AWS Security Hub 検出結果の取得スケジュールを設定する

検出結果データを取得し、プロファイルのクライテリアに一致する AWS Security Hub 検出結果を取り込むスケジュールを設定します。

始める前に

必要なロール：sn_sni.admin

このタスクについて

AWS Security Hub 検出結果プロファイル構成に一致する将来の AWS Security Hub 検出結果をポーリングする頻度を設定できます。

ポーリング間隔は、各プロファイルで個別に設定されます。ポーリング間隔が異なると、AWS Security Hub 検出結果統合のパフォーマンスに影響する可能性があります。スケジュールを設定するときは、インシデントの緊急度とシステム負荷のバランスを取るように計画してください。すべてのプロファイルに 1 分のデフォルト値が設定されています。この設定は、インシデントの緊急度とシステムの予想される負荷に基づいて変更できます。

特定のポーリング間隔でインシデントに追加されたアラートはすべて、処理されてから AWS Security Hub アラート関連リストとコメントに追加されます。

手順

1. スケジュールフォームで、フィールドに入力します。

   AWS Security Hub テナントからインシデントを取得する方法とタイミングを定義するスケジュールを設定します。

   表 : 1. スケジュールフォーム

   フィールド	説明
   検出結果の継続的な取り込み	ServiceNow AI Platform インスタンスが  AWS Security Hub テナントから新しい検出結果を取得する、進行中のインシデントの取り込み。トリガーされた検出結果が見つかり、セキュリティインシデント生成のフィルタークライテリアが一致すると、セキュリティインシデントが作成されます。
   クローズ済み結果のポーリング	解決済み検出結果のポーリング。 これらの検出結果は進行中のインシデント取り込み中に取り込まれます。
   ポーリングインクリメント (分)	定義されたポーリング頻度 (分単位)。
   初期検索の取り込み時刻を設定 (Set Initial finding ingestion time)	構成された日時に基づく検出結果の取り込み。 このオプションを使用して、最初の取り込みに対する特定の日時を定義できます。それ以降の取り込みはポーリング間隔の時間に基づいて決まります。
   初期検索の取り込み時刻を入力 (Input Initial finding ingestion time)	インシデントの取り込みに指定した日時。
   1 回限りの取得	AWS Security Hub の過去のインシデントを 1 回だけ取得してデータの調整を行うことを許可するには、このチェックボックスをオンにします。このチェックボックスを選択すると、約 90 日分のオープンおよびクローズ済みの AWS Security Hub 検出結果がすべて取得されます。 データを処理するときは、進行中の検出結果と過去のデータの両方が取得されますが、進行中の検出結果の処理の方が過去データの取得よりも優先されます。そうでないと、期間と取り込まれる検出結果の数に応じて、過去データの取得に時間がかかる可能性があります。 注: 取得された過去の AWS Security Hub 検出結果に対しては、セキュリティインシデントレスポンス アプリケーション内での重複を防ぐために重複排除チェックが行われます。
   開始日	AWS Security Hub から過去の検出結果の取り込みを開始する日付。 注: 検出結果データはおよそ 90 日前に遡って取得されます。

   [スケジュールページ] では、AWS Security Hub テナントから検出結果を取得する方法とタイミングを定義できます。

2. [他のオプション] ページに移動するには、[続行] をクリックします。