder Portnummer.
In der Vorschau werden diese Werte in den Arbeitsnotizen zum Security Incident angezeigt. Da der Wert für ein Feld gilt, das Sie dem Zuordnungsabschnitt hinzugefügt haben, und dem Feld Arbeitsnotizen mehrere Werte zugeordnet sind, werden die Werte wie eingegeben angezeigt. In diesem Beispiel werden die Leerzeichen und Interpunktionszeichen, die Sie in das Feld eingegeben haben, im Abschnitt „zugehörige Elemente“ als Arbeitsnotiz in der Vorschau des Security Incident angezeigt.
Die folgende Abbildung zeigt, wie die Werte im vorherigen Bild für den Security Incident angezeigt werden.
-
Um Aktualisierungen für die zugeordneten Felder in SIR zu erhalten, wählen Sie aus Aktivieren Sie Updates Kontrollkästchen für den Eingabeausdruck.
- Wahlweise:
Nachdem Sie die vorherigen Feldzuordnungsschritte abgeschlossen haben, können Sie dieselben Feldwerte im Generator für Incident-Generierungsbedingungen verwenden, um zusätzliche Kriterien zu definieren, die ein eingehendes Ereignis erfüllen muss, um eine zu erstellen SIR Security Incident.
Um Bedingungen für die Incident-Generierung festzulegen, gehen Sie wie folgt vor.
-
Scrollen Sie im Formular zum Abschnitt Bedingungen für die Incident-Generierung, und wählen Sie aus Filtern Sie basierend auf Bedingungen Kontrollkästchen zum Aktivieren der Option.
Der Generator für Filterbedingungen wird angezeigt. Verwenden Sie diese Filter, um Security Incidents zu erstellen, die den spezifischen Bedingungen entsprechen, die in den Feldern beschrieben werden.
Die Optionen in den Listen für das erste Feld im Generator für Filterbedingungen stimmen mit den Feldern überein, die im Abschnitt „Stichprobenerfassung für wichtige Ereignisse“ für die von Ihnen erfassten Ereignisse angezeigt werden. Diese Felder sind dynamisch und ändern sich je nach Splunk Wichtige Ereignisse, die Sie erfassen, oder das Ereignis, das Sie für die manuell weitergeleiteten Beispiele für wichtige Ereignisse auswählen. Bei den von Ihnen eingegebenen Kriterien wird zwischen Groß- und Kleinschreibung unterschieden und müssen genau mit den Werten von übereinstimmen Splunk Enterprise Security Bemerkenswertes Ereignis. Wenn Sie sich nicht sicher sind, welche Werte in die Filterfelder eingegeben werden sollen, kehren Sie möglicherweise zu zurück Splunk Enterprise Security Konsole und überprüfen Sie Ihre wichtigen Ereignisse auf die Stichwörter.
- Wahlweise:
Legen Sie in der zweiten Zeile eine zweite Filterbedingung fest.
Die folgende Abbildung zeigt ein Beispiel mit zwei Bedingungen, die erfüllt werden müssen, bevor Security Incidents erstellt werden.
Sie haben die Bedingungen für die Incident-Generierung so festgelegt, dass Security Incidents nur erstellt werden, wenn beide von Ihnen eingegebenen Filterbedingungen erfüllt sind.
Diese Art der Bedingungsfilterung für die Incident-Generierung hilft Ihnen, die Sicherheitsereignisse einzugrenzen und die Anzahl der unnötigen Security Incidents zu begrenzen, die Sie erstellen, ohne die zugrunde liegende Korrelationssuche oder -Filter in zu ändern Splunk. Wenn zusätzliche Filterkriterien festgelegt sind, werden Incidents nur nennenswerte Ereignisse zugeordnet, die allen Kriterien entsprechen.
Hinweis:Wenn einer der Ereignisfeldnamen Sonderzeichen wie Anführungszeichen (“), Bindestriche (‘), Unterstriche (-), bei (@) oder ampersands (&) enthält, diese Zeichen müssen möglicherweise zu Zuordnungsübersetzungszwecken ersetzt werden und möglicherweise einen doppelten Ereignisnamen erstellen. Die Zuordnung kann entsprechend erfolgen, es wird jedoch ein numerisches Suffix angehängt, um Felder mit doppelten Ereignisnamen zu unterscheiden. Beispiel: Wenn das erste Ereignisfeld lautetWarnungen.WarnungUnd das zweite Ereignisfeld istWarnungen@Warnungen, Diese Felder können nicht eindeutig identifiziert werden, da die verbleibenden Standardtextzeichen identisch sind. In diesem Fall wird dem zweiten Ereignisfeld ein Suffix hinzugefügt, und das Feld wird in umbenanntWarnungen@Alert(1).
Kriterien für Ereigniszusammenfassung zur Behandlung ähnlicher wichtiger Elemente und zur Vermeidung doppelter Incidents
-
Scrollen Sie im Formular zum Abschnitt Bedingungen für die Incident-Generierung, und wählen Sie aus Filtern Sie basierend auf Bedingungen Kontrollkästchen zum Aktivieren der Option.
