Programar e recuperar alertas para a integração Splunk Enterprise Event Ingestion
Para perfis de ingestão de alertas automatizados, esta etapa é a etapa final da configuração do perfil de evento. Durante esta etapa, você pode verificar as configurações padrão para recuperação de alertas ou modificar a programação conforme necessário. Esta etapa permite filtrar a recuperação do alerta com base em um intervalo de datas.
Antes de Iniciar
Função necessária: função sn_si.admin
Por Que e Quando Desempenhar Esta Tarefa
Depois de concluir todas as etapas na barra de andamento da configuração do perfil, conforme mostrado na figura a seguir, você concluiu a configuração dos perfis para encaminhamento manual de eventos. Não há programação disponível para eventos encaminhados manualmente do console Splunk Enterprise. Para perfis de ingestão de alertas automatizados, você escolhe se deseja ingerir alertas históricos durante a etapa de Programação. Você também escolhe com que frequência pesquisará alertas futuros que correspondam à configuração do perfil de alerta.
Para perfis de ingestão de alertas automatizados, antes que o perfil seja ativado, você verifica e modifica a programação e a recuperação do alerta. Esta etapa é a etapa final do processo de configuração do perfil de evento para perfis de alertas programados.
Configure esses intervalos de pesquisa por perfil. O desempenho da integração de ingestão de eventos Splunk é afetado pelos diferentes intervalos de pesquisa. Ao programar, você pode preferir equilibrar a carga do sistema em relação à urgência do incidente. Um valor padrão de cinco minutos é definido para qualquer perfil, mas você pode preferir modificar essa configuração com base na urgência do incidente e na carga prevista em seu sistema.
No console Splunk Enterprise, você define um alerta a ser acionado com base em incrementos ou em um horário específico. Use esta configuração para ajudá-lo a configurar a programação em sua instância Now Platform para que os incrementos de tempo no console Splunk Enterprise sejam sincronizados com a programação que você configurou em sua instância Now Platform.
Procedimento
-
Escolha um para programar como e quando os alertas são extraídos do console Splunk Enterprise.
Opção Descrição - Campo de alerta contínuo selecionado
- Campo de recuperação única limpo
Alerta contínuo Com base na configuração padrão, a instância Now Platform extrai do servidor Splunk Enterprise novos alertas a cada cinco minutos. Os incidentes de segurança serão criados se os alertas acionados forem encontrados e os critérios de filtragem forem correspondidos. Para equilibrar a ingestão de alertas em relação à carga do servidor e para extrair os dados mais atuais, cinco minutos é a configuração que você pode preferir. No entanto, este valor pode ser modificado conforme necessário.
- Campo de alerta contínuo limpo
- Campo de recuperação única selecionado
Recuperação única Use esta configuração se quiser uma extração única para ingerir alertas com base em eventos históricos.
Quando configurado, um perfil é usado uma vez para recuperar alertas acionados, incluindo alertas de eventos históricos que são baseados em um intervalo de datas. À direita do campo Data desde, clique no ícone de calendário. No calendário exibido, selecione a data em que deseja começar a extrair alertas. Começando com o valor de data Desde, os alertas acionados são recuperados até a data atual.
Depois que os alertas forem extraídos, esta configuração não recuperará alertas acionados para este perfil a partir da data atual. Esta configuração preenche o incidente de segurança com todos os alertas encontrados para o intervalo inserido.Como um exemplo de programação, se você tiver um alerta Splunk diário que é executado uma vez por dia às 4h no horário local, você pode configurar o perfil de alerta correspondente em sua instância Now Platform para ser executado às 4h05 no horário local para capturar o alerte imediatamente e crie um incidente de segurança. Insira 04 05 00 no campo Ingestão de alerta inicial. No campo Incrementar (minutos), insira 1440 (24 horas) para programar a próxima ingestão de alertas por 24 horas a partir da ingestão de alertas inicial. O tempo de ingestão do alerta inicial e o tempo de ingestão do próximo alerta são exibidos nos campos.