Defina as propriedades da Central de segurança de inteligência contra ameaças

Revise os componentes instalados com Central de segurança de inteligência contra ameaças para entender as funções, propriedades e outros elementos adicionados à sua instância.

Antes de Iniciar

Função necessária: sn_sec_tisc.admin

Nota:

Somente usuários com a função de administrador [sn_sec_tisc.admin] podem modificá-los.

Procedimento

1. Navegar Tudo > Central de segurança de inteligência contra ameaças > Propriedades.
2. Configurar as propriedades a seguir, conforme necessário.

   Propriedade	Descrição
   Propriedades da Central de segurança de inteligência contra ameaças
   Todas as regras de correlação serão desabilitadas. Se só precisarmos desabilitar as regras de correlação selecionadas, use o campo "ativo" na regra de correlação. sn_sec_tisc.disable_correlation_rules	Tipo: verdadeiro | falso Valor-padrão: falso
   Esta propriedade é usada para habilitar/desabilitar o processamento de agregados no recurso da calculadora de pontuação de ameaça. sn_sec_tisc.agregados_for_calculator	Tipo: verdadeiro | falso Valor padrão: verdadeiro
   O número de linhas de dados brutos que serão salvas quando uma Pesquisa de vistas for realizada. Intervalo de 0 a 100 sn_sec_tisc.sighting_search_raw_data_rows	Tipo: inteiro Valor padrão: 50
   Associe resultados da pesquisa de detecções a ICs no CMDB. sn_sec_tisc.associate_ci_with_sighting_search	Tipo: verdadeiro | falso Valor padrão: verdadeiro
   Isso controlará se os URLs das listas serão danificados ou não sn_sec_tisc.sn_sec_tisc_case.defang_record_list_urls	Tipo: verdadeiro | falso Valor padrão: falso
   Esta propriedade habilitará o. MITRE™ Técnicas, a serem acumuladas para casos dos objetos associados ou incidentes de segurança automaticamente. sn_sec_tisc.auto_rollup_mitre_data	Tipo: verdadeiro | falso Valor padrão: verdadeiro
   Se verdadeiro, mostra todas as táticas (incluindo as táticas que não têm nenhuma técnica associada ao caso) para MITRE™ listas renderizadas no relatório. sn_sec_tisc.show_all_tactics_reporting	Tipo: verdadeiro | falso Valor padrão: verdadeiro
   SYS ID do modelo de cliente de e-mail para a tabela Caso (sn_sec_tisc_case) que será usada no relatório de compartilhamento. sn_sec_tisc.reporting_email_template_sn_sec_tisc_case	Tipo: cadeia de caracteres Valor padrão b55e22c5444021060eee0ea78b8f2df
   O nível de TLP padrão é aplicado ao criar um novo registro. Se não for definido manualmente no formulário, este valor será usado. sn_sec_tisc.tlp_default_value	Tipo: lista de seleção Valor padrão 955c9e5543d35110baf06e434ab8f2fb
   Nível de registro em log: depurar, informativo, aviso, erro sn_sec_tisc.logging.detalhamento	Tipo: lista de seleção Valor padrão: info
   Propriedades de feeds de inteligência contra ameaças
   Tempo máximo em segundos que uma conexão HTTP de saída aguarda para buscar TAXII dados de coleta sn_sec_tisc.taxii.http.max_timeout	Tipo: inteiro Valor padrão: 300
   Número máximo de objetos recuperados em uma chamada REST de um TAXII Servidor (aplicável somente para TAXII versões 2,0 e 2,1) sn_sec_tisc.taxii.max_page_size	Tipo: inteiro Valor padrão : 5000
   Número máximo de novas tentativas para uma falha TAXII2. X chamada REST sn_sec_tisc.taxii2.retry_count	Tipo: inteiro Valor padrão: 3
   Número máximo de objetos recuperados em uma chamada REST do Cyware TAXII servidor sn_sec_tisc.cyware_taxii.max_page_size	Tipo: inteiro Valor padrão: 1000 Nota: Especifica o tamanho da página usado ao buscar dados de TAXII Coleções relacionadas ao Cyware TAXII Feed. Para todos os outros TAXII coleções, o tamanho da página recuperado do TAXII o padrão da coleção é o valor definido na propriedade correspondente: [ sn_sec_tisc.taxii.max_page_size ].
   Número de registros a serem obtidos de cada vez CrowdStrike. Maior o número, mais a memória seria consumida para processar a carga. sn_sec_tisc.crowdstrike_api_limit	Tipo: inteiro Valor padrão: 1000
   Denota o número de indicadores a serem extraídos em uma única chamada de API. Nota: Aplicável somente quando a integração não encontra o necessário presente no sistema. sn_sec_tisc.crowdstrike_indicator_batch_size	Tipo: inteiro Valor padrão: 1000
   Denota o número de atores a serem extraídos em uma única chamada de API. Nota: Aplicável somente quando a integração não encontra o necessário presente no sistema. sn_sec_tisc.crowdstrike_ator_batch_size	Tipo: inteiro Valor padrão: 1000
   Denota o número de relatórios a serem extraídos em uma única chamada de API. Nota: Aplicável somente quando a integração não encontra o necessário presente no sistema. sn_sec_tisc.crowdstrike_report_batch_size	Tipo: inteiro Valor padrão: 50
   O total permitido de deslocamento e limite de CrowdStrike API. sn_sec_tisc.crowdstrike_offset_limit_total	Tipo: inteiro Valor padrão : 50000
   Propriedades para REST APIs