- Wahlweise:
Um die Erstellung doppelter Security Incidents zu vermeiden, definieren Sie zusätzliche Ereigniszusammenfassungskriterien, damit eingehende wichtige Ereignisse zu einem offenen Security Incident zusammengefasst werden.
Um die Kriterien festzulegen, führen Sie die folgenden Schritte aus.
-
Verwenden Sie Fügen Sie Neue Kriterien Hinzu Zum Auswählen mehrerer Felder, die Bedingungen entsprechen.
Alle Feldwerte, die Sie im Eingabefeld für Mehrfachauswahl auswählen, werden für Zusammenfassungskriterien mit der Bedingung UND abgeglichen. Klicken Sie Auf Fügen Sie Neue Kriterien Hinzu Dient zum Auswählen mehrerer übereinstimmender Felder, bei denen eine Zusammenfassung stattfindet, wenn eine der definierten Bedingungen für mehrere ausgewählte Felder mit der ODER-Bedingung erfüllt wird.
Wenn ein neues bemerkenswertes Ereignis allen Werten entspricht, die im Zuordnungsschritt in den Bedingungen des Zusammenfassungsfelds ausgewählt sind, wird das neue bemerkenswerte Ereignis automatisch dem zuletzt geöffneten Security Incident mit denselben Feldwerten hinzugefügt. Als Anwender mit der Rolle „sn_si.Analyst“, der mit Security Incidents arbeitet, können Sie alle hinzugefügten aggregierten wichtigen Ereignisse in einer zugehörigen Liste zu einem Security Incident anzeigen. Alle zusammengefassten wichtigen Ereignisse in einem Security Incident werden auf angezeigt Splunk Zugehörige Liste „Ereignis zu Aufgaben“. Diese Liste enthält Details zu zugeordneten Zeitstempeln und zusammengefassten Feldwerten. Diese Informationen helfen Ihnen zu verstehen, warum diese wichtigen Ereignisse zu vorhandenen Security Incidents aggregiert werden. Wenn diese Registerkarte nicht angezeigt wird, scrollen Sie unter zugehörige Links zur linken Seite des Datensatzes, und klicken Sie auf Alle Zugehörigen Listen Anzeigen Link.
Sie haben erfolgreich Werte aus einem zugeordnet Splunk Bemerkenswertes Ereignis für Felder in einem SIR Security Incident. Außerdem haben Sie zusätzliche Bedingungen konfiguriert, um die Erstellung von Security Incidents mit Filterkriterien für die Incident-Generierung einzuschränken. Sie haben auch wichtige Ereignisse an vorhandene angehängt SIR Security Incidents, wenn die Ereignisfeldwerte den konfigurierten Zusammenfassungskriterien entsprechen. -
Verwenden Sie Fügen Sie Neue Kriterien Hinzu Zum Auswählen mehrerer Felder, die Bedingungen entsprechen.
Nächste Maßnahme
Der nächste Schritt besteht darin, eine Vorschau der Werte anzuzeigen, die Sie dem Security Incident zugeordnet haben.
Vorschau des Security Incidents für anzeigen Splunk Enterprise Security Integration der Ereigniserfassung
Nachdem Sie den Zuordnungsschritt abgeschlossen haben, zeigen Sie eine Vorschau der Werte an, die Sie in einem zugeordnet haben ServiceNow AI Platform® Security Incident Response( SIR) Security Incident. Mit diesem Vorschauschritt können Sie überprüfen, ob Sie alle wichtigen Felder zugeordnet haben, die im Security Incident angezeigt werden sollen.
Vorbereitungen
Erforderliche Rolle: sn_si.ingestion_profile_admin
Warum und wann dieser Vorgang ausgeführt wird
Zeigen Sie eine Vorschau eines Security Incidents an, und bearbeiten Sie die Zuordnung nach Bedarf erneut, um Felder mit Fehlern zu beheben oder fehlende Daten auszufüllen. Wenn die Vorschau nicht erfolgreich abgeschlossen wurde, können Sie nicht mit dem Planungsschritt fortfahren. Vorschauen von SIR Security Incidents werden nicht als tatsächliche Incidents in gespeichert SIR Produkt.
Prozedur
-
Wählen Sie in der Auswahlliste Beispiel-IDs für bemerkenswerte Ereignisse ein Element aus.
Der Security Incident wird angezeigt. Ändern Sie keine Informationen in den Feldern. Diese Ansicht ist schreibgeschützt, und ein Datensatz dieses Security Incidents wird nicht gespeichert.
-
Überprüfen Sie die Feldzuordnung der wichtigen Ereigniswerte für den Security Incident.
Das vorangegangene Bild ist ein Beispiel für eine Vorschau mit einem Zuordnungsfehler. In diesem Beispiel hat ein Feldwert aus dem bemerkenswerten Ereignis keinen akzeptablen Wert für das Referenzfeld im SIR-Incident-Formular. Eine Fehlermeldung wird angezeigt, die angibt, dass für keinen Eingabewert gefunden wurde Konfigurationselement Feld in ServiceNow® Kundenmanagement-Datenbank (CMDB). Daher wird dieser zugeordnete Feldwert ohne weitere Änderung nicht im SIR Security Incident-Formular angezeigt.
