Splunkで記録された将来のエンリッチメントデータへのピボット

これらの手順では、Splunkの任意のイベントからエンリッチメントデータに簡単にピボットするためのワークフローアクションを追加する方法を示します。ここでは、 Recorded FutureのSplunk Enterprise統合がすでにインストールされていることを前提としています。

これはSplunkの検索アプリ内の一般的なイベントビューですが、使用できるアクションは限られています。

pivoting-recorded-future-enrichment-data-splunk-screenshot1.png

pivoting-recorded-future-enrichment-data-splunk-screenshot2.png

情報を付加するフィールドをメモしておくことが重要です。この場合、ネットワークから発信されるファイアウォールを通過するトラフィックの宛先ポイントであるため、「dst」を使用します。

ステップ1:Splunk検索ヘッドの[設定]>[フィールド]に移動します。

pivoting-recorded-future-enrichment-data-splunk-screenshot3-.png

ステップ2。[ワークフローアクション] の右側にある [新規追加] を選択します。

pivoting-recorded-future-enrichment-data-splunk-screenshot4-.png

ステップ3。移行先のアプリを「TA_recordedfuture-cyber」として選択します 。注:他のアプリを移行先として選択することもできますが、これは組織のみに、および可能なロールベースのアクセス制御にのみお勧めします。

pivoting-recorded-future-enrichment-data-splunk-screenshot5.png

ステップ4.ワークフローアクションの一意の名前を選択します。

pivoting-recorded-future-enrichment-data-splunk-screenshot6.png

ステップ5.ワークフローアクションのラベルを選択します。注:このフィールドで変数($dst$)を使用して、メニューに「RF Enrich IPADDRESS(この例では使用)」と表示したり、「RF destination enrichment」などの静的な値を使用したりできます

pivoting-recorded-future-enrichment-data-splunk-screenshot7.png

ステップ6.エンリッチメントするフィールドを選択します。

pivoting-recorded-future-enrichment-data-splunk-screenshot8.png

ステップ7.特定のイベントタイプに制限する場合はここに入力し、そうでない場合は空白のままにします。注:通常、イベントタイプはTAまたはアプリの一部として定義され、イベントタイプは任意の検索で作成できます。例:検索文字列「index=extfws sourcetype=netscreen:firewall action=allowed」を使用してfwacceptsという名前のイベントタイプを作成すると、他のデバイスからのトラフィックやファイアウォールからのドロップされたトラフィックに対してワークフローが表示されないように制限できます。

pivoting-recorded-future-enrichment-data-splunk-screenshot9.png

ステップ 8.ドロップダウンメニューで「両方にアクションを表示」を選択し、リンクのアクションタイプを選択します。

pivoting-recorded-future-enrichment-data-splunk-screenshot10.png

ステップ9.「http://yoursearchhead.company.com/en-US/app/TA_recordedfuture-cyber/recorded_future_ip_enrichment?form.name=$dst$」と入力します。を URI (yoursearchhead.company.com は Splunk Search Head の DNS 名) に挿入します。注:末尾を、選択したフィールド「$dst」の変数名に置き換えています。

pivoting-recorded-future-enrichment-data-splunk-screenshot11.png