주목할 만한 이벤트 수집 통합 설치 및 구성 Splunk Enterprise Security

인스턴스의 ServiceNow Store에서 애플리케이션에 대한 보안 운영 중요 이벤트 수집 통합을 설치하고 구성 Splunk Enterprise Security 합니다ServiceNow AI Platform®.

시작하기 전에

필요한 역할: ess_analyst

Splunk ES에 보안 분석가(ess_analyst) 사용자 역할을 할당하여 Splunk 서버에서 모든 통합 관련 활동을 수행합니다.

이 태스크 정보

프로시저

1. 통합을 위해 에서 이벤트 수집 애플리케이션을 ServiceNow Store 설치 Splunk Enterprise Security 하지 않은 경우 다음 단계를 참조 통합 설치 보안 운영 하고 단계에 따라 설치하십시오.
2. 애플리케이션을 성공적으로 설치한 후 모두 > 보안 운영 > 통합 > 통합 구성.
3. Splunk Enterprise Security - 이벤트 수집 타일을 검색하고 구성을 선택합니다.
4. 양식에서 필드를 채웁니다.

   필드	설명
   이름	통합에 사용되는 콘솔 또는 Splunk Cloud 인스턴스의 Splunk Enterprise Security 이름입니다. 이름에는 공백이 지원되지만 괄호는 지원되지 않습니다. 예를 들어 SplunkES2를 입력합니다.
   Splunk API 기준 URL	콘솔 또는 Splunk Cloud 인스턴스의 URL입니다Splunk Enterprise Security. URL에는 API 포트가 포함되어야 합니다(예: https://mysplunkserver.com:8089
   기본 인증	기본값은 사용 안 함입니다. 구성에 API 계정 사용자 이름 및 API 암호를 사용하는 경우 이 확인란을 활성화합니다.
   API 계정 사용자 이름	콘솔에서 API 사용자 계정에 대해 생성한 사용자 이름입니다.Splunk Enterprise Security
   API 암호	콘솔에서 API 사용자 계정에 대해 생성한 암호입니다 Splunk Enterprise Security .
   토큰 기반(버전 12.0.0부터 사용 가능)	Splunk Enterprise 보안 콘솔에서 API 사용자 계정에 대해 생성한 토큰입니다.
   토큰	엔터프라이즈 보안 콘솔에서 API 사용자 계정에 대해 생성한 토큰입니다 Splunk .
   직접 배포	기본값은 사용 안 함입니다. 의 온 프레미스 기반 버전을 Splunk Enterprise Security사용하는 경우 이 확인란이 선택되어 있는지 확인합니다.
   MID 서버	사용자 환경에서 설정할 특정 MID 서버를 선택하는 옵션으로, 이 통합에서 주목할 만한 이벤트를 ServiceNow로 끌어오는 데 사용됩니다. 목록에서 특정 MID 서버를 선택하거나 임의를 선택하여 이 통합에 대해 목록에서 유효한 MID 서버의 자동 선택을 활성화할 수 있습니다. 주: 이 구성 시간에 선택한 MID 서버는 이 통합 전체에 적용됩니다. 활성 상태이고 유효성이 검사된 MID Server만 이 목록에 표시됩니다. 기본적으로 값은 임의로 설정됩니다. 예를 들어 A, B, C라는 세 개의 MID 서버가 있다고 가정해 보겠습니다. 임의를 선택하면 이러한 MID Server 중 하나가 자동으로 선택되고 이 통합 전체에 적용됩니다. 특정 MID 서버(예: C)를 선택하면 선택한 MID 서버 C가 이 통합 전체에 적용됩니다. MID 서버를 변경하려면 앱 구성 타일에서 다시 구성해야 합니다.

   인시던트 검토 콘솔에서 Splunk Enterprise Security 수집하는 각 Splunk Enterprise Security 주목할 만한 이벤트 유형에는 인스턴스에 ServiceNow AI Platform® 고유한 이벤트 프로파일이 필요합니다. 그러나 이벤트 수집 구성 양식에서 구성하는 소스는 각 프로파일이 고유한 주목할 만한 이벤트 유형을 수집하는 한 여러 ServiceNow AI Platform® 프로파일에 다시 사용할 수 있습니다.

5. 제출을 선택합니다.
   구성된 통합 타일이 표시됩니다.

다음에 수행할 작업

이벤트 수집 통합을 위한 Splunk Enterprise Security 이벤트 프로파일 생성 및 이름 지정