Security Operations allgemeine Funktionalität

Immer wenn eines der Plugins für die Hauptanwendungen von Security Operations (Security Incident Response, Vulnerability Response, Threat Intelligenceoder Configuration Compliance) aktiviert wird, wird das Plugin Security Support Common aktiviert. Dieses Plugin lädt verschiedene Module, die Funktionen bereitstellen, die allen Security Operations -Anwendungen gemeinsam sind.

Hinweis:

Nur Benutzer mit [sn_sec_cmn.admin] können das Modul Security Operations ] anzeigen und verwenden. Diese Rolle wird geerbt, wenn Ihnen eine Administratorrolle in einer der Anwendungen von Security Operations zugewiesen wird.

Security Operations-Module

Funktion	Beschreibung
Referenzen zur Integration mit Security Operations, Threat Intelligence-Integrationen, Vulnerability Response-Integrationen	Mehrere Integrationen sind in den Security Operations -Anwendungen enthalten (Security Incident Response, Threat Intelligenceund Vulnerability Response). Dieser Abschnitt enthält Anweisungen zum Aktivieren der Plugins und zum Konfigurieren von ServiceNow und Integrationen von Drittanbietern. Außerdem sind einige grundlegende Richtlinien für die Entwicklung eigener Integrationen sowie Details zu bestimmten Integrationen enthalten, die im Basissystem enthalten sind.
Security Operations E-Mail-Verarbeitung	Sie können die Integration von Informationen aus externen Erkennungssystemen einrichten, Granularität bei der Verarbeitung von Datensätzen zu Sicherheitsvorgängen bereitstellen, nicht abgeglichene E-Mails behandeln und die Duplizierung von Datensätzen mit E-Mail-Verarbeitungverhindern.
Gruppen	Filtergruppen Erstellen und verwenden Sie Filtergruppen, um Datensätze aus einer beliebigen Tabelle in Ihrer Instanz zu suchen. Sie können beispielsweise eine Gruppe aller Computer desselben Herstellers erstellen. Sie können auch Konfigurationselemente (CIs) filtern, die ähnliche Schwachstellen aufweisen oder in einen bestimmten Subnetz-IP-Adressbereich fallen. Eskalationen Sie können einen Eskalationspfad für Security Incidents für Probleme erstellen, die mehr Aufmerksamkeit oder Fachkenntnisse erfordern. Sobald eine Eskalationsgruppe vorhanden ist, wird für jeden Security Incident in dieser Gruppe eine Schaltfläche angezeigt.
Sicherheits-Tags	Tags: Sicherheits-Tag-Regeln bieten Filterung für den Zugriff auf Sicherheits-Tags.
Workflows	Sicherheitsworkflows anzeigen Sie können die vielen Workflows anzeigen, die in den Security Operations-Anwendungen enthalten sind. Sie können Workflows aus Vorlagen und im Workflow-Editor erstellen. Workflow-Auslöser Security Operations Workflow-Auslöser enthalten eine Bedingung für eine Tabelle. Alle an den Workflow-Auslöserdatensatz angehängten Workflows werden ausgeführt, wenn die Bedingung erfüllt ist.
Dienstprogramme	Ergänzungsdatenzuordnung Ergänzungsdatenzuordnung wandelt Daten aus XML-, JSON- oder Eigenschaften -Dateien in ServiceNow -Datensätze um. Security Operations -Workflows verwenden Ergänzungsdatenzuordnungen und stellen Ausgabedaten für Security Incidents bereit. Feldwertumwandlungen Wandelt eindeutige Kundenfeldwerte in Feldwerte um, die von Security Operations E-Mail-Analyse, Datenanreicherung oder Tabellen mithilfe von Feldzuordnungen erkannt werden. Unterstützt Auswahlfelder, Referenzen und richtet externe Daten in der Standardterminologie und im Standardformat für Ihren neuen Datensatz aus. Feldzuordnung Security Operations -Tabellen können anderen Tabellen zugeordnet werden und aus anderen Tabellen, wodurch ein Security Incident mit einem Kundenservicefall oder ein Problem mit anderen Teilen des Security Operations -Systems verknüpft wird. Sie können beispielsweise ein Plugin in eine Security Incident Response -Aufgabe integrieren. Orchestration bei Bedarf Während der Analyse Security Incident Response möchte ein Sicherheitsanalyst möglicherweise eine Aufgabe ausführen, die von einem Security Incident-Workflow gesteuert wird. Führen Sie beispielsweise eine Prozesssicherung für ein bestimmtes CI aus. Dies kann mit On-Demand-Orchestration erreicht werden. Betriebssystemgruppen N/V SecOps-Applikationsregistrierung N/V
CMDB	CI-Bezeichnerregeln: CI-Bezeichner sind Regeln, die zum Suchen eines Konfigurationselements (CI) in der CMDB verwendet werden, das übereinstimmende Informationen aus einer Drittanbieterintegration enthält. Diese Regeln definieren die Felder, die übereinstimmende Daten enthalten, und die Rangfolge, nach der sie ausgewertet werden. Der niedrigste Wert für die Reihenfolge wird zuerst ausgewertet.

