Splunk Enterprise Security イベントの取り込み統合でのイベントプロファイルの作成と名前の設定
ServiceNow AI Platform インスタンスにイベントプロファイルを作成し、セキュリティインシデントを作成する Splunk 注目イベントを指定します。
始める前に
必要なロール:sn_si.ingestion_profile_admin
このタスクについて
ServiceNow AI Platform セキュリティインシデントレスポンス(SIR) セキュリティインシデントが取り込まれた注目イベントから作成される前に、アラートのフィールド値が ServiceNow AI Platform セキュリティインシデントのレイアウトに表示されるため、実際のセキュリティインシデントがどのように作成されるかをプレビューできます。
利用可能な API を使用した統合の観点から、Splunk ES 注目イベントは、個別の注目イベントとして個別に手動で転送されるか、定義されたプロファイルタイプに応じて、ServiceNow AI Platform インスタンスの セキュリティオペレーション 環境に自動的に取り込まれます。
統合ワークフローでは、不正なアクセス試行やマルウェアなどのさまざまなタイプの注目イベントを取り込めます。これらの注目イベントは、インスタンスの セキュリティオペレーション 環境で設定したプロファイルに基づいて取り込まれます。
すべての注目は、プロファイル内の設定された相関検索タイプに対して最初に取り込まれます。取り込まれた注目をさらにフィルタリングして、セキュリティインシデントを作成する注目イベントを指定できます。たとえば、高リスクとして識別された注目イベントに対してのみセキュリティインシデントを作成するフィルターを使用できます。プロファイルがアクティブになり、取り込まれた注目イベントからセキュリティインシデントが作成される前に、注目イベントの個々のフィールド値が、プレビュー用にセキュリティインシデントのレイアウトの対応するフィールドにマッピングされます。