Utilisez l’éditeur de script pour formater les valeurs d’alerte pour l’intégration de l’ingestion d’événements Splunk Enterprise Security
En plus des champs directement mappés à partir des valeurs d’événements notables ingérées et des valeurs que vous saisissez manuellement, utilisez l’éditeur de script pour formater les valeurs de champ sur l’incident de sécurité pendant l’étape de mappage.
Avant de commencer
Rôle requis : sn_si.admin
Pourquoi et quand exécuter cette tâche
Dans certains cas, Splunk Enterprise Security les valeurs d’événement notable qui sont mappées aux champs Catégorie, Élément de configuration (CI) et Observable de l’incident SIR ne sont pas prises en charge. Vous préférerez peut-être modifier les valeurs mappées. Si vous souhaitez convertir la valeur d’un Splunk Enterprise Security événement notable en une valeur prise en charge par ces champs sur l’incident SIR de sécurité, utilisez l’éditeur de script.
Procédure
-
Une fois le formulaire de mappage affiché, cliquez sur le lien pour ouvrir l’éditeur de script.
-
Vous pouvez également, dans la section Mappage des champs d’incidents SIR, cliquer sur l’icône de crochet [{}] en regard d’un champ pour ouvrir l’éditeur de script de ce champ.
Dans certains cas, un script include peut être approprié pour le champ Élément de configuration. Pour un événement notable, par exemple, une valeur pour l’élément de configuration peut ne pas correspondre.
Comme le montre la figure suivante, si une correspondance pour un nom d’hôte est introuvable dans la Now Platform® CMDB pour le champ Élément de configuration, vous pouvez modifier la règle de sorte que, si une adresse IP est trouvée, elle remplisse le champ Élément de configuration. S’il n’y a pas de valeur pour l’alarme, le champ de l’incident de sécurité est défini sur Null.
L’éditeur s’ouvre avec le champ affiché dans Champ de destination. L’image suivante montre l’éditeur avec le champ d’élément de configuration comme champ de destination.