Encaminhando dados de encaminhamentos universais do Splunk para o QRadar

Depois de incluir instâncias do Splunk no aplicativo, é necessário configurar o aplicativo para encaminhar os dados brutos de Splunk encaminhadores universais para QRadar®.

1. Na guia Splunk Splunk , expanda uma instância Splunk para ver a lista de tipos de origem de dados disponíveis. Para limitar a lista de instâncias do Splunk para escolher, procure instâncias com base no local, na descrição ou nos tipos de origem.
   A definição de tipos de origem é opcional para instâncias Splunk , portanto, quando as origens de dados não pertencem a um tipo de origem, elas são listadas em 'Não definido ' na lista. O tipo de origem aparece como um link na lista e exibe as origens de dados relacionadas.
2. Investigue as origens de dados de cada instância Splunk para ajudar a determinar quais origens você deseja encaminhar para o QRadar.
3. Para encaminhar as origens de dados que são encaminhadores universais, selecione Encaminhar Tudo para QRadar
4. Selecione as fontes de dados que deseja encaminhá-los e, em seguida, clique em Adicionar > Frente.
   Para limpar suas seleções a partir da fila de encaminhamento e iniciar novamente, clique no ícone X .
5. Na página Configurar porta para QRadar , configure o endereço IP e o número da porta TCP do console do QRadar para cada instância Splunk e clique em Configurar. Quaisquer origens baseadas em Windows são exibidas, com opções de configuração entre as quais escolher.
   Dicas:

   • Em geral, use a porta 514 para encaminhar dados para QRadar. Para encaminhar eventos multilinhas TCP, use a porta 12468.
   • Clique em Visualização para ver o conteúdo da origem de dados antes de você decidir encaminhá-la. Essa visualização é útil para que usuários não administrativos copiem as informações e enviem para um administrador para alterar a instância do Splunk Depois de copiar os dados para uma área de transferência, modifique os arquivos adequados (props.conf, transforms.conf, outputs.conf).
   • Se o QRadar App for Splunk Data Forwarding detectar uma origem baseada no Windows, mas não for, ainda será possível encaminhar os logs para a porta 514.
6. Para cada origem do Splunk que o QRadar App for Splunk Data Forwarding detecta como uma origem do Windows, selecione uma das opções de configuração a seguir:
   • Se você desejar criar uma origem de log no console do QRadar , selecione Criar automaticamente a origem de log do Windows no QRadar
   • Se você desejar criar e configurar uma origem de log como uma origem de log de gateway, selecione Configurar origem de log como um gateway (para identificar logs provenientes de várias origens).
   • Se desejar criar manualmente uma fonte de logs no QRadar, consulte Incluindo uma origem de logs..
7. Depois de concluir a configuração das portas, clique em Configurar > Etapa 3: Concluir > Concluir
   Antes que o Splunk possa começar a encaminhar os dados para o QRadar, o app deve reiniciar a instância do Splunk Clique em Concluire, em seguida, clique em Fechar após a instância Splunk ser reiniciada.
8. Opcional: se for necessário mudar o nome do usuário ou a senha para uma instância do Splunk , clique em Editar. Não é possível alterar o endereço IP ou o número da porta.
9. Opcional: Para parar Splunk de encaminhar dados para o QRadar, acesse a guia Origens de dados encaminhadas , selecione as instâncias relevantes do Splunk e clique em Parar encaminhamento.