-
Zeigen Sie erneut eine Vorschau der Zuordnung an, und beheben Sie alle Fehler, die in Fehlermeldungen beschrieben werden.
Die folgende Abbildung ist ein Beispiel für die Registerkarte Incident-Details in der unteren Hälfte von SIR Security Incident, nachdem alle Fehlermeldungen gelöst wurden. In diesem Beispiel wurden die Felder Beschreibung und Arbeitsnotizen zugeordnet, und diese Felder werden mit den Werten aus den Wertepaaren ausgefüllt, die aus abgerufen wurden Splunk Enterprise Security Bemerkenswerte Ereignisbeispiele. Das erste Feld „Arbeitsnotizen“ hat keinen Wert. Dieses Feld wurde während des Zuordnungsschritts im Zuordnungsraster leer gelassen. Die zusätzlichen Arbeitsnotizfelder mit Werten wurden dem Zuordnungsabschnitt hinzugefügt.
Nächste Maßnahme
Wenn keine Fehlermeldungen angezeigt werden und Sie mit der Feldzuordnung für den Security Incident zufrieden sind, ist der nächste Schritt bis Planen und rufen Sie Warnungen für ab Splunk Enterprise Event Ingestion Integration.
Planen und rufen Sie neue und aktualisierte wichtige Ereignisse für ab Splunk Enterprise Security Integration der Ereigniserfassung
Für automatisierte Erfassungsprofile für wichtige Ereignisse ist dieser Schritt in der Ereignisprofilkonfiguration erforderlich. Während dieses Schritts können Sie die Standardeinstellungen für den Abruf wichtiger Ereignisse überprüfen oder die Planung nach Bedarf ändern. Mit diesem Schritt können Sie auch historische wichtige Ereignisse mithilfe eines Datumsbereichs abrufen.
Vorbereitungen
Erforderliche Rolle: sn_si.ingestion_profile_admin
Warum und wann dieser Vorgang ausgeführt wird
Bei Profilen für die automatisierte Erfassung bedeutender Ereignisse wählen Sie aus, ob Sie während des Planungsschritts historische wichtige Ereignisse erfassen möchten. Sie wählen auch aus, wie oft Sie nach zukünftigen neuen wichtigen Ereignissen und aktualisierten wichtigen Ereignissen abfragen, die der Warnungsprofilkonfiguration entsprechen.
Bei automatisierten Profilen zur Erfassung bedeutender Ereignisse überprüfen und ändern Sie die Planung und den Warnungsabruf, bevor das Profil aktiviert wird. Dies ist ein erforderlicher Schritt für den gesamten Ereignisprofilkonfigurationsprozess für geplante Warnungsprofile.
Sie konfigurieren diese Abfrageintervalle pro Profil. Die Leistung von Splunk Die Integration der Ereigniserfassung kann durch die verschiedenen Abfrageintervalle beeinträchtigt werden. Bei der Planung möchten Sie möglicherweise die Reduzierung des Abfrageaufwands auf dem abgleichen Splunk Enterprise Security Server gegen den Wunsch, so bald wie möglich benachrichtigt zu werden, wenn ein bemerkenswertes Ereignis erstellt oder aktualisiert wird. Für jedes Profil ist ein fünf-Minuten-Standardwert festgelegt. Sie können diese Einstellung jedoch bei Bedarf auf eine Minute ändern.
Neue und aktualisierte wichtige Ereignisse werden abgerufen
Wenn der Abfragezeitplan festgelegt ist, ruft die geplante Aufgabe sowohl neue als auch aktualisierte wichtige Ereignisse ab, die zuvor abgerufen wurden, aber die Incident-Filterkriterien nicht erfüllten. Dies bietet Ihnen die Flexibilität, Incidents basierend auf Kriterien zu erstellen, die möglicherweise nicht vorhanden sind, wenn ein wichtiges Ereignis zum ersten Mal erstellt wird, aber verfügbar werden, nachdem ein Update erfolgt ist, z. B. während der Untersuchungsphase. Sobald ein Incident für ein bestimmtes bemerkenswertes Ereignis erstellt wurde, werden seine nachfolgenden Aktualisierungen ignoriert, da erwartet wird, dass der betreffende nun als aktives Ereignis behandelt wird ServiceNow® Security Incident. Alle anderen wichtigen Elemente, die zuvor erfasst wurden, aber die Kriterien für die Incident-Generierung nicht erfüllen, werden weiterhin abgerufen und anhand der Incident-Generierungskriterien überprüft, bis sie Teil eines aktiven Incident werden.
Prozedur
-
Wählen Sie eines aus, um zu planen, wie und wann wichtige Ereignisse aus abgerufen werden Splunk Enterprise Security Konsole.
Option Beschreibung - Feld „laufende Ereigniserfassung“ ausgewählt
- Feld „Einmalabruf“ gelöscht
Laufendes Ereignis Basierend auf der Standardeinstellung ServiceNow AI Platform Instanz ruft aus ab Splunk Enterprise Security Server für neue und aktualisierte wichtige Ereignisse alle fünf Minuten. Security Incidents werden erstellt, wenn wichtige Ereignisse gefunden werden und die Filterkriterien für die Incident-Generierung erfüllt sind. Um den Overhead der Erfassungsabfrage auszugleichen, der die aktuellsten Daten abrufen möchte, ist die Standardeinstellung fünf Minuten. Dieser Wert kann jedoch bei Bedarf auf eine Minute geändert werden.
