Referência do Assistente de configuração
O Assistente de configuração orienta você nas etapas que você precisa executar para configurar o sistema de base Security Incident Response. Esta seção fornece informações adicionais sobre as etapas complicadas para as quais você pode precisar de mais explicações.
Criar uma Security Incident Response definição de processo
Você pode criar uma definição de processo para definir a forma como os incidentes de segurança fazem a transição de um estado para o próximo. As definições de processo ajudam as centrais de serviços e os usuários finais a rastrear o problema durante todo o ciclo de vida.
Antes de Iniciar
Função necessária: sn.si_admin
Procedimento
Noções básicas sobre a definição do processo do Security Incident Response
Security Incident Response Definição de Processo O substitui os fluxos de estado e fornece aos usuários finais e às centrais de serviços o status de um problema. Uma definição de processo ajuda a rastrear o problema durante seu ciclo de vida. Security Incident Response é uma aplicação de Gestão de serviços (SM), que tem seu próprio conjunto de estados. Estados inválidos são relatados como parte de Seleção de processo.
Definição do processo do Security Incident Response
| Estado | Descrição |
|---|---|
| Rascunho | O iniciador da solicitação adiciona informações sobre o incidente de segurança, mas ainda não está pronto para ser trabalhado. |
| Análise | O incidente foi atribuído e o problema está sendo analisado. |
| Contém | O problema foi identificado e a equipe de segurança está trabalhando para contê-lo e executar o controle de danos. Essas ações podem incluir colocar servidores off-line, desconectar equipamentos da internet e verificar se existem backups. |
| Erradicar | O problema foi contido e a equipe de segurança está tomando medidas para corrigi-lo. |
| Recuperar | O problema foi resolvido e a prontidão operacional dos sistemas afetados está sendo verificada. |
| Revisão | O incidente de segurança foi concluído e todos os sistemas estão de volta à função normal. No entanto, uma revisão pós-incidente ainda é necessária. |
| Encerrado | O incidente está concluído, mas antes que um incidente de segurança possa ser encerrado, você deve preencher as informações na guia Informações de fechamento. |
Definições do processo da tarefa de incidente de segurança
As seguintes definições de processo são usadas para tarefas de incidente de segurança.
| Estado | Descrição |
|---|---|
| Pronto | A tarefa está pronta para ser trabalhada depois de ser atribuída a um agente. |
| Atribuído em | A tarefa está atribuída a um agente. |
| Trabalho em andamento | O agente atribuído está trabalhando na tarefa. |
| Concluir | A tarefa está concluída. |
| Cancelado | A tarefa foi cancelada. |
O NIST é compatível com os dois modelos a seguir:
- NIST com estado
Esta definição de processo permite que os analistas passem de um estado para outro em uma ordem sequencial sem ignorar nenhuma etapa. Por exemplo, se o Analista começar com o estado Rascunho, a ordem sequencial desta definição de processo será Rascunho>Análise>Conter>Eliminar>Recuperar. Portanto, a definição do processo com monitoramento de estados do NIST é unidirecional e permite que os analistas avancem somente para os estados avançados.
Aqui está outro exemplo, se o Analista começar com o estado Análise, a ordem sequencial desta definição de processo será Análise>Conter>Eliminar>Recuperar.
- NIST aberto
Esta definição de processo permite que os analistas passem de um estado para outro, seja para frente ou para trás. Por exemplo, se o Analista começar com o estado Análise, a ordem da definição do processo poderá ser Análise>Conter>Eliminar>Recuperar ou Análise>Rascunho. Portanto, a definição do processo aberto do NIST é bidirecional e permite que os analistas avancem ou retrocedam, dependendo dos requisitos.
Seleção do processo do Security Incident Response
Security Incident Response A seleção de processo lista os processos com estados inválidos para incidentes de segurança e tarefas de resposta.
