Splunk ES용 보안 운영 이벤트 수집 추가 기능 사용 ServiceNow

콘솔에서 Splunk Enterprise Security 요청 시 이벤트를 전달하여 인스턴스에 ServiceNow SIR(보안 인시던트 응답)을 생성합니다.

시작하기 전에

필요한 역할: sn_sec_splunkes.api_account_access

프로시저

1. 에 로그인 Splunk Enterprise.
2. 다음으로 이동 앱 > 엔터프라이즈 보안.
3. Mission Control을 선택합니다.
   이전에 구성된 상관관계 규칙에 따라 Splunk 콘솔에서 생성된 주목할 만한 이벤트 목록이 나타납니다.
4. 목록에서 주목할 만한 이벤트를 선택합니다.
5. 줄임표 아이콘(⋮)을 선택합니다.
6. 드롭다운에서 추가 기능을 설정하는 동안 구성된 워크플로우 작업 레이블 을 선택합니다.
   워크플로우 작업 레이블에 대한 자세한 내용은 다음을 참조하십시오. Splunk ES용 보안 운영 이벤트 수집 추가 기능 설정 ServiceNow
   이벤트는 Splunk ES 이벤트 임포트 테이블과 Splunk ES 작업으로 이벤트 테이블로 이동합니다.

결과

수동 이벤트 전달 프로파일에 지정된 매핑에 따라 인스턴스에 ServiceNow 보안 인시던트 응답(SIR) 기록이 생성됩니다. 수동 이벤트 전달 프로필을 설정하는 방법에 대한 지침은 다음을 참조하십시오. 이벤트 프로파일 생성 및 이름 지정