Configurer votre ServiceNow AI Platform instance pour l’intégration Splunk Enterprise Security
La section suivante répertorie les tâches de configuration que vous devez effectuer dans votre ServiceNow AI Platform® instance avant d’installer l’application à partir du ServiceNow Store.
Rôle requis : sn_si.ingestion_profile_admin.
Reportez-vous au tableau suivant et vérifiez que vous avez effectué toutes les tâches répertoriées avant de télécharger et d’installer l’application afin de garantir une installation et une configuration fluides.
- Vérifiez que vous avez affecté les rôles et (SIR)
requis.ServiceNow AI Platform®Réponse aux incidents de sécurité
Les rôles suivants sont requis pour l’installation, la configuration et l’utilisation de l’intégration dans votre ServiceNow AI Platform® instance.
- Un utilisateur disposant du rôle d’administrateur ServiceNow AI Platform® (admin) installe l’application à partir de et ServiceNow Store lui affecte le rôle d’administrateur d’incident de sécurité (sn_si.admin).
- Si vous souhaitez transférer manuellement Splunk Enterprise Security
des événements notables pour cette intégration, un utilisateur disposant du ServiceNow AI Platform® rôle administrateur affecte un
utilisateur ayant le rôle (sn_sec_splunkes.api_account_access) dans le ServiceNow AI Platform®. Ce rôle permet à un utilisateur ayant le
rôle d’administrateur Splunk Enterprise Security d’accéder à l’API dans le
qui est requise pour le transfert manuel d’événements ServiceNow AI Platform® pour cette intégration.
Le rôle (sn_sec_splunkes.api_account_access) n’est pas requis pour l’intégration si vous ingérez automatiquement des Splunk Enterprise Security événements notables depuis votre ServiceNow AI Platform® instance.
- Un utilisateur disposant du rôle sn_si.ingestion_profile_admin
supervise les tâches suivantes dans le ServiceNow AI Platform®:
- Nomme, crée et modifie les profils d’événements.
- Sélectionne et mappe les valeurs depuis les ServiceNow AI Platform® incidents de Splunk Enterprise Security sécurité.
- Prévisualise les détails de l’incident de sécurité pour plus d’exactitude avant de finaliser la configuration.
- Planifie l’ingestion d’événements notables en cours.
- Active les mises à jour d’événements notables lorsqu’un incident SIR est créé et fermé.
- Affecte le rôle d’analyste des incidents de sécurité (sn_si.analyst).
- Les utilisateurs disposant du sn_si.analyst travaillent sur des incidents de sécurité.
Pour en savoir plus, reportez-vous à Managing roles.
- Affectez le rôle d’utilisateur Splunk .
Affecter un rôle d’utilisateur Analyste de la sécurité (ess_analyst) dans Splunk ES pour effectuer toutes les activités liées à l’intégration sur le Splunk serveur.
- Vérifiez que vous utilisez la version 7.2.6 ou ultérieure de l’API Splunk . Les versions antérieures ne sont pas prises en charge.
Si vous avez accès à la Splunk Enterprise Security console, vous avez accès à l’API requise pour cette intégration. Aucune autre configuration spéciale n’est requise pour l’API.
- Vérifiez que vous avez installé et configuré un Serveur MID.
A Serveur MID dans votre ServiceNow AI Platform® instance est nécessaire pour se connecter au service si le serveur est déployé au sein de SplunkSplunk votre réseau d’entreprise. (pour en savoir plus, consultez Serveur MID).
Si vous utilisez le service dans le cloud, un n’est Splunk Enterprise SecurityServeur MID pas obligatoire.
- Vérifiez que les ServiceNow applications principales
nécessaires à la prise en charge de l’intégration sont installées et activées.
Le Réponse aux incidents de sécurité module d’extension Dependency (com.snc.si_dep) est requis. Ce module d’extension installe automatiquement toutes les dépendances requises pour prendre en charge le Réponse aux incidents de sécurité produit. Installez et activez ce module d’extension avant d’installer et d’activer les autres Opérations de sécurité applications requises par l’intégration.
Vérifiez que les applications suivantes Opérations de sécurité sont installées et activées à partir du ServiceNow Store. Si elle n’est pas installée, installez et activez une application à la fois dans l’ordre suivant pour assurer une installation fluide.
- Security Incident Response
- Cadre de travail d’intégration de sécurité
- Structure de support de la sécurité commun
Pour plus d’informations sur l’installation des Opérations de sécurité applications principales, consultez Obtenir une autorisation pour un produit ou une Opérations de sécurité application et Activer une ServiceNow Store application.
Si vous souhaitez exporter des événements notables manuellement et à la demande à partir de votre Splunk Enterprise Security console pour l’intégration, consultez Configurer votre Splunk environnement pour l’ingestion manuelle d’événements pour l’intégration de l’ingestion d’événements Splunk Enterprise Security notables pour plus d’informations.