   Define o tamanho máximo da página (número máximo de observáveis retornados como parte da resposta) para a API Obobservables Fetch. Aumentar para um valor alto, pois isso pode afetar o tempo de resposta da API. sn_sec_tisc.api_maximum_page_size_limit	Tipo: inteiro Valor padrão: 1000
   Define o número máximo de observáveis que podem ser enviados no corpo da solicitação para a API de adição de observáveis. Aumentar para um valor alto, pois isso pode afetar o tempo de resposta da API. sn_sec_tisc.add_obs_api_max_records	Tipo: inteiro Valor padrão: 100
   Propriedades dos webhooks
   Número máximo de eventos a serem enviados como parte de uma solicitação de webhook. O tamanho do lote será limitado a 2000 mesmo se um valor maior for definido nesta propriedade. sn_sec_tisc.webhook_max_event_batch_size	Tipo: inteiro Valor padrão: 100
   Número de vezes que uma solicitação com falha deve ser tentada novamente antes de marcá-la como erro e passar para o próximo lote de eventos. A contagem de novas tentativas será limitada a 10 mesmo se um número maior for definido nesta propriedade. sn_sec_tisc.webhook_retry_count	Tipo: inteiro Valor padrão: 100
   Número de segundos de espera antes de tentar novamente um lote com falha. Isso aumentará exponencialmente com base na contagem de novas tentativas. Por exemplo, se retry_count for 3 e retry_interval for 30, as novas tentativas serão disparadas após 30, 60 e 120s. O intervalo de novas tentativas inicial será limitado a 300 segundos, mesmo se um valor mais alto for definido nesta propriedade. sn_sec_tisc.webhook_retry_interval	Tipo: inteiro Valor padrão: 30
   Ignorar eventos de webhook acionados pela reaplicação da pontuação de ameaça sn_sec_tisc.webhook_ignore_threat_score_reaplicar	Tipo: verdadeiro | falso Valor padrão: verdadeiro
   Propriedades da tela de investigação
   Definir o valor como verdadeiro adiciona novos nós ao canto superior esquerdo, enquanto definir como falso os adiciona ao centro da tela. sn_sec_tisc.canvas_suspend_reLayout	Tipo: verdadeiro | falso Valor padrão: verdadeiro
   Propriedades para exportação em formatos CTI
   Número máximo de linhas que podem ser exportadas para um STIX2,1 arquivo sn_sec_tisc.stix_export_limit	Tipo: inteiro Valor padrão : 10000
   Incluir campos de tipo de Diário no arquivo de exportação. sn_sec_tisc.export_journal_fields	Tipo: verdadeiro | falso Valor padrão: verdadeiro
   Propriedades de feeds de inteligência contra ameaças
   Habilita ou desabilita a distinção entre maiúsculas e minúsculas para aplicar a redação para intel compartilhada. (Por padrão, o valor será falso, o que implica que a revisão não diferencia maiúsculas de minúsculas.) Nota: A mudança do valor desta propriedade de falso para verdadeiro ou verdadeiro para falso EXCLUIRÁ todos os dados da categoria de revisão, bem como da tabela de valores. sn_sec_tisc.case_sensitive_for_redaction	Tipo: verdadeiro | falso Valor padrão: falso
   Número máximo de linhas permitidas no arquivo de carregamento de redação. sn_sec_tisc.max_rediction_rows_import	Tipo: inteiro Valor padrão : 10000
   Título da saída TAXII servidor sn_sec_tisc.taxii_server_discovery_api_title	Tipo: cadeia de caracteres Valor padrão Servidor ServiceNow TAXII
   Descrição da saída TAXII servidor sn_sec_tisc.taxii_server_discovery_api_description	Tipo: cadeia de caracteres Valor padrão Endpoint de descoberta para compartilhar inteligência contra ameaças virtuais via TAXII
   Título da saída TAXII Raiz de API padrão do servidor sn_sec_tisc.taxii_server_api_root_title	Tipo: cadeia de caracteres Valor padrão Servidor ServiceNow TAXII
   Descrição da saída TAXII Raiz de API padrão do servidor sn_sec_tisc.taxii_server_api_root_description	Tipo: cadeia de caracteres Valor padrão Endpoint raiz do SAPI para compartilhar inteligência contra ameaças virtuais via TAXII
   Tamanho de página padrão de TAXII Resposta da API do servidor sn_sec_tisc.taxii_server_api_response_page_limit	Tipo: inteiro Valor padrão: 100
   Número máximo de registros que podem ser adicionados a uma saída TAXII coleção do servidor sn_sec_tisc.taxii_server_collection_record_limit	Tipo: inteiro Valor padrão : 10000
   O número máximo de entidades que podem ser adicionadas a uma coleção de TAXII em um único "Adicionar a. TAXII"Coleta". O sistema impõe um limite rígido de 10 000 entidades por solicitação, independentemente de qualquer valor configurado mais alto. sn_sec_tisc.add_to_taxii_collection_entity_threshold	Tipo: inteiro Valor padrão: 1000
   Propriedades das regras de marcação
   Habilita ou desabilita a correspondência de palavras-chave com distinção entre maiúsculas e minúsculas ou regras de marcação regex n (por padrão, essa opção não está selecionada (Não), o que significa que as correspondências diferenciam maiúsculas e minúsculas). sn_sec_tisc.case_sensitive_for_tagging_rules	Tipo: verdadeiro | falso Valor padrão: falso