Um administrador pode corrigir o incidente ou a tarefa para estados válidos manualmente ou usando um script. Uma lista relacionada vazia (sem incidentes, sem tarefas) indica que todas as tarefas ativas estão em um estado válido. Os estados disponíveis variam de acordo com o estado atual do incidente. Para obter mais informações, consulte Corrija um incidente de segurança ou estado de tarefa inválido com a definição de processo.
Selecione uma Security Incident Response definição de processo
Você pode selecionar a definição de processo a ser usada para os estados apropriados para as tarefas de resposta e incidentes de segurança da sua empresa.
Antes de Iniciar
Por Que e Quando Desempenhar Esta Tarefa
Procedimento
-
Clique no ícone de pesquisa para listar as definições de processo disponíveis.
Criar uma inclusão de script de definição de processo personalizada Security Incident Response
Crie um script de definição de processo personalizado para os estados apropriados dos incidentes de segurança e tarefas de resposta da sua empresa.
Antes de Iniciar
Por Que e Quando Desempenhar Esta Tarefa
Procedimento
-
Preencha os campos, se for o caso.
Tabela 4. Como criar definições de processo Campo Descrição Nome Nome desta inclusão de script. Nome da API Criado com base no nome da inclusão de script. Cliente chamável Torna a inclusão de script disponível para client scripts, filtros de lista e relatório, qualificadores de referência ou, se especificado, como parte do URL. Aplicação Incidente de segurança Acessível de Escolha Somente este escopo da aplicação . Ativo Quando marcada, torna esta inclusão de script selecionável na página Definição de processo. Descrição Informações úteis sobre a inclusão de script. Script Define o script do lado do servidor a ser executado quando chamado de outros scripts. O script deve definir uma única classe JavaScript ou uma função global. O nome da classe ou função deve corresponder ao campo Nome.
Para obter informações sobre o conteúdo do script, consulte Inclusão de script de definição de processo.
Inclusão de script de definição de processo
A inclusão de script Definição de processo fornece métodos para definir uma definição de processo.
Implemente as constantes, atributos, matrizes e chamadas de método descritas aqui para personalizar uma inclusão de script de definição de processo.
Onde usar
Use esta inclusão de script para criar uma definição de processo.
Corpo da inclusão de script
- Constantes: definições de estado inicial
- Tarefa de resposta e incidente de segurança: matrizes de definição de processo
- Chamadas de método: recuperando informações
Constantes
As constantes são usadas para definir os estados iniciais de incidentes de segurança e tarefas de resposta.
INITIAL_INCIDENT_STATE: 10,
INITIAL_TASK_STATE: 1,
Que são usados posteriormente pelos seguintes métodos:
getInitialIncidentState: function() {
return this.INITIAL_INCIDENT_STATE;
},
getInitialTaskState: function() {
return this.INITIAL_TASK_STATE;
},O próximo conjunto de constantes define os estados dos incidentes de segurança e das tarefas de resposta.
Cada matriz também contém a definição de quais estados estão disponíveis quando o incidente ou a tarefa está em um estado específico.
TASK_STATES: [{state:1, label:"Draft", choice:[1, 10]},
{state:10, label:"Ready", choice:[10, 16]},
{state:16, label:"Assigned", choice:[16, 18]},
{state:18, label:"Work in Progress", choice:[18, 3]},
{state:3, label:"Close Complete", choice:[]},
{state:7, label:"Cancelled", choice:[]},
],O exemplo é uma matriz de objetos. Cada objeto define um estado e possíveis estados de transição.
A ordem do objeto do estado determina a ordem desejada para o fluxo.
Quando a tarefa está no estado "Rascunho" (valor 1), os estados possíveis são: 1 (Rascunho, que é nenhuma mudança) e 10 (Pronto, a próxima etapa do processo).
Não há limite para o número de transições de um estado. Os estados "Fechamento concluído" e "Cancelado" são estados finais e, portanto, não têm transições de estado possíveis.
A ordem dos atributos no objeto não é importante. Se isso tornar a definição mais clara, coloque o rótulo primeiro.
