Commencez avec l’intégration de l’enrichissement IBM QRadar des incidents

IBM QRadar est un produit SIEM (Enterprise Security Information and Events Management) qui s’intègre facilement à Opérations de sécurité. Avant de pouvoir utiliser l’intégration IBM QRadar d’enrichissement d’incident, vous devez la télécharger à partir de et ajouter l’URL de base de l’API ServiceNow Store et la clé API appropriées.

Avant de commencer

Rôle requis : sn_si_admin

Procédure

1. Téléchargez l’intégration à partir de ServiceNow Store.
2. Une fois l’installation terminée, accédez à IBM QRadar l’URL de base API et à la clé API sous votre IBM QRadar profil, et obtenez-les.
3. Dans votre instance, accédez à Security Operations > Intégrations > Configurations d'intégration.
   Les intégrations de sécurité disponibles apparaissent sous la forme d’une série de cartes.
4. Sur la carte Enrichissement d’incident IBM QRadar , cliquez sur Nouveau.

   

5. Renseignez les champs nécessaires.

   Champ	Description
   Nom	Nom de cette configuration.
   URL de Base de l'API QRadar	L’URL de base que vous avez acquise à partir du IBM QRadar site.
   URL de lien	[Facultatif] L’URL du lien qui renvoie à une instance, lorsqu’elle IBM QRadar est disponible.
   Version	La IBM QRadar version 5.0 est la version par défaut.
   Clé API	La clé API que vous avez obtenue à partir du IBM QRadar site.
   Lignes max.	Le nombre maximal de lignes que vous souhaitez rechercher.
   Tout premier résultat (jours)	Les résultats les plus récents que vous souhaitez voir, en nombre de jours.
   Inclure les exemples de données brutes dans les résultats de recherche	Sélectionnez cette option pour inclure des exemples de données brutes dans vos résultats de recherche d’observations. La quantité de données renvoyées dépend du paramètre que vous définissez sur le nombre de lignes de la propriété de données brutes dans les propriétés de Réponse aux incidents de sécurité.
   Serveur MID	Sélectionnez N’importe lequel pour utiliser n’importe quel Serveur MID actif ou sélectionnez un nom de Serveur MID spécifique.

   Remarque :

   La configuration de cette intégration active les workflows. Pour gérer les workflows, accédez à l’éditeur de workflow.
6. Cliquez sur Envoyer.
   La carte de configuration de l’intégration s’affiche.
7. Lors de l’affichage de la nouvelle carte de configuration, vous pouvez cliquer sur Configurer ou Supprimer pour modifier ou supprimer la configuration, respectivement.
8. Pour revenir à la liste initiale des cartes de configuration d’intégration, sélectionnez Non dans la liste déroulante Afficher les configurations .