Splunk Enterprise Event Ingestion 統合でのアラートのマッピング
イベントフィールドマッピングのステップでは、トリガーされたアラートまたはインポートされたイベントデータの個々のイベントフィールドを ServiceNow AI Platform セキュリティインシデントレスポンス (SIR) セキュリティインシデントのフィールドにマップします。
始める前に
必要なロール:sn_si.ingestion_profile_admin
このタスクについて
デフォルトのセキュリティインシデントフィールドの事前設定されたマッピンググリッドを編集できます。イベントフィールドの色分けは、既にマッピングされているフィールド値を監視するのに役立ちます。このステップは、編集がセキュリティインシデントのフィールドにどのように影響するかを視覚化するのに役立ちます。
フォームの左側にある [アラートサンプルの取り込み] 列から、右側の [SIR インシデントフィールドマッピング] 列のセキュリティインシデントフィールドに最大 5 つのアラートをマッピングします。
フォームの右側にあるマッピンググリッドのフィールドを追加または削除して、カスタムマッピングを作成します。フィールドをカスタマイズすると、SIR セキュリティインシデントのデフォルトのマッピンググリッドに表示されていない Splunk フィールドをマッピングできます。
手順
-
フィールド名 ( ホストなど) をドラッグして、[セキュリティインシデント] 列のフィールド名の横にある [入力式] 列のフィールドにドロップします。
フィールド値が [入力式] 列に表示されます。次の画像では、category がセキュリティインシデントの [カテゴリ] フィールドにマップされます。ただし、左側から右側のフィールドまでの任意の値を一致させることができます。プレビューステップで、セキュリティインシデントの値が正しくマッピングされていることを確認します。
マッピングプロセスでイベントが見落とされたり、重複したりしないようにするために、フィールドは色分けされています。左側のライトブルーのフィールドは、フィールドがまだ未選択で、セキュリティインシデントにマップされていないことを示します。受信アラートフィールドをセキュリティインシデントの 1 つ以上のフィールドに関連付けることができます。
灰色のフィールドは、フィールドが選択され、セキュリティインシデントのフィールドにマッピングされていることを示します。場合によっては、アラートイベントフィールドが 1 回しか割り当てられないことがあるため、この色分けはマッピングの追跡に役立ちます。たとえば、 [簡単な説明] などのフィールドに値を割り当てることができるのは 1 回のみです。ただし、マッピンググリッドに行を追加することで、作業メモなどのリストフィールドを複数回割り当てることができます。
-
フォームの右側のセキュリティインシデントのデフォルトマッピングにフィールドを追加するには、次のステップを実行します。
-
[セキュリティインシデント] 列で表示されているリストを展開し、フィールドを選択します。
新しいフィールドの展開されたリストでは、一部のフィールドが網掛けされています。次の図では、セキュリティインシデントにマッピングされているため、カテゴリのバックグランドがグレーになっています。フォームの左側のアラートフィールドの色分け同様、右側のセキュリティインシデントフィールドのこの色分けも、マッピングの追跡に役立ちます。
注:同じセキュリティインシデントに複数の観測事象を表示できるため、[観測事象] フィールドを異なる値で複数回マップできます。同様に、[構成アイテム] フィールドと [作業メモ] フィールドは複数の値をサポートします。複数の値をサポートできないフィールドに 2 つの値をマッピングしようとすると、インシデントをプレビューするときに、フィールドに値がないことを示すエラーメッセージが表示されます。同様に、セキュリティインシデントのフィールドに複数のオプションを選択できるリストがあり、リストに表示されていないフィールドにオプションをマップしようとすると、そのフィールドはセキュリティインシデントに入力されません。
-
[セキュリティインシデント] 列で表示されているリストを展開し、フィールドを選択します。
-
フィールドを追加または削除し、値をマップに追加してマッピングを続行します。