Atributos
- estado: valor numérico do estado
- rótulo: texto legível associado ao estado
- opção: uma matriz de valores de estado para a qual o estado pode fazer a transição (determina o conteúdo da lista suspensa de estado)
- obrigatório: lista de IDs de campo que se tornam obrigatórios neste estado
- somente leitura: lista de IDs de campo que se tornam somente leitura neste estado
- visível: lista de IDs de campo que se tornam visíveis neste estado
- notmandatory: lista de IDs de campo que se tornam não obrigatórios neste estado
- notvisible: lista de IDs de campo que não estariam mais visíveis neste estado
Se atributos opcionais forem usados, é responsabilidade do autor garantir que os campos sejam tornados visíveis/invisíveis, obrigatórios/não obrigatórios, visíveis/ocultos ou somente leitura adequadamente entre os estados.
Por exemplo, ocultar um campo em um estado não o torna visível em outro estado posteriormente, a menos que o atributo "visível" seja usado.
Matrizes de definição de fluxo de processo
Para definir as informações exibidas no formatador de fluxo de processo (a barra na parte superior dos formulários de tarefa de resposta e incidente de segurança), o sistema requer informações sobre o que exibir para cada estado.
TASK_PF: [{label:"Draft", condition:"state=1^EQ", description:"<p>Security Incident Response Task is in draft</p>"},
{label:"Ready", condition:"state=10^EQ", description:"<p>Security Incident Response Task is ready to be assigned</p>"},
{label:"Assigned", condition:"state=16^EQ", description:"<p>Security Incident Response Task is assigned</p>"},
{label:"Work in Progress", condition:"state=18^EQ", description:"<p>Work has started on this Security Incident Response Task</p>"},
{label:"Closed", condition:"state=3^ORstate=4^ORstate=7^EQ", description:"<p>Security Incident Response Task is complete</p>"},
],A matriz TASK_PF é uma coleção de rótulos, condições e descrições usadas para determinar o texto exibido na barra do formatador de processos (incluindo ordem e atividade).
No exemplo, o texto "Pronto" é o segundo item exibido. É realçado quando a tarefa atende à condição 'state=10^EQ'.
Quando o ponteiro do mouse passa sobre o texto, a descrição "A tarefa do Security Incident Response está pronta para ser atribuída" é exibida.
Os estados podem ser combinados para um único estado do formatador.
No exemplo, os estados "Fechado concluído" e "Cancelado" são exibidos como "Fechado" na barra superior.
Chamadas de método
| Tipo de retorno | Resumo do método | Descrição |
|---|---|---|
| Cadeia de caracteres | getInitialIncidentState: função () | retornar o valor numérico do estado do incidente inicial |
| Cadeia de caracteres | getInitialTaskState: função(): | retornar o valor numérico do estado da tarefa inicial |
| Matriz de cadeia de caracteres | getIncidentStates: função ():: | retornar a matriz do estado do incidente |
| Matriz de cadeia de caracteres | getTaskStates: função ():: | retornar a matriz do estado da tarefa |
| Matriz de objetos | getIncidentProcessFlows: função ():: | retornar a matriz de definição de fluxo do processo de incidente |
| Matriz de objetos | getTaskProcessFlows: função(): | retornar a matriz de definição de fluxo do processo de tarefa |
O próximo conjunto de métodos é chamado sempre que um incidente ou uma tarefa é atualizado e permite que ações sejam executadas em transições de mudança específicas.
| Tipo de retorno | Resumo do método | Descrição |
|---|---|---|
| vazio | performIncidentStateChange: função (atual, anterior) | Nos exemplos, este método é usado para definir valores relacionados ao SM e garantir que um incidente avance para fora de "Rascunho" quando alguém for atribuído a ele. |
| vazio | performTaskStateChange: função (atual, anterior) | No exemplo, este método é usado para atualizar carimbos de data/hora (na atribuição e no fechamento) e avançar a tarefa de "Pronto" para "Atribuído" quando o campo assigned_to estiver preenchido. |
Corrija um incidente de segurança ou estado de tarefa inválido com a definição de processo
Um administrador pode corrigir o incidente de segurança ou a tarefa para estados válidos, manualmente ou usando um script. Os estados disponíveis variam de acordo com o estado atual do incidente.
