Splunk Enterprise Event Ingestion 에 대한 보안 운영 통합 기준 ServiceNow
Splunk Enterprise 이벤트 및 경보 데이터와 ()SIR 제품의 통합을 보안 인시던트 응답 통해 보안 인시던트 분석가는 보안 로그 및 관련 이벤트 데이터를 수집하고 처리할 수 있습니다.
개요
데이터는 실시간으로 수집되며 분석가가 잠재적인 사이버 위협을 식별하고 보고하는 데 사용됩니다. 수집된 보안 이벤트는 이 통합과 함께 자동으로 수집되는 트리거된 경보로 처리될 수 있습니다. 또한 개별 보안 이벤트를 요청 Splunk Enterprise 시 검색 및 보고 인터페이스에서 보안 인시던트 응답 제품으로 ServiceNow AI Platform 수동으로 전달하여 보안 인시던트를 생성할 수 있습니다. 검색 헤드 클러스터 구성을 사용하여 검색에서 Splunk Enterprise 주목할 만한 이벤트를 검색할 수 있습니다. 클러스터의 일부인 검색 헤드의 URL 및 API 포트를 사용하여 이를 수행할 수 있습니다.
이 통합은 보안 운영 센터(SOC) 분석가에게 이벤트 및 관련 경보 데이터에 대한 가시성을 제공합니다. 이 데이터는 추가 조사 및 정정을 위해 (SIR) 보안 인시던트에 ServiceNow AI Platform 보안 인시던트 응답 통합될 수 있습니다. 지속적으로 수집된 경보 및 전달된 이벤트에 대한 Splunk 프로필이 인스턴스에 생성됩니다 ServiceNow AI Platform . 이러한 프로파일은 보안 인시던트에 SIR 다양한 Splunk 경보 및 이벤트 필드가 표시되는 방식을 사용자 지정합니다. 고객별 요구에 맞게 편집하고 보강할 수 있는 경보 필드의 기본 매핑이 제공됩니다.
주요 기능
이 통합에는 다음과 같은 주요 기능이 포함됩니다.
- 여러 경보 수집 프로파일을 생성하여 피싱 및 맬웨어와 같은 특정 유형의 위협에 대한 SIR 보안 인시던트를 생성합니다.
- 콘솔에서 요청 시 이벤트 전달 Splunk 을 위한 여러 이벤트 프로파일을 생성하여 SIR 보안 인시던트를 생성합니다.
- 경보 및 이벤트 필드 값을 연관된 SIR 보안 인시던트 필드에 끌어서 놓기로 매핑 Splunk 합니다.
- 프로파일 구성을 확인하기 위한 샘플 경보 또는 이벤트를 기반으로 하는 보안 인시던트 레이아웃의 SIR 미리 보기입니다.
- 구성 가능한 간격으로 과거 경보뿐만 아니라 진행 중인 향후 경보를 수집합니다.
- 중복 보안 인시던트를 방지하기 위해 일치하는 필드 값을 기준으로 이벤트 또는 경보를 기존 SIR 보안 인시던트에 집계합니다.
지원되는 ServiceNow AI Platform 버전
com.snc.si_dep 플러그인이 필요합니다. 이 플러그인은 제품을 지원하는 데 필요한 모든 종속성을 보안 인시던트 응답 자동으로 설치합니다. 다른 보안 운영 애플리케이션을 설치 및 활성화하기 전에 이 플러그인을 설치하고 활성화하십시오.
- 보안 통합 프레임워크
- Security Support Common
- 보안 지원 오케스트레이션
- 보안 인시던트 응답
핵심 애플리케이션 설치에 보안 운영 대한 자세한 내용은 해당 애플리케이션 활성화 ServiceNow Store문서를 참조하십시오제품 또는 애플리케이션에 대한 보안 운영 권리 가져오기.
ServiceNow 애드온
ServiceNow 용 Splunk Enterprise 보안 운영 이벤트 수집 추가 기능은 콘솔에서 인스턴스로 ServiceNow AI Platform 이벤트를 수동으로 Splunk Enterprise 전달하려는 경우에만 필요합니다. 이 ServiceNow 애드온은 splunkbase에서 사용할 수 있습니다.
splunkbase의 애플리케이션에 대한 Splunk Enterprise 이 ServiceNow 보안 운영 이벤트 수집 애드온은 통합에서 지원하는 자동화된 경보 수집에 필요하지 않습니다.
Splunk 지원 버전
이 통합은 의 버전 6.0 이상을 Splunk Enterprise지원합니다. 통합은 엔터프라이즈 클라우드 서비스도 Splunk 지원합니다.
MID 서버
서버가 회사 네트워크 내에 배포된 경우 Splunk 이 통합을 수행하려면 인스턴스에 MID 서버가 ServiceNow AI Platform® 설치 및 구성되어 있어야 서비스에 연결할 Splunk 수 있습니다. 서비스를 사용하는 Splunk Cloud 경우에는 MID 서버가 필요하지 않습니다. MID Server에 대한 자세한 내용은 MID Server를 참조하십시오.
통합 아키텍처 및 시스템 연결
주요 용어 및 외부 시스템 연결 세부 정보를 포함하여 통합 아키텍처에 대한 자세한 내용은 문서를 통합을 위한 Splunk Enterprise Event Ingestion 통합 아키텍처 및 외부 시스템 연결참조하십시오.
검사 목록
이러한 주제에 대한 인쇄 가능한 검사 목록은 다음 문서를 참조하십시오 주목할 만한 이벤트 수집 통합을 위한 Splunk Enterprise Security 검사 목록. 이 목록을 사용하여 통합 작업을 수행할 때의 진행률을 모니터링할 수 있습니다.
다음 주제에 사용된 이미지는 의 Kingston 릴리스 ServiceNow AI Platform에 대해 생성된 것입니다. San Diego 사용자 인터페이스에 대한 자세한 내용은 보안 분석가 작업 공간을 사용하여 보안 위협 관리를 참조하십시오.
다음 항목에 번호가 매겨져 있습니다. 애플리케이션의 원활한 설치 및 구성을 위해 아래 나열된 주제를 제시된 순서대로 따르십시오.