Konfigurieren und aktivieren Sie die Elasticsearch-Integration

  • Freigeben Version: Xanadu
  • Aktualisiert 1. August 2024
  • 2 Minuten Lesedauer

    • Elasticsearch ist eine verteilte RESTful-Such- und Analyse-Engine, die sich problemlos in Security Operations integrieren lässt.

    Vorbereitungen

    Bevor Sie Elasticsearch verwenden können, müssen Sie es aus dem ServiceNow Store herunterladen.

    Erforderliche Rolle: sn_sec_tisc.admin

    • Das Plugin „Threat Intelligence Security Center“ muss installiert und aktiviert werden, bevor Sie die Elasticsearch-Integration verwenden können.
    • Rufen Sie die Basis-URL der Elasticsearch-API, die Kibana-Basis-URL, den Anwendernamen und das Passwort in Ihrem Elasticsearch-Profil ab.

    Prozedur

    1. Greifen Sie mit Ihrer -Instanz auf Threat Intelligence-Sicherheitszentrum zu.
    2. Laden Sie die -Integration aus dem herunter ServiceNow Storean.
    3. Navigieren Sie nach Abschluss der Installation zu Arbeitsbereiche > Threat Intelligence-Sicherheitszentruman.
    4. Auswahlvorgang Integrationen > Ergänzungsintegrationen > Alle Integrationenan.
    5. Alternativ können Sie zu navigieren Integrationen > Ergänzungsintegrationen > Alle Integrationen > Sichtungssuche
      Hinweis:
      Die konfigurierten Integrationen werden als Reihe von Karten angezeigt.
    6. Klicken Sie auf der Karte Elasticsearch auf Neue Ergänzung konfigurieren, um die Elasticsearch -Integration zu konfigurieren.
    7. Füllen Sie die Felder im Formular „Neue Ergänzung konfigurieren“ aus.
      Tabelle : 1. Ergänzungsintegration
      Feld Beschreibung
      Name Geben Sie einen Namen für die Konfiguration der Sichtungssuche ein.
      Lieferantenname Name des Lieferanten. Die Details des ausgewählten Lieferanten werden standardmäßig ausgefüllt. Beispiel: Elasticsearch.
      Integrationstyp Typ der von Ihnen ausgewählten Integration. Beispiel: Bedrohungssuche.
      Beschreibung Geben Sie die Beschreibung für die Elasticsearch-Integration ein. Beispielsweise hilft die Elasticsearch-Ergänzungsintegration bei der Untersuchung eines erkennbaren Elements durch Unterstützung des Abfragens von Protokollen in Ihrer Elasticsearch-Bereitstellung.
      Integrationskonfiguration
      Basis-URL der Elasticsearch-API Die Basis-URL, die Sie von der Elasticsearch-Website erhalten haben.
      Kibana-Basis-URL Die Kibana-Basis-URL. [Optional] Links zu einer Kibana-Instanz, falls verfügbar.
      Anwendername Ihr Intel Elasticsearch-Anwendername.
      Passwort Ihr Intel Elasticsearch-Passwort.
      Elasticsearch-Index Der Elasticsearch-Index. Diese enthalten wiederum Dokumente, die für jeden Index eindeutig sind. Indizes werden durch Kleinbuchstaben identifiziert, die sich auf Aktionen beziehen, die durchgeführte Aktionen sind (z. B. Suchen und Löschen).
      Feld „Datumsbereich“ Der Zeitstempel der Konfiguration.
      Max. Zeilen Die maximale Anzahl von Zeilen, die Sie durchsuchen möchten.
      Erstes Ergebnis (Tage) Die frühesten Ergebnisse, die Sie anzeigen möchten, in Tagen.
      Rohdatenmuster in Suchergebnissen berücksichtigen Wählen Sie diese Option aus, um Beispiele von Rohdaten in die Ergebnisse der Sichtungssuche aufzunehmen. Die Menge der zurückgegebenen Daten hängt von Ihrer Einstellung in der Anzahl der Zeilen der Rohdateneigenschaft in den Security Incident Response-Eigenschaftenab.
      MID-Server Wählen Sie Beliebig aus, um einen beliebigen aktiven MID-Server zu verwenden, oder wählen Sie einen bestimmten MID-Server-Namen aus.
      Hinweis:
      Durch die Konfiguration dieser Integration werden -Workflows aktiviert. Um die Workflows zu verwalten, navigieren Sie zum Workflow-Editor.
    8. Klicken Sie auf Speichern.
      Die Integrationsdetails werden validiert, und standardmäßig ist der Status der Elasticsearch-Integration deaktiviert.
    9. Klicken Sie auf Aktivieren, um die Elasticsearch-Integration zu aktivieren.

    Ergebnisse

    Nach der Konfiguration kann Elasticsearch für die Durchführung einer Sichtungssuche für erkennbare Elemente im Threat Intelligence-Sicherheitszentrum ausgewählt werden.