Mapeamento de alertas para campos de resposta a incidentes de segurança

Mapeie campos de alerta individuais de alertas acionados para campos em um incidente de segurança Now Platform.

Mapeamento de campo de alerta

Como um usuário com a função sn_si.admin, use os campos da seção Alertas de amostra à esquerda e mapeie-os para os campos de incidente de segurança na coluna Mapeamento de campo de incidente SIR no painel direito. Edite a configuração de mapeamento arrastando os campos de alerta do lado esquerdo e soltando-os na seção de mapeamento de incidente SIR à direita. O mapeamento à direita associa o campo de alerta de entrada a um campo de incidente de segurança de saída.

1. Depois de obter os dados de amostra, a próxima etapa é mapear os campos de alerta para o incidente de segurança. Para mapear um valor de campo do lado esquerdo do formulário para um campo no incidente de segurança no lado direito do formulário, clique e mantenha pressionado um nome de campo azul no lado esquerdo do formulário.
2. Arraste o nome do campo, por exemplo, categoriae solte-o em um campo na coluna Expressão de entrada ao lado de um nome de campo na coluna Incidente de segurança.

   O valor do campo é exibido na coluna Expressão de entrada. Na imagem a seguir, a categoria é mapeada para o campo Categoria no incidente de segurança.

   
   
   

   No entanto, você pode corresponder qualquer valor do lado esquerdo a um campo à direita. Verifique se o valor está mapeado corretamente no incidente de segurança durante a etapa de visualização.

   Para ajudá-lo a garantir que nenhum campo de alerta seja ignorado ou duplicado no processo de mapeamento, os campos são codificados por cores. A codificação de cores dos campos de alerta ajuda a rastrear os valores de alerta que você já mapeou conforme eles ficam esmaecidos, enquanto todos os campos não mapeados restantes aparecem em azul. Isso ajuda a visualizar melhor quais valores de campo foram adicionados ao incidente de segurança e se alguma informação de alerta importante restante permanece não mapeada.

   Os campos em azul claro à esquerda indicam que um campo de alerta ainda não foi selecionado e mapeado no incidente de segurança. Você pode preferir associar um campo de alerta de entrada a mais de um campo em um incidente de segurança. Um campo cinza indica que um campo foi selecionado e mapeado para um campo no incidente de segurança. Essa codificação de cores ajuda a rastrear o mapeamento.

   Nota:

   1. Para inserir manualmente um valor no campo Expressão de entrada, insira-o no formato ${fieldname}$. O campo de alerta será mapeado para o campo de incidente de segurança.
   2. Você não pode mapear alertas ingeridos para os campos MITRE-ATT&CK da estrutura na seção de mapeamento de incidentes de segurança. Se você ainda mapear os campos, as informações não estarão disponíveis como parte do cartão MITRE-ATT&CK na seção MITRE-ATT&CK da estrutura do formulário de incidente de segurança. Para associar as técnicas MITRE-ATT&CK, use o recurso de extração automática disponível como parte da estrutura MITRE-ATT&CK no módulo Inteligência contra ameaças.
3. Para adicionar campos aos campos padrão exibidos no incidente de segurança no lado direito do formulário, siga estas etapas.
   1. À direita do formulário na seção SIR Mapeamento de campo de incidente, na parte inferior da grade, clique no ícone de adição (+). Um novo campo é exibido.
   2. Na coluna Incidente de segurança, expanda a lista de seleção exibida e selecione um campo.

      Na lista de seleção expandida do novo campo, alguns campos estão sombreados. Na figura a seguir, a categoria tem um plano de fundo cinza porque foi mapeada no incidente de segurança. Semelhante à codificação de cores para os campos de alerta no lado esquerdo do formulário, essa codificação de cores para os campos de incidente de segurança à direita ajuda a rastrear os campos de incidentes SIR já mapeados.

      
      
      
      Nota:

      Como vários observáveis podem ser exibidos no mesmo incidente de segurança, o campo Observável pode ser mapeado várias vezes com valores diferentes. Da mesma forma, os campos Item de configuração e Anotações de trabalho oferecem suporte a vários valores. Se você tentar mapear dois valores para um campo que não pode oferecer suporte a vários valores, ao visualizar o incidente, será exibida uma mensagem de erro informando que não há valor para o campo. Da mesma forma, se um campo em um incidente de segurança tiver uma lista de seleção na qual você pode escolher várias opções e tentar mapear uma opção para esse campo que não está exibido na lista de seleção, o campo não será preenchido no incidente de segurança.
   3. Como alternativa, digite um valor no campo Pesquisar para a nova linha.
   4. No lado esquerdo do formulário, clique com o botão esquerdo do mouse para selecionar o ID de alerta desejado no campo Expressão de entrada. Com o recurso de arrastar e soltar, mapeie-o ao lado do novo campo.
4. Continue mapeando adicionando ou removendo valores de campo para o mapeamento.
5. Depois de concluir as etapas de mapeamento de campo anteriores, você pode usar os mesmos valores de campo no construtor Condições de geração de incidentes para definir critérios adicionais que um alerta de entrada deve satisfazer para criar um incidente de segurança. Para definir condições de geração de incidentes, siga estas etapas.

Formatar tradução de campo

Em determinados casos, os valores do campo de alerta em API de Segurança do Microsoft Graph podem não ser convertidos diretamente para os campos no incidente de segurança SIR. Para esses valores, você pode usar um editor de script para formatar valores de campo no incidente de segurança durante a etapa de mapeamento. Use o editor de script se quiser formatar valores semelhantes, mas não idênticos. Por exemplo, com o editor de script, um valor de categoria de Alerta de Malware e Infecção de Vírus pode ter valores de campos diferentes para a categoria de origem, mas ambos os valores podem ser convertidos para uma Atividade de Código Mal-Intencionado comum no campo Categoria no incidente de segurança SIR usando o Formato Funcionalidade de tradução de campo.

