Vue d'ensemble

Les données sont collectées en temps réel et sont utilisées par les analystes pour identifier et signaler les cybermenaces potentielles. Les événements de sécurité collectés peuvent être transformés en alertes déclenchées qui sont ingérées automatiquement avec cette intégration. En outre, les événements de sécurité individuels peuvent être transférés manuellement à la demande depuis l’interface Splunk Enterprise de recherche et de génération de rapports vers le Réponse aux incidents de sécurité produit de pour Now Platform créer des incidents de sécurité. Vous pouvez récupérer des événements notables à partir d’une recherche avec la configuration de la grappe de têtes de Splunk Enterprise recherche. Pour ce faire, vous pouvez utiliser l’URL et le port API de n’importe quel moteur de recherche appartenant au cluster.

Cette intégration fournit à un analyste du centre des opérations de sécurité (SOC) une visibilité sur les événements et les données d’alerte connexes. Ces données peuvent être intégrées dans Now Platform Réponse aux incidents de sécurité (SIR) des incidents de sécurité pour une enquête et une correction plus approfondies. Les profils des Splunk alertes ingérées en cours et des événements transférés sont créés dans votre Now Platform instance. Ces profils personnalisent l’affichage des différents Splunk champs d’alerte et d’événement sur SIR les incidents de sécurité. Un mappage par défaut des champs d’alerte est fourni, qui peut être modifié et complété pour répondre aux besoins spécifiques du client.

Fonctionnalités principales

Cette intégration comprend les fonctionnalités clés suivantes :

• Créez plusieurs profils d’ingestion d’alertes pour créer des incidents de sécurité SIR pour des types de menaces spécifiques tels que l’hameçonnage et les programmes malveillants.
• Créez plusieurs profils d’événements pour le transfert d’événements à la demande à partir de votre Splunk console afin de créer des incidents de sécurité SIR.
• Glisser-déposer le mappage des valeurs de champ d’alerte et d’événement Splunk vers les champs d’incident de sécurité SIR associés.
• Un aperçu de la mise en page de l’incident SIR de sécurité basée sur des échantillons d’alertes ou d’événements pour valider la configuration du profil.
• Ingérer les alertes historiques, ainsi que les alertes futures en cours à intervalles configurables.
• Regroupez les événements ou les alertes concernant les incidents de sécurité existants SIR en fonction des valeurs de champ correspondantes pour éviter les incidents de sécurité en double.

Versions prises en charge Now Platform

Le module d’extension com.snc.si_dep est requis. Ce module d’extension installe automatiquement toutes les dépendances nécessaires à la prise en charge du Réponse aux incidents de sécurité produit. Installez et activez ce module d’extension avant d’installer et d’activer les autres Opérations de sécurité applications.

Pour plus d’informations sur l’installation des Opérations de sécurité applications principales, consultez et .

ServiceNow Modules complémentaires

Le ServiceNow module complémentaire Security Operations Event Ingestion for Splunk Enterprise n’est requis que si vous préférez transférer manuellement des événements de votre Splunk Enterprise console vers votre Now Platform instance. Cet ServiceNow addon est disponible dans splunkbase.

Ce ServiceNow module complémentaire d’ingestion d’événement de sécurité pour Splunk Enterprise l’application dans Splunkbase n’est pas requis pour l’ingestion d’alerte automatisée prise en charge par l’intégration.

Versions prises en charge par Splunk

Cette intégration prend en charge la version 6.0 ou ultérieure de Splunk Enterprise. L’intégration prend également en charge le Splunk service Enterprise Cloud.

Serveur MID

Cette intégration nécessite l’installation et la configuration d’un serveur MID Server dans votre Now Platform® instance pour se Splunk connecter au service si le Splunk serveur est déployé au sein de votre réseau d’entreprise. Si vous utilisez le Splunk Cloud service, un serveur MID n’est pas nécessaire. Pour plus d’informations sur les MID Servers, reportez-vous à la section Serveur MID.

Architecture d’intégration et connexion des systèmes

Pour plus d’informations sur l’architecture de l’intégration, y compris les termes clés et les détails de connexion des systèmes externes, reportez-vous à Architecture d’intégration et connexion de systèmes externes pour l’intégration Splunk Enterprise Event Ingestion.

Liste de vérification

Pour obtenir une liste de contrôle imprimable de ces sujets, reportez-vous à la section Liste de vérification pour l’intégration de l’ingestion d’événements Splunk Enterprise Security notables. Vous pouvez utiliser cette liste pour surveiller votre progression au fur et à mesure que vous accomplissez les tâches de l’intégration.

Les images utilisées dans les rubriques suivantes ont été générées pour la version Kingston du Now Platformfichier . Pour plus d’informations sur l’interface utilisateur de San Diego, consultez Gérer les menaces de sécurité à l’aide de Security Analyst Workspace.

Les sujets suivants sont numérotés. Suivez les rubriques énumérées ci-dessous dans l’ordre dans lequel elles sont présentées pour une installation et une configuration fluides de l’application.