Erstellt eine Vulnerability Response-CI-Suchregel

Das Modul CI-Suchregeln enthält Regeln, mit denen der übereinstimmende Datensatz für Hostinformationen gefunden wird, die während des Imports von Drittpartei-Schwachstellenintegrationen empfangen wurden. Die Hostinformationen werden mit den erkannten Elementen, den nicht abgeglichenen Klassen von Konfigurationselementen und dem Configuration Management Database (CMDB)abgeglichen.

Vorbereitungen

Es sind Persona-Rollen und granulare Rollen verfügbar, mit denen Sie verwalten können, was Benutzer und Gruppen in der Anwendung Vulnerability Response sehen und tun können. Informationen zur erstmaligen Zuweisung der Persona-Rollen im Setup-Assistenten finden Sie unter Weisen Sie die Persona-Rollen Vulnerability Response mit dem Setup-Assistenten zu. Weitere Informationen zum Verwalten von granularen Rollen finden Sie unter Verwalten Sie Personas und granulare Rollen für Vulnerability Response.

Erforderliche Rolle: sn_vul.vulnerability_admin

Warum und wann dieser Vorgang ausgeführt wird

Das Erstellen von CI-Suchregeln erfordert fortgeschrittene Kenntnisse von ServiceNow und Vulnerability Response. Anstatt eine der vorhandenen Suchregeln zu ändern, sollten Sie sie kopieren und die Kopie ändern. Wenn Sie zufrieden sind, dass die neue Regel das bewirkt, was Sie möchten, deaktivieren Sie die ursprüngliche.

Hinweis:

Einmal entfernte Regeln können nicht wiederhergestellt werden. Anstatt vorhandene Regeln zu entfernen, deaktivieren Sie sie beim Erstellen neuer Regeln.

Prozedur

1. Navigieren zu Alle > Security Operations > CMDB > CI-Suchregelnan.
2. Klicken Sie auf Neu.
3. Füllen Sie die Felder des Formulars aus.

   Tabelle : 1. Formular „CI-Suchregel“.

   Feld	Beschreibung
   Name	Name der Regel.
   Suchmethode	Für die Übereinstimmung verwendete Methode. Die Auswahlmöglichkeiten lauten wie folgt: Skript: Vorgefertigt (IP-Adresse, DNS-Name usw.) oder anwenderdefiniertes Skript. Feldabstimmung: Suchen Sie in der Tabelle oder dem Feld in der CMDB.
   Typ	Typ, der mit der Skriptsuchmethode verwendet wird.
   Bestellung	Rangfolge für die Regel. Die Regeln mit der niedrigsten Ordnungszahl werden zuerst ausgewertet.
   Aktiv	Checkbox, um festzulegen, ob die Regel aktiv oder deaktiviert ist.
   Quelle	Quelle, die als Eingabe für diese Regel verwendet wird.
   Quellenfeld	Quellfeld, das als Eingabe für diese Regel verwendet wird. Wählen Sie ein beliebiges Feld aus, es wird jedoch als -Zeichenfolgenwert behandelt.
   Bedingung	Bedingung, auf deren Grundlage die CI-Suchregel angewendet wird. Diese Bedingung hängt vom Attribut des Drittanbieterscanners ab. Hinweis: Das Asset-Attribut ist Teil der Nutzlast. Sie wird vom Scanner der Drittpartei empfangen. Nutzlastbeispiele finden Sie in der Tabelle „Erkannte Elemente“.
   Skript	Bearbeitbares Beispielskript, basierend auf dem Typ, wird angezeigt. Implementieren Sie das anwenderdefinierte Skript nach den Kommentaren, die in der Vorlage der Standardfunktion enthalten sind. Hinweis: Die Funktion process besitzt drei Parameter: rule, sourceValueund sourcePayload
   Tabelle durchsuchen	Tabelle für die Suche in der CMDB. Wird mit der Suchmethode für die Feldübereinstimmungverwendet.
   Feld durchsuchen	Feld, das Informationen enthält, die zum Suchen eines CI verwendet werden können. Wird mit der Suchmethode für übereinstimmende Felder verwendet. Dieses Feld kann sich im CI-Datensatz oder in einem zugehörigen Datensatz wie einem Netzwerkadapter befinden.

4. Klicken Sie auf Absenden.

   Weitere Informationen zur Implementierung von CI-Suchregeln finden Sie unter Schritte zum Verhindern von doppelten oder verwaisten Datensätzen nach dem Ausführen von Vulnerability Response CI-Suchregeln.

   Abbildung : 1. Beispiel für eine CI-Suchregel mit einem Bedingungsgenerator für V12.0

   

   Abbildung : 2. Beispiel für eine CI-Suchregel mit einem Skript vor V12.0

   

• CI-Klassen ignorieren
  Um beim Ausführen von CI-Suchregeln einige Klassen von Konfigurationselementen (CI) zu ignorieren, z. B. das Lastenausgleichsmodul [cmdb_ci_lb], legen Sie die Systemeigenschaft „ ignoreCIClass “ [sn_sec_cmn.ignoreCIClass] fest.
• Filtern Sie stillgelegte CIs
  Filtert außer Betrieb genommene Configuration Items (CIs) während der Ausführung der CI-Suchregeln. Um außer Betrieb genommene CIs bei der Ausführung der CMDB-CI-Suchregeln für Security Operations zu filtern, legen Sie die Systemeigenschaft filterOutDecommissionedCI [sn_sec_cmn.filterOutDecommissionedCI] auf „true“ fest.
• CIs automatisch heraufstufen
  Bearbeiten Sie die JSON-Zeichenfolge in der Systemeigenschaft autoHeraufstufenFields [sn_sec_cmn.autoHeraufstufen], damit Ihre Suchregeln für Konfigurationselemente (Configuration Item, CI) alle CMDB-CIs von Security Operations automatisch zu übereinstimmenden Einträgen in der Tabelle [cmdb_ci] heraufstufen.

Zugehörige Verweise

• Vulnerability Response Formularfelder für angreifbare Elemente