Rôle requis : admin.

Reportez-vous au tableau suivant et vérifiez que vous avez effectué toutes les tâches répertoriées avant de télécharger et d’installer l’application pour garantir une installation et une configuration fluides.

1. Vérifiez que vous avez affecté les rôles requis Now Platform® et Réponse aux incidents de sécurité (SIR).

   Les rôles suivants sont requis pour l’installation, la configuration et l’utilisation de l’intégration dans votre Now Platform® instance.

   • Un utilisateur ayant le rôle administrateur Now Platform® (admin) installe l’application à partir de et ServiceNow Store affecte le rôle d’administrateur d’incident de sécurité (sn_si.admin).
   • Si vous souhaitez transférer manuellement des événements notables à partir de Splunk Enterprise Security pour cette intégration, un utilisateur doté du Now Platform® rôle administrateur affecte un utilisateur ayant le rôle (sn_sec_splunkes.api_account_access) dans le Now Platform®. Ce rôle permet à un utilisateur doté du Splunk Enterprise Security rôle administrateur d’accéder à l’API dans le qui est requis pour le Now Platform® transfert manuel d’événements pour cette intégration.

     Le rôle (sn_sec_splunkes.api_account_access) n’est pas requis pour l’intégration si vous ingérez automatiquement des événements notables à partir de Splunk Enterprise Security votre Now Platform® instance.

   • Un utilisateur disposant du rôle sn_si.admin supervise les tâches suivantes dans : Now Platform®
     • nomme, crée et modifie des profils d’événements.
     • Sélectionne et mappe les valeurs des incidents de Splunk Enterprise SecurityNow Platform® sécurité.
     • Affiche un aperçu de l’exactitude des détails de l’incident de sécurité avant de finaliser la configuration.
     • Planifie l’ingestion d’événements notables en cours.
     • Active les mises à jour d’événements notables lorsqu’un incident SIR est créé et fermé.
     • Affecte le rôle d’analyste des incidents de sécurité (sn_si.analyst).
     • Les utilisateurs disposant du sn_si.analyst travaillent avec des incidents de sécurité.

   Pour en savoir plus, reportez-vous à Managing roles.

2. Affectez le rôle d’utilisateur Splunk .

   Affecter un rôle d’utilisateur Analyste de la sécurité (ess_analyst) dans Splunk ES pour effectuer toutes les activités liées à l’intégration sur le Splunk serveur.

3. Vérifiez que vous utilisez la version 7.2.6 ou ultérieure de l’API Splunk . Les versions antérieures ne sont pas prises en charge.

   Si vous avez accès à la Splunk Enterprise Security console, vous avez accès à l’API requise pour cette intégration. Aucune autre configuration spéciale n’est requise pour l’API.

4. Vérifiez que vous avez installé et configuré un MID Server.

   A Serveur MID dans votre Now Platform® instance est requis pour se connecter au Splunk service si le Splunk serveur est déployé au sein de votre réseau d’entreprise. Pour plus d’informations, consultez Serveur MID.

   Si vous utilisez le service Cloud, un élément n’est Splunk Enterprise SecurityServeur MID pas requis.

5. Vérifiez que les ServiceNow applications principales requises pour prendre en charge l’intégration sont installées et activées.

   Le module d’extension Réponse aux incidents de sécurité Dependency (com.snc.si_dep) est requis. Ce module d’extension installe automatiquement toutes les dépendances requises pour prendre en charge le Réponse aux incidents de sécurité produit. Installez et activez ce module d’extension avant d’installer et d’activer les autres Security Operations applications requises par l’intégration.

   Vérifiez que les applications suivantes Security Operations sont installées et activées à partir du ServiceNow Store. Si ce n’est pas le cas, installez et activez une application à la fois dans l’ordre suivant pour garantir une installation sans problème.

   1. Security Incident Response
   2. Cadre de travail des intégrations de
   3. sécurité Support de sécurité commun

   Pour plus d’informations sur l’installation des Security Operations applications principales, consultez Obtenir une autorisation pour un produit ou une Security Operations application et Activer une ServiceNow Store application.

Pour plus d’informations, consultez la section Configurez votre Splunk environnement pour l’ingestion manuelle d’événements pour l’intégration de l’ingestion d’événements Splunk Enterprise Security notables pour plus d’informations si vous souhaitez exporter manuellement et à la demande des événements notables à partir de votre Splunk Enterprise Security console pour l’intégration.