Antes de Iniciar
Por Que e Quando Desempenhar Esta Tarefa
Para mudar os estados em massa, faça o seguinte:
Procedimento
-
Clique duas vezes emno campo Estado no primeiro registro, selecione o novo Estado e clique na marca de seleção
) para concluir a mudança.
Criar um grupo de incidentes de segurança
Configure um grupo de incidentes de segurança e atribua as funções e usuários apropriados ao grupo.
Antes de Iniciar
- Se você tiver a função user_admin, poderá criar grupos de atribuição de incidentes de segurança.
- Se você tiver a função sn_si.admin, poderá criar e editar grupos de atribuição de incidentes de segurança.
Por Que e Quando Desempenhar Esta Tarefa
É uma prática recomendada criar quantos grupos forem necessários em sua organização. Também é uma prática recomendada criar um grupo para administradores e atribuir a função de administrador somente a este grupo.
Procedimento
-
Certifique-se de selecionar o tipo de incidente de segurança para este grupo.
- Se o campo Tipo não estiver visível, configure o formulário para adicioná-lo.
- Clique no ícone de cadeado ao lado do campo Tipo.
-
Clique no ícone de pesquisa de referência (
)
- Pesquise e selecione o tipo de incidente de segurança.
Criar um grupo de calculadoras de incidentes de segurança
Grupos de calculadoras de incidentes de segurança são usados para agrupar calculadoras.
Antes de Iniciar
Procedimento
Criar uma calculadora de incidente de segurança
As calculadoras de incidente de segurança permitem calcular a gravidade de um incidente de segurança com base em fórmulas predefinidas. Você pode definir suas próprias calculadoras de incidentes de segurança, conforme necessário.
Antes de Iniciar
Procedimento
Noções básicas sobre calculadoras de incidentes de segurança
Calculadoras de incidentes de segurança são usadas para atualizar valores de registro quando condições predefinidas são atendidas. As calculadoras são agrupadas com base nos critérios usados para determinar como os registros são atualizados.
O sistema base Security Incident Response inclui os seguintes grupos de calculadoras de incidentes de segurança e calculadoras. A primeira calculadora que corresponde às condições é executada em cada grupo.
| Nome do grupo da calculadora de incidente de segurança | Calculadoras incluídas no grupo | Descrição |
|---|---|---|
| Impacto nos negócios | Agregar de calculadoras de gravidade | Esta calculadora delega para a Calculadora de Criticidade de Segurança que determina a criticalidade ponderando os valores de outros campos. |
| Gravidade | Negócios impactados | Esta calculadora de gravidade define seus critérios de seleção usando um construtor de condições simples. |
| Serviço crítico afetado | Esta calculadora de gravidade define seus critérios de seleção usando uma condição avançada. Se o item de configuração no incidente de segurança estiver associado a um serviço de negócios altamente crítico, os campos Pontuação de risco, Impacto nos negóciose Prioridade serão elevados conforme definido pela calculadora. |
|
| Mudanças em serviço crítico | Esta calculadora de gravidade define seus critérios de seleção usando uma condição avançada. Se o incidente de segurança atender às condições, um script será executado para definir os níveis para os quais os campos serão elevados. Se o item de configuração no incidente de segurança estiver associado a um serviço de negócios mais crítico ou um pouco crítico, os campos Pontuação de risco, Impacto nos negóciose Prioridade serão elevados conforme definido pela calculadora. |
|
| Vetores de ataque múltiplo | Esta calculadora de gravidade define seus critérios de seleção usando um construtor de condições simples. Se o item de configuração no incidente de segurança estiver associado a vetores de ataque da Web, e-mail e representação, os campos Pontuação de risco, Impacto nos negóciose Prioridade serão elevados conforme definido pela calculadora. |
|
| Definir prioridade com categoria e serviços | Esta calculadora de gravidade define seus critérios de seleção usando um construtor de condições avançado. A prioridade do incidente de segurança é definida como 1 - Crítica quando as seguintes condições são atendidas:
