Konfigurieren von Regeln zum automatischen Schließen

Durch die Konfiguration von Regeln für das automatische Schließen können Sie den Prozess des Schließens veralteter Erkennungen und Ergebnisse automatisieren, die stillgelegten Konfigurationselementen (CIs) zugeordnet sind.

Das Basissystem bietet die folgenden Regeln für das automatische Schließen:

• Zuletzt gescannte Assets : Erkennungen, die Assets zugeordnet sind, die in den letzten 90 Tagen nicht gescannt wurden, werden in den Status „Veraltet“ versetzt.
• Zuletzt gefundene Erkennungen : Erkennungen, die in den letzten 90 Tagen nicht gefunden wurden. Wenn Sie den zuletzt gefundenen Erkennungsdatensatz aktivieren, erfordert diese Funktion eine erfolgreiche Integrationsausführung von Rapid7 Umfassende Integrationen angreifbarer Elemente und Microsoft TVM-Computer-Schwachstellenintegration (vollständiger Import) innerhalb der letzten sieben Tage.

Beginnend mit v30.3.3 von USEM Parallele Verarbeitung für Regeln zum automatischen Schließen wird unterstützt. Zuvor wurden Regeln für das automatische Schließen als einzelner sequenzieller Auftrag ausgeführt. Bei der parallelen Verarbeitung erstellt das System automatisch mehrere gleichzeitige Aufträge basierend auf dem Datenvolumen, was die Ausführungszeit für große Datensätze erheblich reduziert. Wenn Sie eine Regel zum automatischen Schließen aktivieren, wertet das System die Anzahl der anwendbaren Elemente aus und bestimmt die Anzahl der parallelen Aufträge, die automatisch erstellt werden sollen. Parallelität ist in Code konfiguriert und erfordert kein manuelles Setup.

Die Konfiguration von Regeln zum automatischen Löschen umfasst die folgenden Schritte.

Zugehörige Konzepte

• Veraltete Erkennungen und Ergebnisse werden automatisch mithilfe von Regeln zum automatischen Schließen geschlossen

Erstellen oder bearbeiten Sie Regeln für das automatische Schließen

Erstellen Sie Regeln, um veraltete Erkennungen und Ergebnisse, die stillgelegten Konfigurationselementen (CIs) zugeordnet sind, automatisch zu schließen.

Vorbereitungen

Erforderliche Rolle: Siehe Zugriffssteuerungslisten (ACLs) für Administrationsregeln

Prozedur

1. Navigieren zu Arbeitsbereiche > Arbeitsbereich Für Sicherheitsrisikomanagementan.
2. Wählen Sie Aus Verwaltung Im Navigationsbereich.
3. Wählen Sie Aus Überprüfen Auf Regeln für automatisches Schließen Kachel.
4. Wählen Sie auf der Seite Regeln die Option aus Automatisch schließen Im Navigationsbereich.
5. Wählen Sie Aus Neu Und füllen Sie die Felder im Formular aus:

   Tabelle : 1. Regelformular automatisch schließen

   Feld	Beschreibung
   Details
   Name	Name der Regel.
   Tabelle	Name des Ergebnistyps, für den die Regel angewendet wird. Hinweis: Für angreifbare Elemente (Vits) werden Regeln zuerst auf Erkennungen angewendet und dann auf die Vits angewendet, anstatt direkt auf die Vits angewendet zu werden.
   Beschreibung	Eine Beschreibung der Regel.
   Aktiv	Gibt an, ob die Regel aktiv ist.
   Wenn diese Bedingung erfüllt ist
   Bedingungsfelder	Filterbedingungen, die die Datensätze in den Tabellen „Ergebnisse“ und „Korrekturaufgaben“ definieren, für die die Regeln gelten.
   Neuer Bedingungssatz	Fügt weitere Bedingungsfilterfelder zur Auswahl hinzu.
   Tun Sie dann Folgendes
   Ergebnisse automatisch schließen
   Zurückgestellte Elemente ignoriert	Wenn diese Option ausgewählt ist, werden alle Ergebnisse oder Erkennungen angezeigt, die der zugeordnet sind Wird überprüft Oder Zurückgestellt status werden ignoriert und nicht geschlossen. Wenn Sie diese Option deaktivieren, werden alle Ergebnisse oder Erkennungen geschlossen, die Ihren Kriterien entsprechen.

6. Wählen Sie Speichern.

   Die Auto-Close Rule ProcessorGeplante Aufgabe wird täglich ausgeführt. Identifiziert Ergebnisse basierend auf den angegebenen Bedingungen und überträgt die übereinstimmenden zu Geschlossen status und Veraltet Substatus.

   Der Auftrag verarbeitet die folgenden Szenarien:

   • Wenn alle Erkennungen in einem VIT als veraltet markiert sind, wird der VIT mit dem Substatus „Veraltet“ geschlossen.
   • Wenn mindestens eine Erkennung neben anderen in einem veralteten Substatus offen bleibt, bleibt das VIT offen.
   • Wenn Erkennungen sowohl den Status „Geschlossen“ als auch „Veraltet“ aufweisen, wird das VIT mit dem Substatus „behoben“ geschlossen.
   • Basierend auf den angegebenen Bedingungen werden angreifbare Anwendungselemente (AVITs) und Testergebnisse mit dem Substatus „Veraltet“ als geschlossen markiert.
   • Basierend auf den angegebenen Bedingungen werden angreifbare Container-Elemente (CVITs) mit dem Substatus „behoben“ als geschlossen markiert. Alle zugehörigen Container-Image-Ergebnisse werden anschließend auch in den Status „Geschlossen“ verschoben.

   Wenn Sie ein Upgrade auf die neueste Version von durchführen Einheitliche Sicherheitsverwaltung, Die in Ihren Regeln für das automatische Schließen festgelegten Bedingungen werden ebenfalls entsprechend aktualisiert. Wenn die Regeln außerdem verschiedenen Domänen zugeordnet sind, werden die Regeln speziell innerhalb dieser Domänen erstellt.