次の図は、編集されたマッピンググリッドの例です。右側の下部のフィールドに [作業メモ] フィールドが追加され、複数の値が表示されます。値はスペースと句読点で区切られます (${_time}$ | $(source}$ | ${Splunk Alert Name)$)。
プレビューでは、これらの値はセキュリティインシデントの [作業メモ] に表示されます。値はグリッドに追加したフィールドの値であり、[作業メモ] フィールドに複数の値がマッピングされているため、値は入力されたとおりに表示されます。この例では、フィールドに入力したスペースと句読点が、セキュリティインシデントのプレビューの作業メモとして [関連アイテム] セクションに表示されます。
インシデント生成フィルタリング条件
- オプション:
先行するフィールドレベルマッピングのステップを完了したら、フィルター条件ビルダーで同じフィールド値を使用して、SIR セキュリティインシデントを作成するために受信アラートが満たす必要がある追加の条件を定義できます。
フィルタリング条件を設定するには、次のステップを実行します。
- オプション:
2 行目で、2 番目のフィルター条件を設定します。
次の画像は、セキュリティインシデントが作成される前に一致する必要がある 2 つの条件を含む例です。
入力した両方のフィルタリング条件に一致した場合にのみセキュリティインシデントが作成されるように、トリガー条件を設定しました。
このタイプのフィルタリングは、セキュリティインシデントを分離し、作成するセキュリティインシデントの数を制限するのに役立ちます。追加のフィルター条件を設定すると、Splunk のクエリまたはトリガーされたアラート構成を変更することなく、必要なアラートのみが取り込まれます。
重複インシデントを防止する集計アラート
- オプション:
2 行目で、2 番目のフィルター条件を設定します。
- オプション:
重複セキュリティイベントが作成される可能性がないように、追加のインシデントフィールド条件を定義して、受信アラートをオープンセキュリティインシデント別に集計することができます。
この基準を設定するには、以下のステップを実行します。
-
フォームで [アラートアグリゲーション基準] セクションにスクロールして、[集計条件] チェックボックスをオンにして、このオプションを有効にします。
[値が一致するインシデントフィールド] 列が表示されます。これらのフィールド名は、SIR セキュリティインシデントで構成されたカスタムフィールドを含むセキュリティインシデントのフィールドです。
-
[利用可能] リストから、ServiceNow AI Platform の既存のセキュリティインシデントで照合するフィールド値を選択し、[選択済み] リストに移動させます。
この受信アラートを既存のセキュリティインシデントに追加するには、選択するすべてのフィールド値が一致する必要があります。この基準に使用するセキュリティインシデントのフィールド値を確認する場合は、次に移動します .
新しいアラートが、マッピングステップの集計フィールド条件で選択されたすべての値と一致する場合、新しいアラートは、同じフィールド値を持つ最新のオープンセキュリティインシデントに自動的に追加されます。セキュリティインシデントを扱う sn_si.analyst ロールを持つユーザーは、セキュリティインシデントの関連リストで、追加されたすべての集計アラートを表示できます。セキュリティインシデントの集計されたアラートはすべて、[タスクに対する Splunk イベント] 関連リストに表示されます。このリストには、関連するタイムスタンプと集計されたフィールド値の詳細が表示されます。この情報は、アラートが既存のセキュリティインシデントに追加される理由を理解するのに役立ちます。このタブが表示されない場合は、[関連リンク] の下のレコードの左側にスクロールし、[ すべての関連リストを表示] リンクを選択します。
Splunk アラートまたはイベントから SIR セキュリティインシデントのフィールドに値を正常にマッピングしました。また、フィルター条件に基づいてセキュリティインシデントの作成を制限する追加条件も設定しました。既存の SIR セキュリティインシデントにアラートまたはイベントも追加しました。 -
フォームで [アラートアグリゲーション基準] セクションにスクロールして、[集計条件] チェックボックスをオンにして、このオプションを有効にします。
次のタスク
次のステップでは、 セキュリティインシデントにマッピングした値をプレビューします。