Utilisation ServiceNow du complément d’intégration d’ingestion d’événements

Mappez les alertes de la console Splunk pour créer une réponse aux incidents de sécurité (SIR) sur l’instance ServiceNow .

Avant de commencer

Rôle requis : sn_sec_splunk_v2.api_account_access

Procédure

1. Connexion à Splunk Enterprise.
2. Accédez à la Applications > Recherche et rapports.
3. Sélectionnez Alertes.
   Une liste des alertes générées dans la console Splunk sur la base de la règle de corrélation configurée précédemment s’affiche.
4. Sélectionnez n’importe quelle alerte configurée dans la liste.
   Déclencheur Affichage de l’historique de l’alerte configurée.
5. Sélectionnez Afficher les résultats par rapport à l’alerte.
6. Développez l’une des alertes à l’aide de l’icône (>).
7. Dans la liste déroulante, sélectionnez l’étiquette Action du workflow configurée lors de la configuration du module complémentaire.
   Pour plus d’informations sur l’étiquette Action du workflow, voir Configurer le complément d’intégration d’ingestion d’événement ServiceNow
   Les alertes sont placées dans la table d’importation Splunk , suivie de la table Événement Splunk à Tâches .

Résultats

Un enregistrement de Réponse aux incidents de sécurité (SIR) est créé sur l’instance ServiceNow selon le mappage spécifié dans le profil de transfert manuel d’événements. Pour obtenir des instructions sur la configuration d’un profil de transfert manuel d’événements, consultez Créer et nommer un profil d’événement