3. Selecione Salvar para aplicar as mudanças feitas nas propriedades.

O que Fazer Depois

Consulte os trabalhos agendados descritos na tabela a seguir:

Trabalho	Descrição
Registros de origem do indicador agregado	Agrega registros de origem do indicador.
Agregar registros de origem de objeto	Agrega registros de origem do objeto.
Agregar registros de origem do observável	Agrega registros de origem observável.
Limpeza de importações obsoletas	Limpa registros de trabalho de importação obsoletos.
Limpeza de novos nós não utilizados da tela	Limpa novos nós não utilizados da tela.
Limpar registros de download de arquivo seguro	Limpa registros de download seguro de arquivos.
Registros de origem do indicador de desduplicação	Registros de origem do indicador desduplicados.
Registros de origem de objeto de desduplicação	Registros de origem de objeto desduplicados.
Desduplicar registros de origem do observável	Desduplica registros de origem observável.
Desativar indicadores expirados	Desativa registros de indicador expirados.
Desativar objetos expirados	Desativa registros de objeto expirados.
Desativar observáveis expirados	Desativa registros observáveis expirados
Migrar dados de TI para TISC	Processa registros de execução de trabalho de migração pendentes
Preencha registros agregados para registros de origem do indicador	Identifica o registro agregado primário para registros de origem de indicador recém-criados
Preencha registros agregados para registros de origem de objeto	Identifica o registro agregado primário para registros de origem de objeto recém-criados.
Preencha registros agregados para registros de origem do observável	Identifica o registro agregado primário para registros de origem observável recém-criados.
Preencha TISC Referência em TI	Preenche a referência de TISC Observável agregado no registro observável de TI.
Importações aprovadas de processo	Processa trabalhos de importação aprovados.
Processo importado MISP Registros de fila do DSM	Preparado MISP registros da fila de ingestão de feed.
Processo importado MISP Registros da fila de importação do indicador	Processos em fases MISP dados ingeridos da inteligência de importação
Processo importado STIX Registros da fila de importação	Processos em fases STIX dados ingeridos da inteligência de importação
Processo importado STIX Registros da fila de importação - Ingestão	Processos em fases STIX dados ingeridos de feeds de ameaças.
Processar migração de artefatos de caso pendentes	Migra artefatos de caso da aplicação de inteligência contra ameaças para a central de segurança Inteligência contra ameaças.
Processar registros pendentes da fila de ingestão de origem da ameaça	Processa registros de fila de ingestão de origem pendentes.
Processar entidades enfileiradas para a Calculadora de pontuação de ameaça	processa entradas de fila da calculadora de ameaças pendentes
Processo em fila MISP Registros de fila do DSM	Processos enfileirados MISP dados ingeridos do feed de ameaças
Processo em fila MISP Registros da fila de importação do indicador	Processos enfileirados MISP dados ingeridos da inteligência de importação
Processo em fila STIX Registros da fila de importação - Ingestão	Processos enfileirados STIX dados ingeridos de feeds de ameaças.
Processo em fila STIX Registros da fila de importação do indicador	Processos enfileirados STIX dados ingeridos da inteligência de importação
Fila do webhook de processo	Processa registros de fila de webhook pendentes.
Agregar novamente os registros de origem	Agrega novamente os registros de origem dos quais os registros agregados são excluídos.
Remover registro de origem filtrado	Limpa registros de origem filtrados
Retomar CrowdStrike Reprocessar/verificador de processo de integração CrowdStrike Registros de origem	Currículos CrowdStrike Execuções de integração de feed aguardando limite de taxa/reprocessar registros de origem para agregar relacionamentos
Contagem de observáveis falso-positivos de sincronização	Sincroniza contagens de falsos positivos observáveis com contagens positivas de flase por origem
TISC Criar lotes de webhook	Lotes criados para entradas de fila de webhook enfileiradas para processamento
TISC Acionar webhooks	Executa lotes de webhook pendentes
Atualizando coluna Arquivada de Relacionamento	Atualiza o status de arquivamento dos registros de origem e destino do relacionamento