Configurer ServiceNow le complément d’ingestion des événements Security Operations pour Splunk ES
Le ServiceNow module complémentaire d’ingestion d’événements Security Operations pour Splunk ES permet une intégration transparente entre Splunk et ServiceNow Security Operations, ce qui vous permet d’envoyer des événements liés à la sécurité de Splunk vers ServiceNow un incident de sécurité. Pour obtenir des instructions détaillées sur le téléchargement et l’installation de l’add, suivez les étapes décrites dans ce guide.
Avant de commencer
Vérifiez que vous avez installé l’application pour cette intégration avant ServiceNow Store d’installer le module d’extension du module d’extension à partir de splunkbase requis pour l’ingestion manuelle d’événements. Si vous n’avez pas installé l’application pour l’intégration à partir du ServiceNow Store, consultez Installez et configurez l’application pour l’intégration ServiceNowSplunk Enterprise Event Ingestion et suivez les instructions pour l’installer.
Rôle requis : ServiceNow AI Platform administrateur (admin)
Pourquoi et quand exécuter cette tâche
Créez un profil de transfert manuel d’événements pour transférer des événements à la demande à partir de votre Splunk Enterprise Security console afin de créer une réponse aux incidents de sécurité (SIR) sur l’instance ServiceNow . Pour plus d'informations, consultez Créer et nommer un profil d’événement.
Cette configuration du module complémentaire est nécessaire pour activer le transfert manuel d’événements pour le profil Splunk. Jusqu’à deux configurations peuvent être créées pour un module complémentaire particulier. (Splunk primaire et Splunk secondaire)
Pour le transfert manuel d’événements, vous pouvez identifier jusqu’à deux points de terminaison différents ServiceNow AI Platform (instances) dans votre Splunk Enterprise console. Vous transférez manuellement les événements au(x) point(s) de terminaison(s) pour créer des incidents de sécurité. Par exemple, vous pouvez spécifier à la fois une instance intermédiaire (de développement) et une instance de production. En spécifiant des instances distinctes et en nommant des workflows primaires et secondaires pour chaque instance, vous pouvez choisir où vous souhaitez transférer différents événements.
Procédure
-
Si vous n’avez pas encore installé le module complémentaire d’ingestion d’événements ServiceNow Security Operations pour Splunk ES, procédez comme suit pour l’installer et le configurer.
-
Pour configurer le module complémentaire, procédez comme suit.