Para usar o editor de script, clique no ícone {}. O editor de script é exibido.

Condições de geração de incidentes

Depois que a seção de mapeamento estiver concluída, você poderá definir condições de filtro para especificar quais alertas devem criar incidentes de segurança e quais alertas devem ser filtrados, por exemplo, alertas de baixa prioridade. Você pode usar os mesmos valores de campos no construtor Condições de geração de incidentes para definir critérios adicionais que um alerta de entrada deve satisfazer para criar um incidente de segurança. Para definir condições de geração de incidentes, siga estas etapas.

1. Role até a seção Condições de geração de incidente no formulário e selecione a opção Filtrar com base nas condições. O Construtor de condições de filtro é exibido. Use esses filtros para criar incidentes de segurança que correspondam às condições específicas descritas pelos campos.

   As opções nas listas de seleção do primeiro campo no construtor de Condições de filtro correspondem aos campos exibidos na seção Ingestão de amostra de alerta do alerta que você ingeriu. Esses campos são dinâmicos e mudam dependendo do alerta que você ingere. Os critérios inseridos fazem distinção entre maiúsculas e minúsculas e devem corresponder exatamente aos valores do alerta. Se você não tiver certeza sobre os valores a serem inseridos nos campos de filtro, talvez prefira retornar ao locatário do Microsoft Azure e revisar os alertas para as palavras-chave.

2. Usando as listas de seleção e os campos do construtor de condições, defina filtros para a primeira linha.
3. Para adicionar mais condições, à direita dos campos, clique em E ou OU.
   • Se Efor selecionado, todas as condições deverão ser atendidas.
   • Se OUfor selecionado, qualquer uma das condições poderá ser correspondida.
4. Na segunda linha, defina uma segunda condição de filtro

   A imagem a seguir é um exemplo com duas condições que devem ser atendidas antes que os incidentes de segurança sejam criados.

   
   
   

   Você definiu as condições de acionamento para que os incidentes de segurança sejam criados somente quando ambas as condições de filtragem inseridas forem correspondidas.

   Esse tipo de filtragem ajuda a isolar alertas de segurança e limita o número de incidentes de segurança que você cria. Se critérios de filtragem adicionais forem definidos, somente os alertas necessários serão ingeridos sem a necessidade de alterar a consulta ou a configuração do alerta acionado.

Critérios de agregação de alertas para lidar com alertas semelhantes e evitar incidentes duplicados

Defina critérios de agregação de alertas adicionais que agregam um alerta de entrada a um incidente de segurança SIR existente em vez de criar incidentes semelhantes e potencialmente duplicados. Usando critérios de valor de correspondência de campo para cada perfil, essa capacidade de agregação adicional pode reduzir o número de incidentes de segurança ativos e sobrepostos, colocando todos os dados de alerta relacionados em um único incidente de segurança. Para definir os critérios, siga estas etapas abaixo:

1. Role até a seção Critérios de Agregação de Alertas no formulário e selecione a opção Condições de Agregação. As colunas Valores correspondentes do campo de incidente são exibidas. Esses nomes de campo são os campos no incidente de segurança que incluem todos os campos personalizados que estão configurados no incidente de segurança SIR.
2. Na lista Disponível, selecione os valores de campo que você deseja corresponder aos incidentes de segurança existentes na Now Platform e mova-os para a lista Selecionado. Todos os valores de campo selecionados devem ser correspondidos para anexar este alerta de entrada a um incidente de segurança existente. Isso inclui campos, como Observáveis e Itens de configuração, que podem ter vários valores de campo de alerta mapeados para eles. Todos os valores devem corresponder. Se apenas um subconjunto dos valores for correspondido, as condições de agregação de alertas não serão atendidas e um novo incidente de segurança será criado. Consulte a captura de tela abaixo para mapeamento de campos de vários valores.
   
   
   

   Se um novo alerta corresponder a todos os valores selecionados nas condições do campo de agregação na etapa de mapeamento, o alerta será adicionado automaticamente ao incidente de segurança aberto mais recentemente com os mesmos valores de campo. Como um usuário com a função sn_si.analyst trabalhando com incidentes de segurança, você pode exibir todos os alertas agregados adicionados em uma lista relacionada em um incidente de segurança. Todos os alertas agregados em um incidente de segurança são exibidos na lista relacionada Alertas agregados do Microsoft Graph. Esta lista detalha os carimbos de data/hora associados e os valores de campos agregados. Essas informações ajudam a entender por que os alertas são adicionados aos incidentes de segurança existentes. Se esta guia não for exibida, role para o lado esquerdo do registro em Links relacionados e clique no link Mostrar todas as listas relacionadas.

3. (Opcional) Para registrar uma anotação de trabalho para um novo alerta adicionado recentemente ao incidente de segurança, marque a caixa de seleção para habilitar esta opção. A anotação de trabalho registra que um novo alerta foi adicionado junto com um link para os detalhes do alerta e quaisquer outros detalhes que possam ter sido adicionados ao campo de anotação de trabalho na seção de mapeamento.

   Você mapeou com sucesso valores de um alerta para campos em um incidente de segurança SIR. Além disso, você configurou condições adicionais para limitar a criação de incidentes de segurança com critérios de filtragem. Você também anexou alertas ou eventos a incidentes de segurança SIR existentes.

4. Clique em Continuar para continuar com a configuração do perfil. A próxima etapa é visualizar os campos mapeados em um incidente de segurança SIR