- Feld „laufendes bedeutendes Ereignis“ gelöscht
- Feld „Einmalabruf“ ausgewählt
Einmaliger Abruf Verwenden Sie diese Konfiguration, wenn Sie einen einmaligen Abruf zum Erfassen historischer bedeutender Ereignisse wünschen.
Wenn diese Einstellung konfiguriert ist, wird einmal ein Profil verwendet, um wichtige Ereignisse aus historischen Ereignissen abzurufen, die auf einem Datumsbereich basieren. Klicken Sie rechts neben dem Feld seit Datum auf das Kalendersymbol. Wählen Sie im angezeigten Kalender das Datum aus, an dem Sie mit dem Abrufen von Warnungen beginnen möchten. Ab dem Wert seit Datum werden wichtige Ereignisse bis zum aktuellen Datum abgerufen. Beachten Sie, dass Sie bis zu sieben Tage ab dem aktuellen Datum zurückrufen können. Diese Funktionalität dient nicht dazu, signifikante Mengen historischer Ereignisse aus abzurufen Splunk Enterprise Security Aus Archivierungsgründen, aber eher aus einer minimalen Anzahl von laufenden Ereignissen, die zum Zeitpunkt der Profilaktivierung aktiv bearbeitet werden.
Nachdem die wichtigen Ereignisse abgerufen wurden, ruft diese Einstellung ab dem aktuellen Datum keine weiteren bedeutenden Ereignisse für dieses Profil ab. Diese Einstellung füllt den Security Incident mit allen wichtigen Ereignissen aus, die für den von Ihnen eingegebenen Bereich gefunden werden.Ein Beispiel für die Planung einer ersten Zeit der Erfassung eines bedeutenden Ereignisses, wenn Sie täglich eine haben Splunk Sicherheitsprüfung, die einmal täglich um 4 Uhr Ortszeit ausgeführt wird. Sie können das entsprechende Profil für wichtige Ereignisse in Ihrem einrichten ServiceNow AI Platform Instanz, die um 4:05 UHR Ortszeit ausgeführt werden soll, um das Security Failure-Ereignis sofort zu erfassen und einen Security Incident zu erstellen. Geben Sie Ein 04 05 00 Im Feld erste Ereigniserfassung. Geben Sie im Feld Schritt (Minuten) den Wert ein 1440 (24 Stunden) zum Planen der nächsten Ereigniserfassung für 24 Stunden ab der ersten Ereigniserfassung. Sowohl die erste Ereigniserfassungszeit als auch die nächste Ereigniserfassungszeit werden in den Feldern angezeigt.
Automatisieren Sie Aktualisierungen und den Abschluss wichtiger Ereignisse basierend auf dem SIR-Incident-Status
Security Incidents können erstellt und aktualisiert werden, nachdem sie mit einer bidirektionalen Schnittstelle mit erstellt wurden Splunk Enterprise Security Integration.
Vorbereitungen
Die Splunk Enterprise Security Die Integration verfügt über eine bidirektionale Schnittstelle, mit der wichtige Ereignisse Security Incidents erstellen und die wichtigen Ereignisse aktualisieren können, nachdem der Security Incident erstellt und/oder geschlossen wurde.
Zu den relevanten Incident-Details gehören SIR Incident-Nummer, Zuweisungsgruppe, SIR Incident-URL. Dieser Abschnitt ist der letzte Teil der Profilkonfigurationseinrichtung, die optionale Funktionen zum Aktualisieren von bietet Splunk Enterprise Security Bemerkenswerte Ereignisse.
Erforderliche Rolle: sn_si.ingestion_profile_admin
Prozedur
-
Klicken Sie Auf Beenden Um die Konfiguration abzuschließen.
Ein Bestätigungsdialogfeld wird angezeigt. Sie haben das Setup und die Konfiguration für die Integration erfolgreich abgeschlossen. Aktivieren Sie dieses Profil, um wichtige Ereignisse aus abzurufen Splunk Enterprise Security Konsole basierend auf Ihrer Planung. Es gibt ein Limit von 1.000 Security Incidents, die innerhalb von 24 Stunden erstellt werden können. Pro ausgelöster Warnung gelten bis zu 100 wichtige Ereignisse. Nachfolgende wichtige Ereignisse werden ignoriert, nachdem die Grenzwerte erreicht wurden.Die folgende Abbildung zeigt die Registerkarte „zusätzliche Optionen“ mit ausgefüllten Standardwerten:Wenn die Konfiguration „zusätzliche Optionen“ aktiviert ist, zeigt die Incident-Überprüfung eines bedeutenden Ereignisses die Statusänderung und eine Aktualisierung der Verlaufskommentare an:
Richten Sie ein Profil für die manuelle Ereignisweiterleitung ein
Abhängig vom definierten Profil Splunk ES Bemerkenswerte Ereignisse werden manuell als diskrete bemerkenswerte Ereignisse an weitergeleitet Security Operations Umgebung von ServiceNow AI Platform Instanz.
