Planifier et récupérer les alertes pour l’intégration Splunk Enterprise Event Ingestion

Pour les profils d’ingestion automatisée d’alertes, cette étape est la dernière étape de la configuration du profil d’événement. Au cours de cette étape, vous pouvez vérifier les paramètres par défaut pour la récupération des alertes ou modifier la planification si nécessaire. Cette étape vous permet de filtrer la récupération de vos alertes en fonction d’une plage de dates.

Avant de commencer

Rôle requis : rôle sn_si.admin

Pourquoi et quand exécuter cette tâche

Une fois que vous avez terminé toutes les étapes de la barre de progression de la configuration du profil, comme illustré dans la figure suivante, vous avez terminé la configuration des profils pour le transfert manuel d’événements. Aucune planification n’est disponible pour les événements transférés manuellement à partir de votre Splunk Enterprise console. Pour les profils d’ingestion automatisée d’alertes, vous choisissez si vous souhaitez ingérer des alertes historiques pendant l’étape de planification. Vous pouvez également choisir la fréquence à laquelle vous interrogerez les alertes futures qui correspondent à la configuration du profil d’alerte.

Figure 1. Barre de progression

Pour les profils d’ingestion d’alerte automatisée, avant que le profil ne soit activé, vous vérifiez et modifiez la planification et la récupération des alertes. Cette étape est la dernière étape du processus de configuration du profil d’événement pour les profils d’alerte planifiée.

Configurez ces intervalles d’interrogation par profil. Les performances de l’intégration de l’ingestion Splunk d’événements sont impactées par les différents intervalles d’interrogation. Lors de la planification, vous préférez peut-être équilibrer la charge du système par rapport à l’urgence de l’incident. Une valeur par défaut de cinq minutes est définie pour n’importe quel profil, mais vous préférez peut-être modifier ce paramètre en fonction de l’urgence de l’incident et de la charge prévue sur votre système.

Dans la Splunk Enterprise console, vous définissez une alerte à déclencher basée sur des incréments ou sur une heure spécifique. Utilisez ce paramètre pour vous aider à configurer la planification dans votre Now Platform instance afin que les incréments de temps de votre Splunk Enterprise console se synchronisent avec la planification que vous avez configurée dans votre Now Platform instance.

Procédure

1. Si la page Planification de la barre de progression ne s’affiche pas, sélectionnez Planification.
2. Choisissez-en un pour planifier comment et quand les alertes sont extraites de la Splunk Enterprise console.

   Option	Description
   Champ Alerte en cours sélectionné Champ Récupération ponctuelle effacé	Alerte en cours En fonction du paramètre par défaut, l’instance Now Platform extrait du Splunk Enterprise serveur de nouvelles alertes toutes les cinq minutes. Les incidents de sécurité sont créés si des alertes déclenchées sont trouvées et que les critères de filtrage sont vérifiés. Pour équilibrer l’ingestion d’alertes par rapport à la charge du serveur et pour extraire les données les plus récentes, vous préférez utiliser cinq minutes. Toutefois, cette valeur peut être modifiée si nécessaire.
   Champ Alerte en cours effacé Champ de récupération ponctuelle sélectionné	Récupération ponctuelle Utilisez cette configuration si vous souhaitez une extraction ponctuelle pour ingérer des alertes basées sur des événements historiques. Lorsqu’il est configuré, un profil est utilisé une seule fois pour récupérer les alertes déclenchées, y compris les alertes des événements historiques basés sur une plage de dates. À droite du champ Depuis la date , cliquez sur l’icône Calendrier. Dans le calendrier qui s’affiche, sélectionnez la date à laquelle vous souhaitez commencer à extraire des alertes. À partir de la valeur Depuis la date , les alertes déclenchées sont récupérées jusqu’à la date actuelle. Une fois les alertes extraites, ce paramètre ne récupère pas les alertes déclenchées pour ce profil à partir de la date actuelle. Ce paramètre renseigne l’incident de sécurité avec toutes les alertes trouvées pour la plage que vous saisissez.

   

   Par exemple, si vous avez une alerte quotidienne Splunk qui s’exécute une fois par jour à 4 h (heure locale), vous pouvez configurer le profil d’alerte correspondant dans votre Now Platform instance pour qu’il s’exécute à 4 h 05, heure locale, afin de capturer immédiatement l’alerte et de créer un incident de sécurité. Saisissez 04 05 00 dans le champ Ingestion d’alerte initiale . Dans le champ Incrémentation (minutes), saisissez 1 440 (24 heures) pour planifier la prochaine ingestion d’alerte pendant 24 heures à compter de l’ingestion d’alerte initiale. Le délai d’ingestion de l’alerte initiale et l’heure d’ingestion de l’alerte suivante sont affichés dans les champs.

3. Pour configurer les paramètres de cet exemple, procédez comme suit.
   1. Une fois la page Planification affichée, cochez la case Alerte en cours pour activer cette option.
   2. Dans le champ Incrémentation (minutes), saisissez 1 440 (24 heures).
   3. Cochez la case Sélectionner l’ingestion d’alerte initiale pour activer la modification des champs Ingestion d’alerte initiale et Ingestion d’alerte suivante.
   4. Dans le champ Ingestion d’alerte initiale, saisissez 04 05 00.
      Dans le champ Prochaine ingestion d’alerte (estimée), l’heure de la prochaine ingestion d’alerte s’affiche.
4. Cliquez sur Terminer pour terminer la configuration.
   Une boîte de dialogue de confirmation s’affiche. Vous avez terminé avec succès l’installation et la configuration de l’intégration. Ce profil est activé et extrait les alertes de la Splunk Enterprise console en fonction de votre planification. Il existe une limite de 1 000 incidents de sécurité pouvant être créés dans une période de 24 heures. Jusqu’à 100 événements par alerte déclenchée. Les événements suivants sont ignorés une fois les limites atteintes.