Encaminhando dados de encaminhamentos pesados do Splunk para o QRadar

Depois de incluir instâncias do Splunk no app, é necessário configurar o app para encaminhar os dados brutos de Splunk encaminhadores pesados para QRadar®.

1. Na guia Splunk Splunk , expanda uma instância Splunk para ver a lista de tipos de origem de dados disponíveis. Para limitar a lista de instâncias do Splunk para escolher, procure instâncias com base no local, na descrição ou nos tipos de origem.
   A definição de tipos de origem é opcional para instâncias Splunk , portanto, quando as origens de dados não pertencem a um tipo de origem, elas são listadas em 'Não definido ' na lista. O tipo de origem aparece como um link na lista e exibe as origens de dados relacionadas.
2. Investigue as origens de dados de cada instância Splunk para ajudar a determinar quais origens você deseja encaminhar para o QRadar.
3. Para encaminhar origens de dados que são encaminhadores pesados, selecione-os individualmente ou selecione Encaminhar para QRadar.
   As condições a seguir aplicam-se a encaminhadores pesados:

   • É possível selecionar tipos de origens de dados individuais ou clicar em Selecionar tudo. A opção Selecionar tudo não seleciona o tipo de origem "Não definido". Deve-se analisar os tipos de origem "Não definido" em uma janela separada e, em seguida, selecionar quais deles encaminhar para QRadar.
   • Em cada tipo de origem ou nome de origem, é possível selecionar nomes de origens individuais ou clicar em Selecionar tudo.
   • É possível clicar em Limpar antes clicar em Incluir. Depois de incluir um tipo de origem na lista de encaminhamento, não é possível limpá-lo da seleção. Para limpar tipos de origem e origens de dados da lista de encaminhamento, clique em Encaminhar e, em seguida, clique em Remover na janela de confirmação.
   • Todos os tipos de origem ou as origens de dados são selecionadas. No entanto, caso novos tipos de origem ou origens de dados sejam incluídos posteriormente, eles não serão encaminhados. Nesse caso, use então a opção Encaminhar todos para o QRadar.

     Exemplo: um encaminhador pesado monitora src_typ_a, src_typ_b e src_typ_c.

     Se você escolher a opção Selecionar Tudo , Splunk encaminha src_typ_a, src_typ_be src_typ_c para QRadar Mas se você incluir src_typ_d posteriormente, o Splunk não o encaminhar automaticamente para o QRadar; ele deverá ser incluído usando o app.

     Se você escolher a opção Encaminhar Tudo para QRadar , Splunk encaminhará src_typ_a, src_typ_be src_typ_c para QRadare se você incluir src_typ_d posteriormente, Splunk o encaminhará automaticamente para QRadar

4. Selecione as fontes de dados que deseja encaminhá-los e, em seguida, clique em Adicionar > Frente.
   Para limpar suas seleções a partir da fila de encaminhamento e iniciar novamente, clique no ícone X .

   Determinadas condições são delineadas na página Selecionar encaminhadores. Você deve clicar para concordar com essas condições antes de poder continuar ou deve remover os encaminhadores pesados da lista de encaminhamento. Depois de fazer sua escolha para concordar ou remover, clique em Etapa 2: Configurar Porta para o QRadar.

5. Na página Configurar porta para QRadar , configure o endereço IP e o número da porta TCP do console do QRadar para cada instância Splunk e clique em Configurar. Quaisquer origens baseadas em Windows são exibidas, com opções de configuração entre as quais escolher.
   Dicas:

   • Em geral, use a porta 514 para encaminhar dados para QRadar. Para encaminhar eventos multilinhas TCP, use a porta 12468.
   • Clique em Visualização para ver o conteúdo da origem de dados antes de você decidir encaminhá-la. Essa visualização é útil para que usuários não administrativos copiem as informações e enviem para um administrador para alterar a instância do Splunk Depois de copiar os dados para uma área de transferência, modifique os arquivos adequados (props.conf, transforms.conf, outputs.conf).
   • Se o QRadar App for Splunk Data Forwarding detectar uma origem baseada no Windows, mas não for, ainda será possível encaminhar os logs para a porta 514.
6. Para cada origem do Splunk que o QRadar App for Splunk Data Forwarding detecta como uma origem do Windows, selecione uma das opções de configuração a seguir:
   • Se você desejar criar uma origem de log no console do QRadar , selecione Criar automaticamente a origem de log do Windows no QRadar
   • Se você desejar criar e configurar uma origem de log como uma origem de log de gateway, selecione Configurar origem de log como um gateway (para identificar logs provenientes de várias origens).
   • Se desejar criar manualmente uma fonte de logs no QRadar, consulte Incluindo uma origem de logs..
7. Depois de concluir a configuração das portas, clique em Configurar > Etapa 3: Concluir > Concluir
   Antes que o Splunk possa começar a encaminhar os dados para o QRadar, o app deve reiniciar a instância do Splunk Clique em Concluire, em seguida, clique em Fechar após a instância Splunk ser reiniciada.
8. Se for necessário mudar o nome de usuário ou a senha para uma instância do Splunk , clique em Editar Não é possível alterar o endereço IP ou o número da porta.
9. Para parar Splunk de encaminhar dados para o QRadar, acesse a guia Origens de dados encaminhadas , selecione as instâncias relevantes do Splunk e clique em Parar encaminhamento.