So richten Sie ein Profil für die manuelle Weiterleitung wichtiger Ereignisse ein:
Erstellen Sie Profile für manuell weitergeleitete Ereignisse
Sie können ein Profil für manuell weitergeleitete Ereignisse einrichten.
Vorbereitungen
Erforderliche Rolle: sn_si.ingestion_profile_admin
Prozedur
Für Ereignisse, die Sie bei Bedarf von Ihrem weiterleiten Splunk Enterprise Security Konsole können Sie die individuelle Feldzuordnung auf einem beliebigen vorhandenen Profil basieren. Alternativ können Sie ein neues Zuordnungsraster für exportierte Anhangsdaten erstellen. Ereignisse, die Sie manuell weiterleiten, sind im Ereignisprofil nicht geplant.
-
Wählen Sie im angezeigten Feld Zuordnungsoption aus der Auswahlliste eine Zuordnungsoption aus, um fortzufahren.
Weitere Informationen zu den verfügbaren Zuordnungsoptionen in der Auswahlliste Zuordnungsoptionen finden Sie in den folgenden Abbildungen und Tabellen.
Tabelle : 2. Option „neue Feldzuordnung erstellen“ Option oder Feld Beschreibung Erstellen Sie eine neue Feldzuordnungsoption Neue Feldzuordnung für Ihr Ereignis. Wenn Sie keine Feldzuordnung haben, die dem Profil ähnelt, das Sie erstellen, wählen Sie diese Option aus, um eine neue Zuordnung zu erstellen.
Standardprofil Standardmäßiges Ereignisweiterleitungsprofil für alle Splunk Ereignisse. Der Standardwert ist gelöscht (deaktiviert).
Wenn diese Option aktiviert ist, wird dieses Profil zum Standardprofil für die manuelle Ereignisweiterleitung. Dieses Profil wird verwendet, wenn keine Übereinstimmung für die Quelle aus dem manuell weitergeleiteten Ereignis vorhanden ist. Es wird zum Standardprofil für alle Ereignisse mit unbekannten Quellen.
Das Feld Quelle ist nicht verfügbar, wenn die Standardprofiloption aktiviert ist.
Quelle (Feld für bemerkenswertes Ereignis) Dies ist ein Feld, das normalerweise die Korrelationsregel definiert, die das bemerkenswerte ausgelöst hat, z. B. Brute Force-Angriffe. Dieses Feld ist nicht verfügbar, wenn die Standardprofiloption aktiviert ist.
Falls verfügbar, ermöglicht dieses Feld die Zuordnung eindeutiger Ereignisfelder zu Security Incident-Feldern basierend auf der splunk-Korrelationsregel, die sich normalerweise für verschiedene Ereignistypen unterscheidet.
Wenn Sie verschiedene Korrelationsregeln separat verwalten möchten, können Sie verschiedene Profil-Ereignisprofile basierend auf der Korrelationsregel erstellen, um diese Anforderung zu erfüllen.
Aktualisierung bedeutender Ereignisse automatisieren Aktivieren Sie dieses Kontrollkästchen, wenn Sie den Status des bedeutenden Ereignisses aktualisieren und zusätzliche Kommentare hinzufügen möchten, wenn ein SIR-Incident aus dem bedeutenden Ereignis erstellt wird und/oder wenn der SIR-Incident geschlossen wird. Dies tritt sowohl für die anfänglich auslösenden bedeutenden Ereignisse, die den SIR-Incident erstellen, als auch für zusammengefasste Ereignisse auf. Quelle ( Splunk Server)
Die Splunk Server, den Sie als Quelle für wichtige Ereignisse konfiguriert haben. Wenn Sie mehrere haben Splunk Server konfiguriert, wählen Sie den entsprechenden Server für die wichtigsten Ereignistypen aus, die für das Profil aktualisiert werden. Sie müssen einen Wert eingeben.
Reihenfolge Der Standardwert ist 100. Belassen Sie diese Einstellung auf den Standardwert. Wenn Sie eine große Anzahl von Profilen erstellt haben, bietet dieser Wert eine Laufzeitausführungspriorität, wenn zwei oder mehr Profile Auslösebedingungen gemeinsam haben. Der Workflow im Profil mit der niedrigsten Zahl hat die höchste Priorität.
(Optional) Beschreibung Text, der Ihnen hilft, dieses Profil von anderen Profilen zu unterscheiden. Überprüfen Sie für ein Profil mit einer neuen Feldzuordnung, ob Sie einen Wert in das Feld Quelltyp eingegeben haben, und klicken Sie auf Fahren Sie Fort Um mit dem Zuordnungsschritt der Konfiguration fortzufahren.