Nota: Esta calculadora está disponível no sistema de base quando você tem o tipo de preço de Operação de segurança inicial. |
|
| Definir prioridade com observáveis | Esta calculadora de gravidade define seus critérios de seleção usando um construtor de condições avançado. A prioridade do incidente de segurança é definida como 1 - Crítica quando as seguintes condições são atendidas:
Nota: Esta calculadora está disponível no sistema de base quando você tem o tipo de preço de Operação de segurança avançada e ativa o plug-in Feeds de ameaças. |
|
| Criticidade do usuário | Obter criticidade do usuário | Esta calculadora de gravidade define seus critérios de seleção usando um construtor de condições simples. Esta calculadora de gravidade faz com que a criticalidade dos negócios do usuário mude para 1 - Crítica quando o campo Departamento é alterado para Finanças. |
| Obter criticidade do grupo de usuários | Esta calculadora de gravidade define seus critérios de seleção usando um construtor de condições avançado. Esta calculadora de gravidade fornece o exemplo de uma calculadora que é executada com dados em uma lista relacionada. |
Calculadoras de gravidade
Quando você cria um incidente de segurança, os campos Pontuação de risco, Impacto nos negóciose Prioridade contêm valores padrão. Quando você salva o incidente, uma regra de negócio valida automaticamente as informações no incidente de segurança em relação às condições definidas em cada uma das calculadoras de gravidade ativas. Eles são validados uma calculadora de segurança de cada vez, na ordem definida pelo campo Pedido em cada calculadora. Se as informações no incidente de segurança corresponderem às condições definidas em uma das calculadoras, os valores do campo de gravidade serão atualizados de acordo com as regras configuradas na calculadora.
Por exemplo, suponha que você crie um incidente de segurança para um IC afetado e o IC seja altamente crítico. Quando o incidente de segurança é salvo, as informações do IC são comparadas com as condições definidas nas calculadoras de gravidade. Quando o incidente de segurança é validado em relação à calculadora de gravidade afetada do serviço crítico, os campos de gravidade são atualizados automaticamente e uma mensagem semelhante à seguinte aparece na parte superior do incidente de segurança.
- [Vetor de ataque] [contém] [Web]
- [Vetor de ataque] [contém] [E-mail]
- [Unidade de negócios] [contém] [Finanças]
Você também pode atualizar os valores de gravidade em um incidente de segurança existente a qualquer momento, abrindo o registro e clicando no link relacionado Calcular gravidade.
Calculadoras de pontuação de risco de incidente de segurança
As calculadoras Definir prioridade com categoria e serviços e Definir prioridade com observáveis são usadas para calcular uma pontuação de risco para um incidente de segurança.
Calculadoras de criticalidade do usuário
As duas calculadoras no grupo de criticalidade do usuário (Obter criticalidade do usuário e Obter criticalidade do grupo de usuários) fornecem exemplos de como você pode direcionar a criticalidade com base em critérios definidos em um registro de usuário ou com base no grupo ao qual um usuário pertence.
Eles podem ser editados conforme necessário ou novas calculadoras de criticalidade do usuário podem ser criadas.
A calculadora Obter criticalidade do usuário faz com que a criticalidade dos negócios do usuário mude para 1 - Crítica quando o campo Departamento é alterado para Finanças.
var CRITical_GROUPS = [group1_sys_id, group2_sys_id, group3_sys_id].Cálculos de pontuação de risco de incidente de segurança
A pontuação de risco é calculada como uma média aritmética que representa o risco com base na prioridade de um incidente de segurança, no tipo de incidente de segurança (negação de serviço, Spear Phishing ou atividade de código malicioso) e no número de origens que acionaram uma falha pontuação de reputação em um indicador.
