Solicitar integración con SIEM
Aprende cómo solicitar la integración con SIEM para tu organización de IBM Bob Enterprise y qué información debes incluir al abrir un caso.
La integración con SIEM está disponible para tu organización de IBM Bob Enterprise si necesitas enrutar datos de auditoría a tus flujos de trabajo de supervisión de seguridad existentes.
No puedes configurar la integración con SIEM directamente desde tu página de administración.
Esta integración no es de autoservicio. Para solicitar la integración con SIEM para tu organización, abre un caso con el soporte de IBM.
Eventos registrados
Los eventos reenviados a tu SIEM son los mismos eventos de auditoría disponibles en el registro de actividad. Para ver la lista completa de lo que se captura, consulta Qué se registra.
Requisitos de red
Bob enruta tus eventos de auditoría al endpoint HEC de Splunk que proporciones. Si tu instancia de Splunk está detrás de un firewall, debes asegurarte de que los servidores de Bob puedan alcanzar el endpoint. Trabaja con tu equipo de red para exponer el endpoint HEC o añadir el tráfico saliente de Bob a la lista de permisos.
Para conocer los dominios y puertos que usa Bob, consulta Configurar reglas de firewall para Bob.
Información que debes incluir en tu solicitud
Para ayudar al equipo de Bob a preparar la integración, incluye los siguientes datos en tu caso:
- Tu ID de suscripción, o la lista de IDs de suscripción que deseas incluir
- Tu endpoint HEC de Splunk
- Tu token HEC de Splunk
- El nombre de tu índice de Splunk
- Tu certificado de CA, si tu instancia de Splunk usa un certificado autofirmado
Splunk es el ejemplo probado actualmente. Bob también puede enrutar tus logs a otros backends SIEM que usen integraciones de Vector, pero debes coordinar esta configuración con el equipo de Bob a través de tu caso de soporte.
Qué esperar
Tras enviar tu solicitud, el equipo de Bob revisa tus datos y coordina la configuración contigo.
En la mayoría de los casos, la incorporación tarda unos días. El plazo exacto puede variar según tu entorno y la información que proporciones en tu caso.