Weitere Informationen zu einem Profil mit einer vorhandenen Feldzuordnung finden Sie in der folgenden Abbildung und Tabelle.Tabelle : 3. Wählen Sie ein vorhandenes Profil für die Feldzuordnungsoption aus Option oder Feld Beschreibung Vorhandenes Profil für Feldzuordnung auswählen Verwenden Sie eine vorhandene Feldzuordnung für Ihr neues Profil für wichtige Ereignisse. Das Feld aus Profil kopieren wird angezeigt. Führen Sie die folgenden Schritte aus, um eine vorhandene Feldzuordnung für dieses Profil zu kopieren.
- Klicken Sie links neben dem angezeigten Feld aus Profil kopieren auf das Suchsymbol.
- In Splunk Liste „es-Ereignisprofile“, die angezeigt wird, klicken Sie auf den Profilnamen, der die Karte enthält, die Sie kopieren möchten.
Der Profilname wird im Feld aus Profil kopieren angezeigt.
Standardprofil Standardmäßiges Ereignisweiterleitungsprofil für alle Splunk Bemerkenswerte Ereignisse mit nicht übereinstimmender Quelle. Standard ist gelöscht (deaktiviert).
Wenn diese Option aktiviert ist, wird dieses Profil zum Standardprofil für die manuelle Ereignisweiterleitung.
Das Feld Quelle ist nicht verfügbar, wenn die Standardprofiloption aktiviert ist.
Quelle (Feld für bemerkenswertes Ereignis) Dies ist ein Feld, das normalerweise die Korrelationsregel definiert, die das bemerkenswerte ausgelöst hat, z. B. Brute Force-Angriffe. Dieses Feld ist nicht verfügbar, wenn die Standardprofiloption aktiviert ist.
Falls verfügbar, ermöglicht dieses Feld die Zuordnung eindeutiger Ereignisfelder zu Security Incident-Feldern basierend auf der splunk-Korrelationsregel, die sich normalerweise für verschiedene Ereignistypen unterscheidet.
Wenn Sie verschiedene Korrelationsregeln separat verwalten möchten, können Sie verschiedene Profil-Ereignisprofile basierend auf der Korrelationsregel erstellen, um diese Anforderung zu erfüllen.
Automatisieren Sie Wichtige Ereignisse Aktivieren Sie dieses Kontrollkästchen, wenn Sie den Status des bedeutenden Ereignisses aktualisieren und zusätzliche Kommentare hinzufügen möchten, wenn ein Security Incident aus dem bedeutenden Ereignis erstellt wird oder wenn der Security Incident geschlossen wird. Dies tritt sowohl für die anfänglich auslösenden wichtigen Ereignisse, die den Security Incident erstellen, als auch für zusammengefasste Ereignisse auf. Quelle ( Splunk Server)
Splunk Server- oder Suchende, die Sie als Quelle für wichtige Ereignisse konfiguriert haben. Wenn Sie mehrere haben Splunk Server konfiguriert, wählen Sie den entsprechenden Server für die wichtigsten Ereignistypen aus, die für das Profil aktualisiert werden. Sie müssen einen Wert eingeben.
Reihenfolge Der Standardwert ist 100. Belassen Sie diese Einstellung auf den Standardwert. Wenn Sie mehrere Profile erstellt haben, gibt dieser Wert eine Laufzeitausführungspriorität an, wenn zwei oder mehr Profile Auslösebedingungen gemeinsam haben. Der Workflow im Profil mit der niedrigsten Zahl hat die höchste Priorität.
(Optional) Beschreibung Text, der Ihnen hilft, dieses Profil von anderen Profilen zu unterscheiden. Klicken Sie unten im Formular zur Auswahl einer vorhandenen Zuordnung für Ihr Profil auf Beenden Um die Profilkonfiguration abzuschließen.
Erstellen Sie Zuordnungen für Splunk ESÜberprüfung von Incidents und Details zu beitragenden Ereignissen (manuelle Weiterleitung)
Während des Zuordnungsschritts für ein wichtiges Ereignis ordnen Sie einzelne Ereignisfelder aus wichtigen Ereignissen zu Feldern in einem zu ServiceNow AI Platform Security Incident Response( SIR) Security Incident.
Vorbereitungen
Erforderliche Rolle: sn_si.ingestion_profile_admin
Warum und wann dieser Vorgang ausgeführt wird
Ordnen Sie bis zu fünf wichtige Ereignisse aus der Spalte „Stichprobenerfassung für bedeutendes Ereignis“ auf der linken Seite des Formulars den Security Incident-Feldern in der Spalte „SIR-Incident-Feldzuordnung“ auf der rechten Seite zu.
Erstellen Sie anwenderdefinierte Zuordnungen, indem Sie die Felder im Zuordnungsraster auf der rechten Seite des Formulars hinzufügen oder entfernen. Standardfelder, die normalerweise ein wichtiges Feld sind, das im SIR-Incident-Formular ausgefüllt werden soll, werden angezeigt. Diese Felder können jedoch entfernt werden, und zusätzliche Felder können mit den Schaltflächen + und - angezeigt werden. Erstellen Sie anwenderdefinierte Karten, indem Sie die Felder im Zuordnungsraster auf der rechten Seite des Formulars hinzufügen oder entfernen. Durch das Anpassen der Felder können Sie zuordnen Splunk Felder, die nicht im Standardzuordnungsraster auf angezeigt werden SIR Security Incident.
