Créer et nommer un profil d’événement pour l’intégration Splunk Enterprise Event Ingestion
Créez un profil d’événement dans votre Now Platform instance et déterminez quelles Splunk alertes créent des incidents de sécurité.
Avant de commencer
Rôle requis : sn_si.admin
Pourquoi et quand exécuter cette tâche
Avant Now Platform Réponse aux incidents de sécurité que les incidents de sécurité (SIR) ne soient créés à partir d’alertes ingérées, les valeurs de champ des alertes sont affichées dans la mise en page d’un Now Platform incident de sécurité afin que vous puissiez prévisualiser la façon dont l’incident de sécurité réel sera affiché.
Du point de vue de l’intégration, à l’aide des API disponibles, Splunk les événements sont transmis individuellement et manuellement en tant qu’événements discrets, ou ils sont combinés en alertes déclenchées qui sont automatiquement ingérées dans l’environnement Opérations de sécurité de votre Now Platform instance. Les workflows d’intégration ingèrent différents types d’alertes, comme les tentatives d’accès non autorisé et les logiciels malveillants, par exemple.
Ces alertes sont ingérées en fonction des profils que vous configurez dans l’environnement Opérations de sécurité de votre instance. Toutes les alertes sont initialement ingérées pour un type d’alerte configuré dans un profil. Les alertes ingérées peuvent ensuite être filtrées pour spécifier quelles alertes créent des incidents de sécurité. Par exemple, vous pouvez préférer les filtres qui créent des incidents de sécurité uniquement pour les alertes identifiées comme présentant un risque élevé. Avant qu’un profil ne soit activé et qu’il crée des incidents de sécurité à partir d’alertes ingérées, les valeurs de champ individuelles des alertes filtrées sont mappées aux champs correspondants sur une mise en page de l’incident de sécurité pour un aperçu.
Les noms d’alerte pour les profils d’événement dans votre Now Platform instance doivent être uniques et ne peuvent être mappés qu’à un profil d’événement actif à la fois. Il s’agit des noms d’alertes déclenchées que vous avez configurés dans votre Splunk service dans le cadre de la configuration de l’intégration. Pour plus d’informations sur la configuration des alertes dans votre Splunk Enterprise environnement, reportez-vous à la section Enregistrer les recherches de l’intégration dans votre Splunk EnterpriseSplunk Enterprise Event Ingestion console.
Il Now Platform ingère des alertes spécifiques à l’aide des workflows de l’intégration. Toutes les alertes qui répondent aux critères de sélection de votre Splunk console d’entreprise sont initialement ingérées dans votre Now Platform instance.
Un profil dans votre Now Platform est une encapsulation d’une Splunk alerte dans votre Splunk console d’entreprise. Il existe une relation biunivoque entre les alertes ingérées avec un profil et les connexions à votre Splunk console d’entreprise : une alerte pour une connexion. Il n’y a qu’une seule connexion https à une tête de recherche dans votre Splunk Enterprise console. Plusieurs alertes peuvent provenir d’une seule tête de recherche. Si vous vous connectez à plusieurs têtes de recherche dans votre Splunk Enterprise console, vous devez créer plusieurs profils dans votre Now Platform instance pour ingérer ces alertes.
Étapes de création des profils pour l’ingestion d’alerte planifiée
Procédure
-
Renseignez les champs.
Le tableau ci-dessous un exemple de formulaire rempli.
Champ Description Nom Nom unique pour le profil. Si les noms ne sont pas uniques, les noms de profil en double ne sont pas enregistrés. Les noms de profil dans votre Now Platform instance doivent être uniques.
Actif La case n’est pas cochée par défaut. L’option Actif est désactivée et n’est pas disponible pour la sélection tant que vous n’avez pas terminé toutes les étapes de configuration du profil et cliqué sur Terminer.
Type Sélectionnez le type de profil dans la liste de choix. - Ingestion d’alerte planifiée : ce type de profil prend en charge les alertes déclenchées qui sont ingérées selon un calendrier que vous configurez. Renseignez les champs et cliquez sur Continuer pour passer à l’étape Sélection d’alerte du profil.
- Transfert manuel d’événements : ce type de profil prend en charge les événements individuels qui sont transférés manuellement à partir de votre Splunk Enterprise console sur demande. Reportez-vous aux étapes suivantes pour remplir le formulaire pour ces types de profils.
Type de source Splunk Fin de serveur ou de recherche que vous avez configurée pour ingérer des alertes. Si vous avez configuré plusieurs Splunk serveurs, sélectionnez le serveur approprié pour les types d’alertes que vous prévoyez d’ingérer pour le profil. Vous devez saisir une valeur. Ordre La valeur par défaut est 100. Laissez ce paramètre sur la valeur par défaut. Si vous avez créé plusieurs profils, cette valeur fournit une priorité d’exécution lorsque deux profils ou plus partagent les mêmes conditions de déclenchement. Le workflow du profil dont le numéro est le plus bas a la priorité la plus élevée.
(Facultatif) Description Texte pour vous aider à distinguer ce profil des autres profils. La figure suivante est un exemple de formulaire rempli pour une alerte planifiée.
-
Pour créer un profil qui prend en charge le transfert manuel d’événements, procédez comme suit.
