Mapeie o. Microsoft Azure Sentinel campos de incidente

Mapeie o indivíduo Microsoft Azure Sentinel campos de incidente para os campos no SIR incidente de segurança para que você possa criar incidentes com os dados mapeados.

Antes de Iniciar

Função necessária: sn_si.ingestion_profile_admin

Nota:

Usuários com a função sn_si.admin podem executar todas as operações disponíveis para um administrador de perfil, já que a função sn_si.admin herda as permissões necessárias por padrão.

Procedimento

1. Na página de mapeamento, na seção Mapeamento de campo do Azure Sentinel, selecione um dos métodos de ingestão de amostra.

   Tabela 1. Métodos de ingestão de amostra

   Campo	Descrição
   Todos os campos Incidente padrão e Entidade	Use este método de ingestão para exibir a lista estática de todos os incidentes e campos de entidade. Este método contém somente nomes de campo padrão sem valores. Você pode usar essas informações para mapear com SIR campos.
   Recupere incidentes recentes do Azure Sentinel	Use este método de ingestão para importar os dados de incidentes e entidades mais recentes. Se o incidente do Azure Sentinel contiver os dados da entidade, os dados da entidade serão recuperados e estarão disponíveis para mapeamento na seção Campos de origem do Azure Sentinel. Às vezes, o incidente do Azure Sentinel pode não conter os dados da entidade e, portanto, os campos da entidade não estão disponíveis para mapeamento em tal cenário. Se o incidente do Azure Sentinel contiver vários alertas, o alerta mais antigo que faz parte do incidente será mostrado na seção de mapeamento. Os valores de campo de alerta de segurança mais antigos serão usados durante a ingestão. Você pode ingerir 5 incidentes de amostra por padrão e um máximo de 20 incidentes de amostra. Os valores do campo de incidente de amostra são preenchidos quando o perfil ingere os incidentes de amostra. Você pode mapear esses incidentes para Campos de destino do incidente SIR . Os campos e os valores do incidente aparecem como guias individuais.
   Importar dados de amostra	Clique em Importar dados de amostra Para importar incidentes de amostra do Azure Sentinel. Este botão aparece quando você seleciona o método de ingestão Recuperar incidentes recentes do Azure Sentinel. Recuperando incidentes de amostra de Microsoft Azure Sentinel o servidor pode demorar um momento. Mapeie esses incidentes recuperados para Campos de destino do incidente SIR . Os campos e os valores do incidente aparecem como guias individuais.

   
2. Para adicionar campos aos campos padrão exibidos no incidente de segurança, execute as seguintes ações:
   1. Na seção Campos de destino do incidente SIR, clique em Botão Mapear outro campo.
      Mostra uma lista de SIR campos, a partir dos quais você pode selecionar um campo para que um novo campo seja exibido.
   2. Na coluna Incidente de segurança, expanda a lista exibida e selecione um campo.
      Nota:

      Vários observáveis podem ser exibidos no mesmo incidente de segurança. Por exemplo, o. Observável o campo pode ser mapeado várias vezes com valores diferentes. Da mesma forma, o Item de configuração e. Campos de anotações de trabalho suporte a vários valores. Se você tentar mapear dois valores para um campo que não pode oferecer suporte a vários valores, verá uma mensagem de erro informando que este campo não oferece suporte a vários valores. Da mesma forma, se um campo em um incidente de segurança tiver uma lista da qual você pode escolher várias opções e tentar mapear uma opção para esse campo que não seja exibida na lista, o campo não será preenchido no incidente de segurança.
   3. Na seção Campos de origem do Azure Sentinel, arraste e solte o campo para mapeá-lo para o novo campo.
   4. Quando você marca a caixa de seleção que corresponde a um campo, todas as mudanças novas ou atualizadas feitas no Azure Sentinel atualizarão automaticamente os respectivos dados do incidente SIR com os novos dados do incidente.
      Nota:

      No sistema de base, a propriedade do sistema sn_sec_sentinel.incident_updates é definida por padrão como verdadeira para receber Microsoft Azure Sentinel Atualizações relacionadas a novos alertas vinculados ao SIR.

      • Por padrão, os campos Usuários afetados, Itens de configuração e Observáveis são verificados. Sempre que houver novos observáveis ou itens de configuração associados, ou usuários afetados que são adicionados ao incidente, essas informações serão extraídas e preenchidas automaticamente nas respectivas listas relacionadas na Resposta a incidentes de segurança (SIR) durante esse intervalo de pesquisa.
      • Para quaisquer outros campos, você deve marcar a caixa de seleção que corresponde a um campo para todas as mudanças novas ou atualizadas feitas no registro de incidente do Azure Sentinel no Azure Sentinel. Isso atualizará automaticamente os respectivos dados do incidente SIR com os novos dados do incidente.

