Splunk Enterprise Security einrichten

Die App bietet integrierte Unterstützung für Splunk Enterprise Security. Die Unterstützung ist verfügbar, wenn die App zusammen mit Splunk ES auf einem Suchkopf installiert wird.

Erforderliche Schritte zur Verwendung der Splunk ES-Funktionalität

Splunk ES-Unterstützung aktivieren

Wählen Sie im Menü "Aufgezeichnete Zukunft für Splunk" die Option "Konfigurieren" aus. Stellen Sie sicher, dass der Schalter zum Aktivieren der Unterstützung für Splunk ES aktiviert ist.

Erforderliche Konfiguration in Splunk ES

Um den vollen Funktionsumfang von Splunk ES nutzen zu können, müssen einige Konfigurationen in Splunk Enterprise Security vorgenommen werden.

• Klicken Sie in der Menüleiste "Enterprise Security" auf "Einstellungen für → Incident Management → Incident Review konfigurieren".
• Klicken Sie auf die Schaltfläche "Neuen Eintrag hinzufügen" im Abschnitt "Incident Review - Event Attributes". Fügen Sie die folgenden Beschriftungs- und Feldkombinationen hinzu:

Etikett	Feld
RF-Risiko-Score	rf_a_risk
RF-ausgelöste Regeln	rf_b_rules
RF Sehr bösartige Beweise	rf_evidence_critical
Bösartige RF-Beweise	rf_evidence_malicious
RF Verdächtige Beweise	rf_evidence_suspicious
RF Ungewöhnliche Beweise	rf_evidence_unusual

• Nach Abschluss der Installation ist ein Neustart der Splunk-Instanz erforderlich.
• Wenn Sie dies noch nicht getan haben, aktivieren Sie die Enterprise Security-Korrelationssuche mit dem Namen "Bedrohungsaktivität erkannt"
  1. Klicken Sie in der Menüleiste "Enterprise Security" auf "→ Content Management konfigurieren"
  2. Geben Sie in der Filterleiste "Bedrohungsaktivität erkannt" ein.
  3. Klicken Sie auf den Link "Aktivieren", um die Korrelationssuche zu aktivieren

Anreicherung von erkannten Ereignissen

Splunk ES erkennt verdächtige Ereignisse mithilfe des integrierten Threat Intelligence-Frameworks. Recorded Future nutzt das Framework, um verdächtige Ereignisse zu erkennen.

Sobald ein Ereignis erkannt wurde, ist es jedoch notwendig, es anzureichern, um eine effiziente Triage zu ermöglichen. Dies kann auf zwei Arten erfolgen:

1. Verwendung gespeicherter Suchen, die Daten aus den Risikolisten von Recorded Future zu den Ereignissen hinzufügt.
2. Verwenden der bereitgestellten Adaptive Response-Aktion. Diese Methode führt eine Abfrage an die API von Recorded Future durch, um aktuelle Informationen abzurufen.

Nachfolgend finden Sie eine Anleitung, wie Sie die jeweilige Methode aktivieren können.

Gespeicherte Suchvorgänge zur Durchführung der Anreicherung

Standardmäßig aktiviert die App vier gespeicherte Suchen, die die Anreicherung aller kompatiblen wichtigen Ereignisse durchführen. Im Folgenden finden Sie die Schritte, die erforderlich sind, um zur Adaptive Response-basierten Anreicherung zu wechseln.

Adaptive Response (AR) zur Durchführung der Anreicherung

Um Adaptive Response (AR) zu aktivieren, müssen die folgenden Schritte durchgeführt werden:

• Deaktivieren Sie die Suchvorgänge, die wichtige Ereignisse bereichern:
  1. Wechseln Sie zu Konfigurieren → Content Management
  2. Deaktivieren Sie "RF IP Threat List Search", "RF Domain Threat List Search" und "RF Hash Threat List Search" (leichter zu finden, wenn Sie den App-Filter verwenden, aber nicht notwendig).
• Klicken Sie auf "Bedrohungsaktivität erkannt", um die Einstellungen zu öffnen.
  1. Klicken Sie neben "Adaptive Response-Aktion" auf "Neue Response-Aktion hinzufügen".
  2. Wählen Sie die Aktion "Aufgezeichnete Zukunft" aus
  3. Behalten Sie die Standardauswahl "Automatisch" bei.
• Klicken Sie auf "Speichern"

Ad-hoc-Aufruf der adaptiven Reaktion

Ad-hoc-Aufrufe von Adaptive Response können vorgenommen werden, z. B. über das Incident Review-Dashboard. Der Benutzer, der die adaptive Reaktion auf diese Weise aufruft, muss über die list_storage_passwords entsprechende Berechtigung verfügen.