Configurar Splunk Integrações de pesquisa

  • Versão de lançamento: Yokohama
  • Atualizado 24 de fev. de 2025
  • 3 min. de leitura

    • Configure uma integração que extraia periodicamente dados de log de Splunk para sua instância ServiceNow para processamento por Análise de logs de integridade.

    Antes de Iniciar

    • Certifique-se de que um MID Server esteja instalado e configurado com a capacidade de ingestão de log habilitada.

      Configuração do MID Server com capacidade de ingestão de log habilitada.

      Importante:
      Análise de logs de integridade não é compatível com IPv6. Para trabalhar com a aplicação, configure o MID Server para IPv4.
    • Se o endereço IP MID Server for exposto pela conversão de endereço de rede (NAT), um balanceador de carga ou um dispositivo semelhante, ele deverá ter um endereço IP público. Nas propriedades MID Server, adicione uma propriedade chamada mid.public_ip com o endereço IP público como o valor. Para obter mais informações, consulte Criar uma propriedade do MID Server.
    • Para obter informações sobre como enviar seus logs criptografados usando SSL TLS, consulte o artigo Streaming de dados com Rsyslog e Filebeat usando SSL [KB0866319] na Base de conhecimento Now Support.

    Função necessária: evt_mgmt_admin

    Procedimento

    1. Navegar até Espaços > Espaço de operações de serviços.
    2. No painel esquerdo, selecione o ícone do Launchpad de integrações ( ícone do Launchpad de integração)
    3. Na guia Procurar integrações, insira Splunk Poller no campo de pesquisa.
      O Splunk bloco de integração do Pesquisador é exibido.
    4. Selecione o bloco.
      Nota:
      Se você iniciou o processo de integração sem atender a todos os pré-requisitos listados na seção Antes de começar, será exibida uma mensagem. Você tem a opção de cancelar a integração e concluir os requisitos ausentes ou continuar no modo de rascunho e preenchê-los mais tarde. Observe que você só pode ativar uma integração configurada quando todos os pré-requisitos forem atendidos. As integrações salvas que não foram ativadas estão disponíveis na guia Integrações instaladas em Integrations Launchpad, em Aguardando sua ação.
    5. Selecione Fornecer detalhes.
      O formulário Fornecer detalhes é exibido. Esta tela requer que você forneça detalhes essenciais para a nova integração, incluindo o MID Server ou cluster do qual serão extraídas as mensagens de log e a instância de serviço à qual os dados serão vinculados.
    6. No formulário, preencha os campos e selecione Avançar.
      Para obter uma descrição dos campos, consulte Splunk Pesquisador integração campos de configuração.
      Quando você seleciona Avançar, sua configuração é salva e o formulário Definir método de recuperação de dados é exibido.
    7. No formulário, preencha os campos.
      Para obter uma descrição dos campos, consulte Splunk Pesquisador integração campos de configuração.
    8. Selecione Configurações avançadas e preencha os campos de configuração avançada.
      Para obter uma descrição dos campos, consulte Splunk Pesquisador integração campos de configuração.
    9. Verifique se a integração está configurada corretamente selecionando Testar e salvar.
      Análise de logs de integridade testa a nova integração. Se os testes falharem, será exibida uma mensagem solicitando que você corrija as configurações de campo com falha. Depois de corrigir a configuração, selecione Salvar.
    10. Selecione Ativar para ativar a integração.
      A integração está ativada. Sua guia Visão geral é exibida.

    Resultado

    A integração começa a extrair dados de log periodicamente de Splunk para sua instância ServiceNow. O bloco da integração está disponível na guia Integrações instaladas no Integrations Launchpad.

    Usuários com a função evt_mgmt_user podem usar Gestão de eventos para monitorar os logs e exibir os alertas que Análise de logs de integridade gera a partir deles.

    O que Fazer Depois

    Revise o status do fluxo de dados de log e as origens da integração na guia Visão geral. Aproveite as informações exibidas para refinar como HLA lê os dados de log ajustando sua configuração de integração. Para obter mais informações, consulte Revisar o status e as origens do fluxo de dados de log de uma integração [n.
    Nota:
    Na guia Visão geral, você pode acessar diretamente as páginas Mapeamento de entrada de dados, Estruturas de tipo de origem e Origens de log com o contexto desta integração selecionando o ícone do menu Exibir ( ícone do menu Exibir) e escolhendo a opção relevante. O menu também permite que você acesse diretamente o Visualizador de logs, que mostra os logs brutos que esta integração ingere.