Configure Data Inputs

Les sections suivantes expliquent comment configurer les différents types d'entrées.

Alertes

1. Allez dans l’onglet Entrées et cliquez sur Create New Input en haut à droite, puis cliquez sur Add Alerts (Iterator).
   
2. In the Add Alerts (Iterator) window, enter this information:
   • Name can be any unique name, but using <tenant-name>_alerts helps differentiate the input from _events and _clients, which will be created later.
   • L'index peut être laissé par défaut, à moins que vous n'ayez configuré des index personnalisés dans Splunk.
   • Le compte Netskope doit être le compte locataire créé précédemment.
   • Les champs Start Date/Time et End Date/Time peuvent être laissés vides. Si cette option est configurée, seuls les événements survenant après l'heure de début spécifiée et/ou avant l'heure de fin spécifiée seront extraits de Netskope. Par défaut, si aucune heure de fin n'est indiquée, l'heure de début est considérée comme l'heure à laquelle l'entrée est configurée et les événements sont collectés à partir de ce moment.
   • Les types d'alerte peuvent être laissés tels quels ou des types d'alerte individuels peuvent être sélectionnés en cliquant dans le champ.

     Note

     Le point de terminaison " Tous" est un point de terminaison récapitulatif pour toutes les alertes, il peut donc ne pas inclure tous les champs de l'alerte. Pour obtenir des informations détaillées sur les alertes, veuillez sélectionner explicitement les différents types d'alertes.

   • L'option Affiner les données ne peut être configurée que si un seul type d'alerte est sélectionné. Une entrée Alertes (Iterator) doit être créée pour chaque type d'alerte dont les champs doivent être filtrés. Saisissez des champs séparés par des virgules pour inclure/exclure.
3. Cliquez sur Add et attendez la fermeture de la fenêtre. S'il manque des autorisations pour le jeton API, vous verrez une erreur avec des détails supplémentaires, et l'entrée ne sera pas ajoutée. Corrigez les autorisations du jeton API, revenez sur cette page et cliquez à nouveau sur Ajouter.

Événements

1. Allez dans l’onglet Entrées , cliquez sur Create New Input en haut à droite, puis cliquez sur Add Events (Iterator).
   
2. In the Add Events (Iterator) window, enter this information:
   • Name can be any unique name, but using <tenant-name>_events helps differentiate the input from _alerts and _clients.
   • L'index peut être laissé par défaut, à moins que vous n'ayez configuré des index personnalisés dans Splunk.
   • Le compte Netskope doit être le compte locataire créé précédemment.
   • Les champs Start Date/Time et End Date/Time peuvent être laissés vides. Si cette option est configurée, seuls les événements survenant après l'heure de début spécifiée et/ou avant l'heure de fin spécifiée seront extraits de Netskope. Par défaut, si aucune heure de fin n'est indiquée, l'heure de début est considérée comme l'heure à laquelle l'entrée est configurée et les événements sont collectés à partir de ce moment.
   • Les types d'événements peuvent être laissés avec tous les types d'événements sélectionnés. Cliquez sur le x en regard des types d'événements qui ne doivent pas être récupérés.
   • L'option Affiner les données ne peut être configurée que si un seul type d'événement est sélectionné. Une entrée Événements (Iterator) doit être créée pour chaque type d'événement dont les champs doivent être filtrés. Saisissez des champs séparés par des virgules pour inclure/exclure.
3. Cliquez sur Add et attendez la fermeture de la fenêtre. S'il manque des autorisations pour le jeton API, vous verrez une erreur avec des détails supplémentaires, et l'entrée ne sera pas ajoutée. Corrigez les autorisations du jeton API, revenez sur cette page et cliquez à nouveau sur Add.

Clients

1. Allez dans l’onglet Entrées , cliquez sur Create New Input en haut à droite, puis cliquez sur Add Clients (Iterator).
   
2. In the Add Clients (Iterator) window, enter this information:
   • Name can be any unique name, but using <tenant-name>_clients helps differentiate the input from _alerts and _events.
   • L'index peut être laissé par défaut, à moins que vous n'ayez configuré des index personnalisés dans Splunk.
3. Cliquez sur Add.

Événements (Multi Iterator)

1. Allez dans l’onglet Entrées , cliquez sur Create New Input en haut à droite, puis sélectionnez Events (Multi Iterator).
2. In the Add Events (Multi Iterator) window, enter this information:
   • Name can be any unique name, but using <tenant-name>_<event-type> helps differentiate the input (like test_application or test_network).
   • L'index peut être laissé par défaut, à moins que vous n'ayez configuré des index personnalisés dans Splunk.
   • Le compte Netskope doit être le compte locataire créé précédemment.
   • Le type d'événement doit être sélectionné parmi les options disponibles :
     • Connexion : Collecte les données relatives aux événements de connexion.
     • Application : Collecte des données relatives aux événements de l'application.
     • Réseau : Collecte des données sur les événements du réseau.

   Important

   Vous ne pouvez créer qu'une seule entrée Événements (Multi Iterator) par type d'événement et par compte Netskope. Par exemple, vous ne pouvez avoir qu'un seul itérateur d'événement d'application pour un locataire donné. Si vous tentez de créer un deuxième itérateur pour le même type d'événement et le même locataire, vous recevrez une erreur et l'entrée ne sera pas créée.

3. Cliquez sur Add et attendez la fermeture de la fenêtre. S'il manque des autorisations pour le jeton API, vous verrez une erreur avec des détails supplémentaires, et l'entrée ne sera pas ajoutée. Corrigez les autorisations du jeton API, revenez sur cette page et cliquez à nouveau sur Add.

Alertes (itérateur multiple)

1. Allez à la page Inputs onglet, cliquez sur Créer une New entrée en haut à droite, puis sélectionnez Alerts (Multi Iterator).
   

    

2. In the Add Alerts (Multi Iterator) fenêtre, saisissez ces informations :
   • Le nom peut être n'importe quel nom unique, mais l'utilisation de <tenant-name>_<alert-type> aide à différencier l'entrée (comme test_dlp or test_policy).
   • L'index peut être laissé par défaut, à moins que vous n'ayez configuré des index personnalisés dans Splunk.
   • Le compte Netskope doit être le compte locataire créé précédemment.
   • Le type d'alerte doit être sélectionné parmi les options disponibles :
     • compromisedcredential, ctep, DLP (Prévention des pertes de données), malsite, malware, policy, quarantine, remediation, securityassessment, uba, watchlist, périphérique, content
       

        Important
        Une seule entrée Alerts (Multi Iterator) peut être créée par type d'alerte et par compte Netskope. Par exemple, vous ne pouvez avoir qu'un seul itérateur d'alerte de politique pour un locataire donné. Si vous tentez de créer un second itérateur pour le même type d'événement et le même locataire, vous recevrez une erreur et l'entrée ne sera pas créée.

    3. Cliquez sur Add et attendez que la fenêtre se ferme. Si des autorisations de jeton API sont manquantes, une erreur s'affichera avec des détails supplémentaires et l'entrée ne sera pas ajoutée. Corrigez les autorisations de jeton API, revenez sur cette page et cliquez à nouveau sur Ajouter.