Pour les événements que vous transférez à la demande à partir de votre Splunk console d’entreprise, vous pouvez baser le mappage de champs individuel sur n’importe quel profil existant. Vous pouvez également créer une nouvelle grille de mappage pour les données de pièce jointe exportées. Les événements que vous transférez manuellement ne sont pas planifiés dans le profil d’événement.
-
Dans le champ Option de mappage qui s’affiche, dans la liste de choix, choisissez une option de mappage pour continuer.
Reportez-vous aux figures et tableaux suivants pour plus d’informations sur les options de mappage disponibles dans la liste de choix Options de mappage.
Figure 1. Créer une nouvelle option de mappage de champs Tableau 1. Créer une nouvelle option de mappage de champs Option ou champ Description Créer une nouvelle option de mappage de champs Nouveau mappage de champs pour votre événement. Si vous n’avez pas de mappage de champs existant similaire au profil que vous créez, sélectionnez cette option pour créer une nouvelle carte.
Profil par défaut Profil de transfert d’événement par défaut pour tous les Splunk événements. Désactivé par défaut.
Lorsque cette option est activée, ce profil devient le profil par défaut pour le transfert manuel d’événements. Ce profil est le seul profil actif et utilisé pour chaque Splunk mappage de champ d’événement à un SIR incident de sécurité. Un seul profil s’adapte à tous les événements transférés.
Le champ Source n’est pas disponible si l’option de profil par défaut est activée.
Type de source Splunk serveur.
Ce champ n’est pas disponible si l’option de profil par défaut est activée.
Si disponible, l’option Type de source permet le mappage de champs d’événements uniques aux champs d’incidents de sécurité en fonction du type de Splunk source.
Si vous souhaitez gérer les événements de journal de pare-feu différemment des événements de détection de point de terminaison et qu’ils ont différents Splunk types de sources, vous pouvez créer différents profils d’événements basés sur les types de sources pour répondre à cette exigence.
Ordre La valeur par défaut est 100. Laissez ce paramètre sur la valeur par défaut. Si vous avez créé un grand nombre de profils, cette valeur fournit une priorité d’exécution lorsque deux profils ou plus partagent des conditions de déclenchement. Le workflow du profil dont le numéro est le plus bas a la priorité la plus élevée.
(Facultatif) Description Texte pour vous aider à distinguer ce profil des autres profils. Pour un profil avec un nouveau mappage de champ, vérifiez que vous avez saisi une valeur dans le champ Type de source et cliquez sur Continuer pour passer à l’étape de mappage de la configuration.
Pour un profil avec un mappage de champ existant, reportez-vous à la figure et au tableau suivants pour plus d’informations.
Figure 2. Sélectionner un profil existant pour l’option de mappage de champ Tableau 2. Sélectionner un profil existant pour l’option de mappage de champ Option ou champ Description Sélectionner un profil existant pour le mappage de champs Un mappage de champs existant pour votre événement. Le champ Copier à partir du profil s’affiche.
Procédez comme suit pour copier un mappage de champ existant pour ce profil.
- À gauche du champ Copier à partir du profil qui s’affiche, cliquez sur l’icône de recherche.
- Dans la liste Event Profiles (Profils d’événements Splunk qui s’affiche), cliquez sur le nom du profil contenant la carte que vous souhaitez copier.
Le nom du profil s’affiche dans le champ Copier à partir du profil.
Profil par défaut Profil de transfert d’événement par défaut pour tous les Splunk événements. Désactivé par défaut.
Lorsque cette option est activée, ce profil devient le profil par défaut pour le transfert manuel d’événements. Ce profil est le seul profil actif. Il est utilisé pour chaque Splunk mappage de champ d’événement à un SIR incident de sécurité. Un seul profil s’adapte à tous les événements transférés.
Le champ Source n’est pas disponible si l’option de profil par défaut est activée.
Type de source Splunk serveur.
Ce champ n’est pas disponible si l’option de profil par défaut est sélectionnée.
Si disponible, l’option Type de source permet le mappage de champs d’événements uniques aux champs d’incidents de sécurité en fonction du type de Splunk source.
Si vous souhaitez gérer les événements de journal de pare-feu différemment des événements de détection de point de terminaison et qu’ils ont différents Splunk types de sources, vous pouvez créer différents profils d’événements basés sur les types de sources pour répondre à cette exigence.
Ordre La valeur par défaut est 100. Laissez ce paramètre sur la valeur par défaut. Si vous avez créé plusieurs profils, cette valeur fournit une priorité d’exécution lorsque deux profils ou plus partagent des conditions de déclenchement. Le workflow du profil dont le numéro est le plus bas a la priorité la plus élevée.
(Facultatif) Description Texte pour vous aider à distinguer ce profil des autres profils. Au bas du formulaire de sélection d’un mappage existant pour votre profil, cliquez sur Terminer pour finaliser la configuration du profil.
-
Dans le champ Option de mappage qui s’affiche, dans la liste de choix, choisissez une option de mappage pour continuer.
Que faire ensuite
Pour les profils d’alertes planifiées, l’étape suivante consiste à sélectionner les alertes pour l’ingestion automatique.