Créer des enregistrements de configuration de recherche de perceptions

Rversion finale: Australia

Mis à jour 12 mars 2026

3 minutes de lecture

Créez plusieurs enregistrements de configuration de recherche de perceptions et utilisez-les tout en interrogeant plusieurs magasins de journaux ou en faisant varier les paramètres de recherche.

Avant de commencer

Rôle requis : sn_si.admin

Le module complémentaire CIM doit être installé sur l’instance Splunk.
Les recherches enregistrées et les requêtes sur place sont prises en charge pour Splunk Integration uniquement.

Pourquoi et quand exécuter cette tâche

Vous pouvez également créer des enregistrements de configuration de recherche de perceptions pour invoquer les recherches enregistrées dans le magasin de journaux d’entreprise Splunk.

Remarque :

Les requêtes de configuration de recherche s’appuient sur les données de journal Splunk pour être conformes à Splunk Common Information Model (CIM).

Avec les configurations de recherche enregistrées, vous pouvez :

Créez des recherches personnalisées qui combinent plusieurs enregistrements d’événements.
Recherches efficaces et efficientes en termes de conception.
Utilisez les entrées paramétrées dans la recherche enregistrée Splunk.

Le système de base comprend les exemples de configurations.

Les requêtes de recherche enregistrées et de configuration sur place sont des exemples de requêtes qui peuvent être remplacées par des paramètres appropriés pour votre environnement. Créez des configurations de recherche enregistrées supplémentaires, au besoin. Lorsque vous définissez une configuration de recherche enregistrée, le nom et les paramètres de la requête de recherche doivent correspondre à la configuration enregistrée définie sur votre instance Splunk. Si le nom et les paramètres ne sont pas identiques, les résultats peuvent ne pas être précis lorsque vous effectuez une recherche d’observations.

Remarque :

Sur votre instance Splunk, accédez à la page Recherches, rapports et alertes et localisez votre requête de recherche enregistrée. Sélectionnez le lien Autorisations pour accéder à la page Autorisations. Sélectionnez la case d’option Toutes les applications et activez l’option Autorisation de lecture pour tout le monde. Cela changera la valeur de la colonne de partage de Privé à Application pour votre requête de recherche enregistrée. Si cette option n’est pas définie, la requête de recherche enregistrée peut ne renvoyer aucun résultat.

Pour vérifier si la configuration de recherche enregistrée correspond à la configuration définie sur votre instance Splunk :

Accédez à la Paramètres > Recherches, rapports et alertes.
Changez le contexte de l’application en tous.
La liste des rapports de recherche s’affiche.
Vérifiez que la requête de recherche enregistrée figure dans la liste.

Par exemple, le formulaire Configuration de recherche de perceptions contient l’adresse e-mail et l’expéditeur comme paramètres de recherche :

Configuration enregistrée — Figure 1. Formulaire Configuration de la recherche de perceptions

Dans votre instance Splunk, définissez la recherche enregistrée avec le même nom, la recherche enregistrée par défaut : e-mails, et les mêmes paramètres de recherche pour l’adresse e-mail et l’objet de l’e-mail. Si le nom et les paramètres de recherche ne sont pas identiques, la recherche de perception ne génère pas de résultat précis.

Procédure

Accédez à la Opérations de sécurité > Intégrations > Configuration de la recherche de perceptions et créez un nouvel enregistrement (voir la table des descriptions de champ).

Tableau 1. Formulaire Configuration de la recherche de perceptions
Champ	Description
Nom	Nom de la configuration.
Est une recherche enregistrée	La configuration de recherche enregistrée est créée si vous sélectionnez cette option.
Source de recherche de perceptions	La source de la recherche d’observations. Sélectionnez le magasin de journaux Splunk comme source.
Actives	Option pour l’état de la recherche enregistrée. Seules les configurations de recherche actives peuvent être utilisées pour effectuer une recherche d’observations.
Type d'observable	Le type observable peut être n’importe quel type d’observable tel que l’adresse IP, la valeur de hachage, l’URL, le nom de domaine, et ainsi de suite.
Nombre maximum d'observables par recherche	Nombre maximal d’observables à renvoyer à partir de la recherche.
Rechercher	La chaîne de recherche par défaut est `$(observable),` mais vous pouvez définir votre propre requête de recherche en spécifiant les paramètres pris en charge par le magasin de journaux Splunk.

Sélectionnez Envoyer.

Résultats

Vous avez créé un enregistrement de configuration de recherche de perceptions.

Que faire ensuite

Après avoir défini la requête de recherche, sélectionnez Générer une requête de test de recherche de détections et spécifiez une liste de valeurs observables pour générer une requête de test basée sur cette configuration de recherche enregistrée.