イベントプロファイルの作成と名前付け
ServiceNow AI Platform インスタンスにイベントプロファイルを作成し、セキュリティインシデントを作成する Splunk アラートを指定します。
始める前に
必要なロール:sn_si.ingestion_profile_admin
このタスクについて
ServiceNow AI Platform セキュリティインシデントレスポンス(SIR) セキュリティインシデントが取り込まれたアラートから作成される前に、アラートのフィールド値が ServiceNow AI Platform セキュリティインシデントのレイアウトに表示されるため、実際のセキュリティインシデントがどのように表示されるかをプレビューできます。
利用可能な API を使用する統合の観点から、Splunk イベントは個別のイベントとして個別に手動で転送されるか、ServiceNow AI Platform インスタンスの セキュリティオペレーション 環境に自動的に取り込まれるトリガーされたアラートに結合されます。統合ワークフローでは、不正なアクセス試行やマルウェアなどのさまざまなタイプのアラートを取り込めます。
これらのアラートは、インスタンスの セキュリティオペレーション 環境で設定したプロファイルに基づいて取り込まれます。すべてのアラートは、最初にプロファイル内の設定されたアラートタイプに対して取り込まれます。取り込まれたアラートをさらにフィルタリングして、セキュリティインシデントを作成するアラートを指定できます。たとえば、高リスクとして識別されたアラートに対してのみセキュリティインシデントを作成するフィルターを使用できます。プロファイルが有効になり、取り込まれたアラートからセキュリティインシデントが作成される前に、フィルタリングされたアラートの個々のフィールド値が、プレビュー用のセキュリティインシデントのレイアウトの対応するフィールドにマッピングされます。
ServiceNow AI Platform インスタンス内のイベントプロファイルのアラート名は一意である必要があり、常に 1 つのアクティブなイベントプロファイルにのみマッピングできます。これらは、統合のセットアップの一部として Splunk サービスで構成したトリガーアラート名です。Splunk Enterprise 環境でアラートを設定する方法の詳細については、「Splunk Enterprise Event Ingestion 統合での Splunk Enterprise コンソールへの検索の保存」を参照してください。
ServiceNow AI Platform は、統合のワークフローを使用して特定のアラートを取り込みます。Splunk Enterprise コンソールの選択基準を満たすすべてのアラートが、最初に ServiceNow AI Platform インスタンスに取り込まれます。
ServiceNow AI Platform のプロファイルは、Splunk Enterprise コンソールの Splunk アラートをカプセル化したものです。プロファイルとともに取り込まれたアラートと Splunk Enterprise コンソールへの接続は 1 対 1 の関係 (1 つの接続に対して 1 つのアラート) です。Splunk Enterprise コンソールにはサーチヘッドへの単一の https 接続があります。単一のサーチヘッドから複数のアラートを取得できます。Splunk Enterprise コンソールで複数のサーチヘッドに接続する場合は、これらのアラートを取り込むために ServiceNow AI Platform インスタンスに複数のプロファイルを作成する必要があります。
スケジュール済みアラートの取り込みのためにプロファイルを作成するステップ
手順
-
フィールドに入力します。
完成したフォームの例が表の後に表示されます。
フィールド 説明 名前 プロファイルの一意の名前。名前が一意でない場合、重複するプロファイル名は保存されません。 ServiceNow AI Platform インスタンスのプロファイル名は一意である必要があります。
アクティブ デフォルトでは、このチェックボックスはクリアされます。 [アクティブ] オプションは無効になり、すべてのプロファイル設定ステップを完了して [完了] をクリックするまで選択できません。
タイプ 選択リストからプロファイルタイプを選択します。 - スケジュール済みアラートの取り込み - このタイプのプロファイルは、設定したスケジュールで取り込まれるトリガーアラートをサポートします。フィールドに入力し、[続行] をクリックして、プロファイルのアラート選択ステップに進みます。
- 手動イベント転送 - このタイプのプロファイルは、オンデマンドで Splunk Enterprise コンソールから手動で転送される個々のイベントをサポートします。これらのタイプのプロファイルのフォームに入力するには、次のステップを参照してください。
ソースタイプ アラートを取り込むために構成された Splunk サーバーまたは検索終了。複数の Splunk サーバーが構成されている場合は、プロファイルに取り込む予定のアラートタイプに適したサーバーを選択します。値を入力する必要があります。 順序 デフォルトは 100 です。この設定はデフォルトのままにします。 複数のプロファイルを作成した場合、この値は、2 つ以上のプロファイルが同じトリガー条件を共有する場合の実行時の優先度を示します。プロファイル内の番号が最も小さいワークフローの優先度が最も高くなります。
(オプション) 説明 このプロファイルを他のプロファイルと区別するためのテキスト。 次の図は、スケジュール済みアラートの完成したフォームの例です。
-
手動イベント転送をサポートするプロファイルを作成するには、次のステップを実行します。