Prozedur
- Wenn das Zuordnungsformular nicht angezeigt wird, klicken Sie auf Zuordnung Auf der Fortschrittsleiste.
-
Führen Sie die folgenden Schritte aus, um Anhangsdaten in hochzuladen ServiceNow AI Platform® Instanz.
-
Erweitern Sie das bedeutende Ereignis, und wählen Sie in der Spalte Feld die Felder aus, die Sie importieren möchten.
Diese Felder sind die Feld-Wert-Paare, die exportiert und auf der Zuordnungsseite in angezeigt werden ServiceNow AI Platform® Instanz.
-
Klicken Sie auf Exportieren.
Exportiert Splunk Die XML-Datei für wichtige Ereignisse muss jetzt auf hochgeladen werden ServiceNow AI Platform® Instanz. -
Klicken Sie in der Spalte Beispielerfassung für ein Ereignis auf Laden Sie Anhangsdaten .
-
Erweitern Sie das bedeutende Ereignis, und wählen Sie in der Spalte Feld die Felder aus, die Sie importieren möchten.
- Führen Sie die Schritte 5 bis 10 im aus Erstellen Sie Zuordnungen für Splunk ESÜberprüfung von auffälligen Ereignis-Incidents und Details zu beitragenden Ereignissen (geplante Erfassung) Abschnitt.
Richten Sie Ihr ein Splunk Umgebung für die manuelle Ereigniserfassung für Splunk Enterprise Security Integration der bemerkenswerten Ereigniserfassung
Installieren und richten Sie den ein ServiceNow Security Operations-Ereigniserfassungs-Add für Splunk Enterprise Security Anwendung in Ihrem Splunk enterprise-Konsole oder Splunk-Cloud-Instanz, wenn Sie Ereignisse manuell und bei Bedarf aus exportieren möchten Splunk Enterprise Security Konsole für diese Integration.
Vorbereitungen
Installieren und Einrichten von ServiceNow Security Operations-Ereigniserfassungs-Add für Splunk Enterprise Security Anwendung in Ihrem Splunk enterprise-Konsole oder Splunk-Cloud-Instanz ist optional.
Überprüfen Sie, ob Sie die Anwendung für diese Integration über installiert haben ServiceNow Store Vor der Installation des Add-on-Plugins aus splunkbase, das für die manuelle Ereigniserfassung erforderlich ist. Wenn Sie die Anwendung für die Integration nicht über installiert haben ServiceNow Store, Siehe Installieren und konfigurieren Splunk Enterprise Security Integration der bemerkenswerten Ereigniserfassung Und befolgen Sie die Anweisungen zur Installation.
Erforderliche Rolle: Splunk Enterprise Security Administrator
Warum und wann dieser Vorgang ausgeführt wird
Wenn Sie Ereignisse manuell und bei Bedarf aus exportieren möchten Splunk Enterprise Konsole für die -Integration herunterladen, installieren und einrichten ServiceNow Security Operations-Ereigniserfassungs-Add für Splunk Enterprise Security Aus SPLunkbase in Ihrem Splunk Enterprise Security Konsole. Dies ServiceNow Das Erweiterungs-Add-on ist erforderlich, damit Security Incidents aus manuell exportierten Ereignissen in erstellt werden können ServiceNow AI Platform Instanz. Dies ServiceNow Security Operations-Ereigniserfassungs-Add für Splunk Enterprise Security Anwendung ist für verfügbar Splunkbase .
Für die manuelle Ereignisweiterleitung können Sie bis zu zwei verschiedene identifizieren ServiceNow AI Platform Endpunkte (Instanzen) in Ihrem Splunk Enterprise Security Konsole. Sie leiten die Ereignisse manuell an den Endpunkt oder Endpunkte weiter, um Security Incidents zu erstellen. Sie können beispielsweise sowohl eine Bereitstellungs-(Entwicklungs-)Instanz als auch eine Produktionsinstanz angeben. Indem Sie separate Instanzen angeben und primäre und sekundäre Workflows für jede Instanz benennen, können Sie auswählen, wohin Sie verschiedene Ereignisse weiterleiten möchten.
Prozedur
-
Führen Sie die folgenden Schritte aus, um das Add-on einzurichten.
-
Füllen Sie das Formular aus.
Die folgende Abbildung zeigt ein Beispiel für ein ausgefülltes Formular in Ihrem Splunk Enterprise Security Konsole.
Feld im Abschnitt „primäre ServiceNow-Instanz angeben“ Beschreibung Bezeichnung der Workflow-Aktion Name des ServiceNow AI Platform Workflow für Ihre (primäre) Produktionsinstanz. Dieser Name ist der Name von ServiceNow AI Platform Instanz, die Ihre Anwender überwachen Splunk Ereignisse werden als primäre Instanz identifiziert, z. B. ServiceNow-Ereigniserfassung (Produktion). Der Standard für dieses Feld ist ServiceNow-Ereigniserfassung (Produktion).
In Ihrem Splunk Enterprise Security Konsole, wird dieser Workflow-Name für die Produktionsinstanz (primäre) in erweitert angezeigt Ereignisaktionen Dropdown-Liste einer Suche. Dieser Name ist der Name Ihrer Produktionsinstanz. Sie können den Namen bearbeiten.
