보안 운영 통합 추가 기능 사용 ServiceNow

보안 운영 통합 추가 기능을 설정 ServiceNow 한 후 Splunk 경보에서 직접 보안 이벤트 및 인시던트를 생성합니다.

시작하기 전에

필요한 역할: sn_si.integration_user, sn_si.analyst

프로시저

1. 에 로그인 Splunk Enterprise.
2. 다음으로 이동 앱 > 검색 및 보고.
3. 새 검색 필드에 키워드를 입력합니다.
   키워드가 포함된 이벤트 목록이 표시됩니다.
4. (>) 아이콘을 사용하여 이벤트를 확장합니다.
5. 이벤트 작업을 선택합니다.
   • ServiceNow 보안 이벤트 생성: 이벤트는 em_event 테이블에 저장됩니다.
     주:

     이벤트 관리 플러그인을 설치하여 em_event 테이블에 액세스합니다.

   • ServiceNow 보안 인시던트 생성: 인시던트는 sn_si_incident 테이블에 저장됩니다.
     주:

     이 추가 기능에 대한 프로파일이 없으므로 매핑이 미리 정의되어 있습니다.