Affichez les règles de corrélation disponibles dans votre Now Platform instance afin de connaître les types d’événements notables pour lesquels vous souhaitez ingérer et créer des incidents de sécurité. Sélectionnez une règle de corrélation. Vous pouvez sélectionner un ou plusieurs événements notables dans la liste de ce formulaire.

La grille de mappage peut être personnalisée en fonction du type d’événement notable sélectionné dans la sélection de la règle de corrélation. Le codage couleur des champs d’événement vous aide à suivre les valeurs d’événement que vous avez déjà mappées à mesure qu’elles sont grisées tandis que tous les champs non mappés restants apparaissent en bleu. Cela vous aide à mieux visualiser quelles valeurs de champ ont été ajoutées à l’incident de sécurité et si des informations d’événements importantes restantes restent non mappées.

Mappez jusqu’à cinq événements notables de la colonne Ingestion d’échantillons d’événements notables à gauche du formulaire aux champs d’incident de sécurité dans la colonne Mappage de champs d’incidents SIR à droite.

Créez des mappages personnalisés en ajoutant ou en supprimant les champs de la grille de mappage sur le côté droit du formulaire. Les champs par défaut qui sont généralement des champs importants à renseigner sur le formulaire de réponse aux incidents de sécurité s’affichent. Toutefois, ces champs peuvent être supprimés et tous les champs supplémentaires peuvent être affichés à l’aide des boutons + et -. Créez des cartes personnalisées en ajoutant ou en supprimant les champs de la grille de mappage sur le côté droit du formulaire. La personnalisation des champs vous permet de mapper Splunk des champs qui ne sont pas affichés sur la grille de mappage par défaut sur l’incident SIR de sécurité.

Prévisualisez un incident de sécurité et modifiez à nouveau le mappage si nécessaire pour corriger les champs contenant des erreurs ou pour renseigner les données manquantes. Si l’aperçu n’est pas terminé, vous ne pouvez pas passer à l’étape de planification. Les aperçus des incidents de SIR sécurité ne sont pas enregistrés en tant qu’incidents réels dans le SIR produit.

Pour les profils pour l’ingestion automatisée d’événements notables, vous choisissez si vous souhaitez ingérer des événements notables historiques au cours de l’étape de planification. Vous choisissez également la fréquence à laquelle vous procéderez à une interrogation pour les futurs nouveaux événements notables et les événements notables mis à jour qui correspondent à la configuration du profil d’alerte.

Pour les profils d’ingestion d’événements notables automatisés, avant que le profil ne soit activé, vous vérifiez et modifiez la planification et la récupération des alertes. Il s’agit d’une étape requise pour tout le processus de configuration de profil d’événement pour les profils d’alerte planifiée.

Vous configurez ces intervalles d’interrogation pour chaque profil. Les performances de l’intégration d’ingestion Splunk d’événements peuvent être impactées par les différents intervalles d’interrogation. Lors de la planification, vous préférerez peut-être trouver un équilibre entre la réduction de la surcharge d’interrogation sur le serveur et le Splunk Enterprise Security désir d’être averti dès que possible lorsqu’un événement notable est créé ou mis à jour. Une valeur par défaut de cinq minutes est définie pour n’importe quel profil, mais vous préférerez peut-être modifier ce paramètre à une minute si nécessaire.

Extraction d’événements notables nouveaux ou mis à jour

Lorsque le calendrier d’interrogation est défini, la tâche planifiée extrait les événements notables nouveaux et mis à jour qui ont été extraits précédemment mais ne répondaient pas aux critères de filtrage des incidents. Vous pouvez ainsi créer des incidents en fonction de critères qui peuvent ne pas être présents lors de la création d’un événement notable, mais qui deviennent disponibles après une mise à jour, par exemple pendant la phase d’enquête. Une fois qu’un incident est créé pour un événement notable spécifique, ses mises à jour ultérieures sont ignorées, car il est prévu que le notable soit maintenant traité comme un incident de sécurité actif ServiceNow® . Toutefois, tous les autres notables qui ont déjà été ingérés, mais qui ne répondent pas aux critères de génération d’incidents, continueront d’être extraits et vérifiés par rapport aux critères de génération d’incidents jusqu’à ce qu’ils fassent partie d’un incident actif.

Mappez jusqu’à cinq événements notables de la colonne Ingestion d’échantillons d’événements notables à gauche du formulaire aux champs d’incident de sécurité dans la colonne Mappage de champs d’incidents SIR à droite.

Créez des mappages personnalisés en ajoutant ou en supprimant les champs de la grille de mappage sur le côté droit du formulaire. Les champs par défaut qui sont généralement des champs importants à renseigner sur le formulaire d’incident SIR s’affichent. Toutefois, ces champs peuvent être supprimés et tous les champs supplémentaires peuvent être affichés à l’aide des boutons + et -. Créez des cartes personnalisées en ajoutant ou en supprimant les champs de la grille de mappage sur le côté droit du formulaire. La personnalisation des champs vous permet de mapper Splunk des champs qui ne sont pas affichés sur la grille de mappage par défaut sur l’incident SIR de sécurité.

Si vous souhaitez exporter des événements manuellement et à la demande à partir de votre Splunk Enterprise console pour l’intégration, téléchargez, installez et configurez le ServiceNow module complémentaire Security Operations Event Ingestion pour Splunkbase dans Splunk Enterprise Security votre Splunk Enterprise Security console. Ce ServiceNow module complémentaire d’extension est requis pour que les incidents de sécurité puissent être créés à partir d’événements exportés manuellement dans votre Now Platform instance. Ce ServiceNow module complémentaire d’ingestion d’événements de Security Operations pour Splunk Enterprise Security l’application est disponible sur splunkbase.

Pour le transfert manuel d’événements, vous pouvez identifier jusqu’à deux points de terminaison (instances) différents Now Platform dans votre Splunk Enterprise Security console. Vous transférez manuellement les événements au ou aux points de terminaison pour créer des incidents de sécurité. Par exemple, vous pouvez spécifier à la fois une instance de stockage intermédiaire (développement) et une instance de production. En spécifiant des instances distinctes et en nommant des workflows primaires et secondaires pour chaque instance, vous pouvez choisir où vous souhaitez transférer les différents événements.