Splunk Enterprise コンソールからオンデマンドで転送するイベントの場合、既存のプロファイルに基づいて個々のフィールドマッピングを行うことができます。または、エクスポートされた添付ファイルデータの新しいマッピンググリッドを作成することもできます。手動で転送するイベントは、イベントプロファイルでスケジュールされません。
-
表示される [マッピングオプション] フィールドで、選択リストからマッピングオプションを 1 つ選択して続行します。
[マッピングオプション] 選択リストで利用可能なマッピングオプションの詳細については、次の図とテーブルを参照してください。
図 : 1. 新しいフィールドマッピングオプションの作成 表 : 1. 新しいフィールドマッピングオプションの作成 オプションまたはフィールド 説明 新しいフィールドマッピングオプションの作成 イベントの新しいフィールドマッピング。 作成しているプロファイルに類似した既存のフィールドマッピングがない場合は、このオプションを選択して新しいマップを作成します。
デフォルトプロファイル すべての Splunk イベントのデフォルトのイベント転送プロファイル。デフォルトはクリア (無効化) されています。
このオプションを有効にすると、このプロファイルが手動イベント転送のデフォルトプロファイルになります。このプロファイルはアクティブで、SIR セキュリティインシデントへのすべての Splunk イベントフィールドマッピングで使用される唯一のプロファイルです。1 つのプロファイルがすべての転送イベントに適合します。
デフォルトのプロファイルオプションが有効になっている場合、 [ソース] フィールドは使用できません。
ソースタイプ Splunk サーバー。
デフォルトのプロファイルオプションが有効になっている場合、このフィールドは使用できません。
利用可能な場合、 [ソースタイプ] オプションでは、Splunk ソース タイプに基づいてセキュリティインシデントフィールドに一意のイベントフィールドをマッピングできます。
エンドポイント検出イベントとは異なる方法でファイアウォールログイベントを管理する必要があり、それらのイベントの Splunk ソースタイプが異なる場合は、ソースタイプに基づいて異なるイベントプロファイルを作成して、この要件を満たすことができます。
順序 デフォルトは 100 です。この設定はデフォルトのままにします。 多数のプロファイルを作成した場合、この値は、2 つ以上のプロファイルがトリガー条件を共有する場合の実行時の優先度を示します。プロファイル内の番号が最も小さいワークフローの優先度が最も高くなります。
(オプション) 説明 このプロファイルを他のプロファイルと区別するためのテキスト。 新しいフィールドマッピングがあるプロファイルの場合は、[ソースタイプ] フィールドに値を入力したことを確認してから、[続行] をクリックして構成のマッピングステップに進みます。
既存のフィールドマッピングがあるプロファイルの詳細については、次の図とテーブルを参照してください。
図 : 2. フィールドマッピングオプションの既存のプロファイルの選択 表 : 2. フィールドマッピングオプションの既存のプロファイルの選択 オプションまたはフィールド 説明 フィールドマッピングの既存のプロファイルを選択 イベントの既存のフィールドマッピング。 [プロファイルからコピー] フィールドが表示されます。
このプロファイルの既存のフィールドマッピングをコピーするには、次のステップを実行します。
- 表示される [プロファイルからコピー] フィールドの左側にある検索アイコンをクリックします。
- 表示される [Splunk イベントプロファイル] リストで、コピーするマップが含まれるプロファイル名をクリックします。
プロファイル名が [プロファイルからコピー] フィールドに表示されます。
デフォルトプロファイル すべての Splunk イベントのデフォルトのイベント転送プロファイル。デフォルトはクリア (無効化) されています。
このオプションを有効にすると、このプロファイルが手動イベント転送のデフォルトプロファイルになります。このプロファイルはアクティブな唯一のプロファイルです。SIR セキュリティインシデントへの Splunk イベントフィールドのマッピングごとに使用されます。1 つのプロファイルがすべての転送イベントに適合します。
デフォルトのプロファイルオプションが有効になっている場合、 [ソース] フィールドは使用できません。
ソースタイプ Splunk サーバー。
デフォルトのプロファイルオプションが選択されている場合、このフィールドは使用できません。
利用可能な場合、 [ソースタイプ] オプションでは、Splunk ソースタイプに基づいてセキュリティインシデントフィールドに一意のイベントフィールドをマッピングできます。
エンドポイント検出イベントとは異なる方法でファイアウォールログイベントを管理する必要があり、それらのイベントの Splunk ソースタイプが異なる場合は、ソースタイプに基づいて異なるイベントプロファイルを作成して、この要件を満たすことができます。
順序 デフォルトは 100 です。この設定はデフォルトのままにします。 複数のプロファイルを作成した場合、この値は、2 つ以上のプロファイルがトリガー条件を共有する場合の実行時の優先度を示します。プロファイル内の番号が最も小さいワークフローの優先度が最も高くなります。
(オプション) 説明 このプロファイルを他のプロファイルと区別するためのテキスト。 プロファイルの既存のマッピングを選択するフォームの下部で、[完了] をクリックしてプロファイルの構成を完了します。
-
表示される [マッピングオプション] フィールドで、選択リストからマッピングオプションを 1 つ選択して続行します。
次のタスク
スケジュール済みアラートのプロファイルの場合、次のステップでは自動取り込みのアラートを選択します。