URL Die URL für ServiceNow AI Platform Instanz, die Sie im Feld „Bezeichnung der vorangegangenen Workflow-Aktion“ eingegeben haben. Kopieren Sie die URL in Ihren Browser, und fügen Sie sie in dieses Feld im Formular ein.
Endpunkt Basis-API-Pfad. Weitere Informationen finden Sie in der Abbildung nach der Tabelle. Wenn Sie keinen Wert für den Endpunkt von haben ServiceNow AI Platform Führen Sie die folgenden Schritte aus: Produktionsinstanz.
- Melden Sie sich bei an ServiceNow AI Platform Produktionsinstanz als Anwender mit der Rolle „Systemadministrator“ (Administrator).
- Geben Sie Ein Geskriptete REST-APIs Im Navigationsbereich.
- Nachdem der Navigationsbereich aktualisiert wurde, wählen Sie aus Geskriptete REST-APIs Modul, das angezeigt wird.
- Wenn die Ereigniserfassung nicht in der Spalte Name des aufgeführt ist Geskriptete REST-APIs Liste, die angezeigt wird, geben Sie im Suchfeld oben ein Ereigniserfassung .
- Kopieren Sie diesen Wert in der Spalte Basis-API-Pfad auf der aktualisierten Seite, und fügen Sie ihn in das Feld Endpunkt im Formular ein. Ein Beispiel für einen Basis-api-Pfad ist: /api/sn_sec_splunk_v2/event_ingestion .
Anwendername Anwendername für Ihren ServiceNow AI Platform Instanz. Dieser Name ist der Anwendername für ServiceNow AI Platform Instanz, in der Sie einem Anwender die Rolle (sn_sec_splunk_v2.api_Account_Access) für die manuelle Ereignisweiterleitung zugewiesen haben. Weitere Informationen zum Zuweisen dieser Rolle finden Sie unter Richten Sie Ihr ein ServiceNow AI Platform Instanz für Splunk Enterprise Event Ingestion Integration.
Passwort Passwort für Ihren ServiceNow AI Platform Instanz. Dieses Passwort ist das Passwort für ServiceNow AI Platform Instanz, in der Sie einem Anwender die Rolle (sn_sec_splunk_v2.api_Account_Access) für die manuelle Ereignisweiterleitung zugewiesen haben.
(Optional) Felder im Abschnitt „Sekundäre ServiceNow-Instanz angeben“ Beschreibung Diese Felder sind optional. Sie müssen keine sekundäre Instanz angeben.
Bezeichnung der Workflow-Aktion Name des ServiceNow AI Platform Workflow für Ihre sekundäre Instanz (Staging). Dieser Name ist der Name von ServiceNow AI Platform Instanz, die Ihre Anwender überwachen Splunk Ereignisse identifizieren sich als sekundäre Instanz, z. B. ServiceNow Ereigniserfassung (Bereitstellung). In Ihrem Splunk Enterprise Security Konsole, wird dieser Workflow-Name für die Instanz „Staging“ (sekundär) in der Dropdown-Liste „Ereignisaktionen“ einer Suche angezeigt. Dies ServiceNow AI Platform Instanz ist Ihre Bereitstellungsinstanz. Sie können den Namen bearbeiten.
URL Die URL für ServiceNow AI Platform Instanz, die Sie im Feld „Bezeichnung der vorherigen Workflow-Aktion“ für die sekundäre Instanz eingegeben haben ServiceNow AI Platform Instanz. Kopieren Sie die URL in Ihren Browser, und fügen Sie sie in dieses Feld im Formular ein.
Endpunkt Basis-API-Pfad. Dieser Wert für den Basis-API-Pfad für Ihre sekundäre Instanz ist derselbe Wert wie der Basis-API-Pfad für Ihre primäre Instanz. Weitere Informationen finden Sie in der vorangehenden Abbildung des Formulars. Anwendername Anwendername für Ihren ServiceNow AI Platform Bereitstellungsinstanz. Der Anwender muss über die Rolle (sn_sec_splunk_v2.api_Account_Access) verfügen. Passwort Passwort für Ihren ServiceNow AI Platform Bereitstellungsinstanz. Der Anwender muss über die Rolle (sn_sec_splunkes.api_Account_Access) verfügen. Die folgende Abbildung ist ein Beispiel für die Liste geskriptete REST APIs in Ihrem ServiceNow AI Platform. In der Liste wird die Position des Endpunktwerts von angezeigt ServiceNow AI Platform Instanz, die Sie im Rahmen der Einrichtung für in das Formular eingeben ServiceNow Security Operations-Ereigniserfassungs-Add für Splunk Enterprise Security Erweiterung in Ihrem Splunk Enterprise Security Konsole. -
Füllen Sie das Formular aus.
Nächste Maßnahme
Wenn Sie Suchvorgänge noch nicht in gespeichert haben Splunk Enterprise Security-Konsole besteht der nächste Schritt darin, Suchvorgänge als Warnungen in Ihrer zu speichern Splunk Enterprise Security Konsole.