다중 기록, 사용자 지정 필드 생성 Splunk 경보

사용자 지정 필드가 있는 다중 기록 Splunk 경보를 생성하려면 채우려는 ServiceNow 열과 일치하도록 설계된 검색을 빌드해야 합니다.

시작하기 전에

필요한 역할: sn_si.admin

프로시저

1. 검색으로 이동합니다.
2. 검색 상자에서 기록 데이터를 생성하는 검색을 생성합니다.
   권장 검색 기준에 대한 예시 를 참조하십시오.
3. Save As(다른 이름으로 저장)를 클릭하고 Alert(경보)를 선택합니다.
4. 필요에 따라 이름, 권한 및 일정을 설정합니다.
5. 작업 추가를 클릭합니다.
6. 다음 중 하나를 선택합니다.
   • 검색 결과당 하나의 이벤트를 생성하려면 여러 ServiceNow 보안 이벤트 생성을 선택합니다.
   • 검색 결과당 하나의 인시던트를 만들려면 여러 ServiceNow 보안 인시던트 만들기를 선택합니다.
7. 필요에 따라 기본값을 설정합니다.
   검색 결과의 필드가 비어 있거나 없으면 기본값이 사용됩니다. 결과에 값이 있으면 기본값을 덮어씁니다.