      Importante:

      A due diligence deve ser feita antes de selecionar esta funcionalidade, pois a substituição dos dados existentes pode resultar em dados instáveis para o analista trabalhar e qualquer outra automação definida até mesmo pelos valores de campo do incidente de segurança também pode ser afetada. Portanto, é muito importante fazer a due diligence antes de selecionar qualquer funcionalidade de substituição.
3. Para remover um campo, use Botão Remover item ao lado do campo Expressão de entrada na seção Campos de destino do incidente SIR.
4. Para mapear um valor de campo da seção Campos de origem do Azure Sentinel para um campo na seção Campos de destino do incidente SIR, use uma das seguintes ações:
   1. Arraste o nome do campo (por exemplo, id) e solte-o ao lado de um nome de campo na coluna Campos de destino do incidente SIR.

      Você pode corresponder qualquer valor da seção Campos de origem do Azure Sentinel a um campo na seção Campos de destino do incidente SIR. Os campos são codificados por cores para que você não ignore ou duplique os campos de incidente no processo de mapeamento. Campos azuis claros indicam que um campo de incidente ainda não foi selecionado e mapeado no incidente de segurança. Você pode preferir associar um campo de incidente de entrada a mais de um campo em um incidente de segurança. Um campo cinza indica que um campo foi selecionado e mapeado para um campo no incidente de segurança. Dessa forma, você pode visualizar quais valores de campo foram adicionados ao incidente de segurança e se alguma informação de incidente importante restante permanece não mapeada.

   2. Você pode adicionar uma combinação de texto e campo.
      Por exemplo, O nome do incidente é . Aqui O nome do incidente é pode ser inserido manualmente enquanto (nome) É mapeado na seção Campos de origem do Azure Sentinel.
   3. Você pode inserir e mapear manualmente diretamente um incidente de origem ou campo de entidade para um campo de destino.
      • Para mapear manualmente um campo de incidente de origem, use o⁠formato "nome do campo". Por exemplo, para mapear a gravidade de um campo de incidente, o formato é ⁠(propriedades(severidade)) .
      • Para adicionar manualmente um campo de entidade de origem, use ⁠nome da entidade: campo da entidade formato. Por exemplo, para mapear um campo de entidade Descrição do alerta de segurança da entidade, o formato é ⁠SecurityAlert: Properties(description) .
   Esta integração classifica determinados subtipos observáveis. Ao mapear um campo Azure Sentinel com o campo observável SIR, o. ServiceNow AI Platform classifica automaticamente o observável. Se você quiser mapear genericamente o Observable do Azure Sentinel de entrada para o tipo de observável em SIR, Em seguida, arraste e solte o campo Azure Sentinel no campo Observável. No entanto, se você souber do tipo de observável para o observável do Azure Sentinel de entrada em SIR, em seguida, mapeie especificamente para SIR Campo de tipo de observável. Alguns exemplos de tipos de observáveis específicos em SIR Incluir Observable (nome do domínio), Observable (endereço de e-mail), Observable (endereço IP (V4)) e Observable (nome do host).

   Se os campos de entrada do Azure Sentinel contiverem algum MITRE-ATT&CK e mapeie-as para MITRE-ATT&CK Campo de técnica. Certifique-se de que o campo Azure Sentinel de entrada contenha MITRE-ATT&CK ID da técnica ou nome da técnica.

   Às vezes, valores de campo de incidente em Microsoft Azure Sentinel Não pode ser traduzido diretamente para os campos no incidente de segurança SIR. Para esses valores, você pode usar um editor de scripts para formatar valores de campo no incidente de segurança durante a etapa de mapeamento. Use o editor de scripts se quiser formatar valores semelhantes, mas não idênticos.

5. Para formatar uma tradução de campo para um novo campo de um incidente do Azure Sentinel para corresponder a um valor de campo em um Incidente de segurança, clique em Clique aqui link no Campos de destino do incidente SIR cabeçalho.
6. Para modificar os campos compatíveis com a tradução de campo, clique em ícone de tradução de campo de formato de script.
   Os campos compatíveis com a tradução de campo são Categoria , Item de configuração e Prioridade . Por exemplo, clique em Ícone ao lado da Categoria. O editor de script de Tradução de campo do Azure Sentinel é aberto.
7. Insira as mudanças no script e clique em Atualização Para salvar as mudanças e retornar à página Mapeamento.
   Por exemplo, para Categoria, defina o seguinte no editor de scripts:

   "<Incoming Sentinel Incident Field Value>" : "<Category to assign to the Security Incident>".

   Este mapeamento garante que um perfil use somente categorias configuradas.
8. Continue seu mapeamento adicionando ou removendo valores de campo.
   Você pode usar os mesmos valores de campo no construtor Condições de geração de incidentes para definir critérios adicionais que um incidente de entrada deve atender para criar um incidente de segurança.
9. Para ir para a seção Filtragem e agregação, clique em Continuar .

O que Fazer Depois

Defina e defina condições de filtro para que você possa especificar quais incidentes devem criar incidentes de segurança. Você pode usar os mesmos valores de campo (definidos na seção Mapeamento) no construtor Condições de geração de incidentes (na seção Filtragem e agregação) para definir critérios adicionais que um incidente de entrada deve atender para criar um incidente de segurança.