Liste de vérification pour l’intégration de l’ingestion d’événements Splunk Enterprise Security notables

Utilisez cette liste de vérification pour vous guider à travers toutes les tâches de l’intégration. La liste de vérification suivante comprend des tâches de configuration et d’installation ainsi que des exemples de cas d’utilisation qui incluent les résultats attendus pour l’intégration.

Avant de commencer

Rôles requis : admin, sn_si.admin, sn_si.analyst, Splunk Enterprise Security administrateur

Pourquoi et quand exécuter cette tâche

Suivez votre progression avec l’installation, l’installation et la configuration de l’intégration avec la table suivante. Terminez toutes les tâches d’une étape avant de passer à l’étape suivante. Chaque ligne de la table répertorie les tâches et identifie les rôles requis pour effectuer les tâches. Les rubriques numérotées du guide d’installation et de configuration sont également référencées.

Les rôles requis pour chaque tâche sont répertoriés pour chaque étape dans le tableau suivant.

Procédure

1. Suivez votre progression avec l’installation, la configuration et la configuration de l’intégration.
   Terminez toutes les tâches d’une étape avant de passer à l’étape suivante.
2. Suivez les étapes du tableau dans l’ordre dans lequel elles se présentent.

   Tableau 1. Liste de vérification

   	En tant qu’utilisateur disposant du rôle d’administrateur Now Platform , configurez votre Now Platform instance. Affectez aux utilisateurs les rôles sn_si.admin et sn_si.analyst selon les besoins. Installez et configurez un serveur MID si le Splunk serveur est déployé dans votre réseau d’entreprise. Vérifiez que les modules d’extension ServiceNow Réponse aux incidents de sécurité sont activés pour votre version du Now Platform. (Facultatif) Si vous souhaitez transférer manuellement des événements de votre Splunk Enterprise Security console vers votre Now Platform instance, vérifiez que vous avez affecté le rôle (sn_sec_splunkes.api_account_access) à un utilisateur disposant de l’autorisation Splunk Enterprise Security administrateur. Pour plus d'informations, consultez Configurer votre Now Platform instance pour l’intégration Splunk Enterprise Security.
   	En tant qu’utilisateur disposant du Now Platform rôle administrateur, installez et configurez l’application Splunk Enterprise Security à partir du ServiceNow Store. Téléchargez et installez l’application sur votre Now Platform instance. Configurez l’application et connectez-vous à votre Splunk Enterprise Security console. Pour plus d'informations, consultez Installez et configurez l’application ServiceNow pour l’intégration de l’ingestion d’événements Splunk Enterprise Security notables.
   	(Facultatif) Si vous avez l’intention d’exporter des événements manuellement de votre Splunk Enterprise Security console vers votre Now Platform instance, effectuez les tâches suivantes : En tant qu’administrateur Splunk Enterprise Security , installez, configurez et activez le ServiceNow module complémentaire Security Operations Event Ingestion for Splunk Enterprise Security à partir de splunkbase dans votre Splunk Enterprise Security console. En tant qu’administrateur Splunk Enterprise Security , si ce n’est pas déjà fait, enregistrez les recherches en tant qu’événements notables dans votre Splunk Enterprise Security console. Pour plus d'informations, consultez Configurer votre Splunk environnement pour l’ingestion manuelle d’événements pour l’intégration de l’ingestion d’événements Splunk Enterprise Security notables.
   	En tant qu’utilisateur disposant du Now Platform rôle sn_si.admin, créez et nommez un profil d’événement. Sélectionnez le type de profil dans la liste de choix. Les options sont un profil d’alerte planifiée que vous utilisez pour ingérer des exemples de données ou un profil d’événement que vous utilisez pour exporter manuellement des données de pièce jointe à partir de votre Splunk Enterprise Security console. Pour une alerte planifiée, sélectionnez une alerte disponible. Pour le profil des données exportées manuellement, créez une nouvelle carte ou copiez une carte existante. Pour plus d'informations, consultez Créer et nommer un profil d’événement pour l’intégration d’ingestion d’événements Splunk Enterprise Security.
   	En tant qu’utilisateur disposant du rôle sn_si.admin, mappez les Now Platform valeurs ingérées ou les données de pièce jointe exportées vers les Now Platform incidents de Splunk Enterprise Security sécurité. Extrayez un exemple de données pour une alerte planifiée. (Facultatif) Exporter les données de la pièce jointe manuellement à partir d’un Splunk Enterprise Security événement. Modifiez la configuration de mappage par défaut. Vous pouvez éventuellement ajouter des critères de filtrage, ajouter une alerte à un incident de sécurité existant et utiliser l’éditeur de script. Pour plus d'informations, consultez Mappage des champs d’événement notable pour l’intégration Splunk Enterprise Security et Créer des mappages pour Splunk ES l’examen des incidents d’événements notables et les détails de l’événement de contribution (ingestion planifiée).
   	En tant qu’utilisateur disposant du Now Platform rôle sn_si.admin, prévisualisez les données Splunk Enterprise affichées sur un Now Platform incident de sécurité. Corrigez les erreurs ou ajoutez les données manquantes afin qu’aucun message d’erreur ne s’affiche. Pour plus d'informations, consultez Prévisualiser l’incident de sécurité pour l’intégration d’ingestion d’événements Splunk Enterprise Security.
   	En tant qu’utilisateur disposant du rôle sn_si.admin, planifiez la récupération d’alerte Now Platform pour un profil avec une alerte planifiée. Pour plus d'informations, consultez Planifier et récupérer les événements notables nouveaux et mis à jour pour l’intégration d’ingestion d’événements Splunk Enterprise Security.

   Vous avez terminé avec succès les étapes de configuration et vérifié les résultats attendus pour l’intégration.