Splunk XDR の統合

手順

1. Trend Vision One コンソールで、 [エンドポイントURL] と [認証トークン]を取得します。
   1. Workflow and Automation → Third-Party Integration
   2. [Splunk XDR]を選択します。
   3. コピーアイコン ( ) をクリックして次の情報を取得します。
      • [エンドポイントURL]
      • [認証トークン]
   4. (オプション) 認証トークンの有効期限が切れているか存在しない場合は、 [生成] をクリックし、 [APIキーの設定] ウィンドウに必要な情報を入力して新しいトークンを追加します。
2. を検索してインストールします。 Trend Vision One for Splunk (XDR)からのアプリSplunkbase 。
3. アプリをインストールしたら、[アプリ] → Trend Vision One for Splunk (XDR) Spunkコンソールで

   

4. アカウントを設定します。
   1. に移動[設定] → [アカウント] 。
   2. 編集アイコン ( ) をクリックして、設定を変更します。
   3. Trend Vision One コンソールから取得した [エンドポイントURL] と [認証トークン] を貼り付けます。認証トークンが複数ある場合は、セミコロンで区切ります。
   4. [アップデート]
   5. (オプション) に移動します。[設定] → [プロキシ]をクリックし、必要に応じて次の情報を入力します。
      • [HTTPS Proxy Address]
      • [Retry Interval]
   6. [保存] をクリックします。
5. (オプション) 新しいアカウントを追加します。
   1. [Add]
   2. [アカウント名] を入力し、 Trend Vision One コンソールから [エンドポイントURL] と [認証トークン] を貼り付けます。
   3. [Add]
6. Splunkで使用するデータ入力を設定します。
   1. メニューバーの [Inputs] に移動します。
   2. [ステータス]で、トグルを使用して各データ入力を有効または無効にします。
   3. 編集アイコン ( ) をクリックして、データ入力の設定を行います。
   4. データ入力に次の情報を入力します。
      • 名前
      • [Interval]
      • [Index]
      • [Global account]
   5. [アップデート]
7. (オプション) 新しいデータ入力を追加します。
   1. [Create New Input]をクリックします。
   2. 次からデータ入力を選択します。
      • Trend Vision One Workbenchのアラート
      • Trend Vision One Observed Attack Techniques
      • Trend Vision One Audit Logs
      • Trend Vision One 検出
   3. [名前]、 [Interval]、および [Index]を入力し、データ入力として [Global account] を選択します。

      注意 [ Observed Attack Techniques]データ入力タイプでは、さらに [リスクレベル]を選択する必要があり、指定したレベル以上のリスクレベルを持つすべてのイベントが同期されます。 [undefined]、 [info]、または [低] を選択すると、大量のデータ転送が発生する可能性があります。

   4. [Add]
   Splunkアプリが正常にインストールされると、Splunkは Trend Vision OneからXDRデータの収集を開始します。 Splunkは、 Trend Vision Oneへの接続後に生成されたXDRデータのみを収集できます。新しいXDRデータが表示されるまで、しばらく時間がかかることがあります。