- Calcular Gravidade
- Atualizar pontuação de risco
- Atualizar pontuação de risco de SI
Por exemplo, se um incidente de segurança tiver um Impacto nos negócios definido como 2-Alto e uma Prioridade definida como 3-Moderado, os respectivos pesos na tabela Ponderações de pontuação de risco serão pesquisados e calculados da seguinte forma:
Impacto do incidente de segurança nos negócios com um valor de 2 = um peso de 60.
Prioridade de incidente de segurança com um valor de 3 = um peso de 40.
(60 + 40)/2 = uma pontuação de risco de 50.
A posição do incidente de segurança na lista de incidentes de segurança é reordenada com base em sua pontuação de risco atualizada.
- Impacto nos negócios no formulário de Incidente de segurança
- Prioridade no formulário de Incidente de segurança
- Gravidade no formulário de Incidente de segurança (oculta por padrão)
- Impacto nos negócios na lista relacionada de Usuários afetados
- Impacto nos negócios na lista relacionada de serviços afetados
- Impacto nos negócios nas vulnerabilidades na lista relacionada de itens vulneráveis
- Quando uma associação entre usuários afetados e um incidente de segurança é criada ou modificada
- Quando uma associação entre serviços afetados e um incidente de segurança é criada ou modificada
- Quando uma associação entre itens vulneráveis e um incidente de segurança é criada ou modificada
As anotações de trabalho também são atualizadas sempre que Atualizar todas as pontuações de risco e Limpar todas as pontuações de risco no formulário Ponderações de pontuação de risco são clicados.
Manter pesos de pontuação de risco
Os pesos de pontuação de risco usados para calcular as pontuações de risco em incidentes de segurança podem ser removidos ou atualizados individualmente. Eles também podem ser removidos ou atualizados para todos os incidentes de segurança. A capacidade de removê-los de incidentes de segurança é útil ao alterar valores de peso.
Antes de Iniciar
Procedimento
Criar um Security Incident Response ANS
Você pode definir um Acordo de nível de serviço (ANS) para Security Incident Response.
Antes de Iniciar
Função necessária: sn_si.admin
Procedimento
Reparar ANS de incidente de segurança
Você pode reparar registros de ANS para garantir que as informações de tempo e duração do ANS sejam precisas.
Antes de Iniciar
Procedimento
-
Clique no menu de contexto do cabeçalho do formulário e selecione Reparar ANS:
Criar um runbook do Security Incident Response
Um runbook é uma associação entre um artigo de conhecimento publicado e uma tarefa específica. Enquanto você executa a tarefa, um artigo de conhecimento no runbook é aberto automaticamente, fornecendo informações pertinentes à tarefa.
Antes de Iniciar
Função necessária: sn.si.knowledge_admin
Por Que e Quando Desempenhar Esta Tarefa
Procedimento
Criar regras para validar ataques de phishing relatados por usuários
Quando seus funcionários recebem e-mails que parecem ser ataques de phishing, eles podem denunciá-los a você usando um endereço de e-mail de phishing. O e-mail suspeito é validado usando regras definidas pela sua organização.
Antes de Iniciar
- Defina um endereço de e-mail como acme+phishing@service-now.com. O marcador +phishing é compatível com SMTP para habilitar a filtragem e sua instância pode receber e-mails enviados para ela.
- Defina um endereço de e-mail, como phishing@acme.com (sua caixa de correio do Exchange), que por sua vez o encaminha para acme+phishing@service-now.com (sua caixa de correio da instância definida por meio de uma regra de encaminhamento de e-mail).
Função necessária: sn_sec_cmn.write
Por Que e Quando Desempenhar Esta Tarefa
Quando um funcionário encontra um e-mail suspeito, ele deve encaminhá-lo como um anexo para o seu endereço de e-mail de phishing. Se o e-mail anexado corresponder a uma regra que define uma ameaça, um incidente de segurança será criado.