• Erstellen und definieren Sie Filtergruppen in Security Operations
  Erstellen und verwenden Sie Filtergruppen, um Datensätze aus einer beliebigen Tabelle in Ihrer Instanz zu suchen. Sie können beispielsweise eine Gruppe aller Computer desselben Herstellers erstellen. Sie können auch Konfigurationselemente (CIs) filtern, die ähnliche Schwachstellen aufweisen oder in einen bestimmten Subnetz-IP-Adressbereich fallen.
• Transformation freigegebener Daten
  Die Plugins Security Incident Response, Vulnerability Responseund Threat Intelligence verwenden gemeinsame Funktionen für Beziehungsdaten und Duplizierungsregeln, die zum Importieren externer und interner Informationen in Security Operationsverwendet werden.
• Security Operations E-Mail-Verarbeitung
  Sie können die Integration von Informationen aus externen Erkennungssystemen einrichten, Granularität bei der Verarbeitung von Datensätzen zu Sicherheitsvorgängen bereitstellen, nicht abgeglichene E-Mails behandeln und die Duplizierung von Datensätzen mit E-Mail-Verarbeitungverhindern.
• Security Operations Feldzuordnung
  Security Operations -Tabellen können anderen Tabellen zugeordnet werden und aus anderen Tabellen, wodurch ein Security Incident mit einem Kundenservicefall oder ein Problem mit anderen Teilen des Security Operations -Systems verknüpft wird.
• Security Operations Feldwerttransformationen
  Wandelt eindeutige Kundenfeldwerte in Feldwerte um, die von Security Operations E-Mail-Analyse, Datenanreicherung oder Tabellen mithilfe von Feldzuordnungen erkannt werden. Unterstützt Auswahlfelder, Referenzen und richtet externe Daten in der Standardterminologie und im Standardformat für Ihren neuen Datensatz aus.
• Security Operations -Ergänzungsdatenzuordnung
  Ergänzungsdatenzuordnung wandelt Daten aus XML-, JSON- oder Eigenschaften -Dateien in ServiceNow -Datensätze um. Security Operations -Workflows verwenden Ergänzungsdatenzuordnungen und stellen Ausgabedaten für Security Incidents bereit.
• Security Operations benutzerdefinierte Eskalation
  Sie können einen Eskalationspfad für Security Incidents für Probleme erstellen, die mehr Aufmerksamkeit oder Fachkenntnisse erfordern. Sobald eine Eskalationsgruppe vorhanden ist, wird für jeden Security Incident in dieser Gruppe eine Schaltfläche angezeigt.
• Erstellen Sie domänengetrennte Eigenschaftsüberschreibungen
  Wenn Sie die Domänentrennung verwenden, können Sie Überschreibungen für vorhandene Security Operations-Eigenschaften erstellen, mit denen Sie die Funktionen der Anwendungen in jeder Ihrer Domänen anpassen können.
• Erstellen Sie eine Betriebssystemgruppe
  Betriebssystemgruppen werden verwendet, um ein Betriebssystem bestimmten Prozesstypen und Skripts in Security Incident Response -Workflows zuzuordnen. Die Skripts definieren, wie laufende Prozesse für die definierten Betriebssystemgruppen abgerufen werden. Neue Betriebssysteme können nach Bedarf hinzugefügt werden.
• Sicherheits-Tag-Gruppen und -Tags einrichten
  Sie können Security Incidents, Reaktionsaufgaben, angreifbaren Elemente, erkennbaren Elemente, IoCs und Sicherheitsfälle Tags zuweisen, um Metadaten für den antwortenden Datensatz zu erstellen und zu definieren, wer Zugriff auf bestimmte Arten von Sicherheitsinhalten haben soll. Die Tags können Sicherheitsgruppen hinzugefügt werden, um sie zu organisieren.
• Sicherheitsanmerkungen
  Eine Sicherheitsanmerkung ist eine Erklärung oder Anmerkung, die einem Konfigurationselement, einem erkennbaren Element oder einer Verwendung für einen Security Incident hinzugefügt wird.
• Mit Security Support Common installierte Komponenten
  Mit Security Support Common werden verschiedene Arten von Komponenten installiert. Sie bieten allgemeine Funktionen zur Verwendung in den verschiedenen Sicherheitsanwendungen, z. B. Security Incident Response.
• Suche Security Operations
  Sie können Informationen in jeder Anwendung von Security Operations schnell finden, indem Sie das Suchsymbol im Header des Bildschirms verwenden. Zing ist die Textindizierungs- und Suchmaschine, die alle Textsuchen in Ihrer Instanz durchführt.
• Referenzen zur Integration mit Security Operations
  Entwickler und ServiceNow-Partner können die Informationen in diesem Abschnitt verwenden, um sich mit der Funktionalität von Drittanbieterintegrationen vertraut zu machen, einschließlich Entwicklungsrichtlinien, Integrationsfunktionen und Workflows.
• Security Operations Workflow-Auslöser
  Security Operations Workflow-Auslöser enthalten eine Bedingung für eine Tabelle. Alle an den Workflow-Auslöserdatensatz angehängten Workflows werden ausgeführt, wenn die Bedingung erfüllt ist.
• Orchestration für Security Operations
  Benutzer können mit Daten aus Windows- oder UNIX-basierten Systemen und Umgebungen mithilfe von Aktivitätenpaketen und Workflows in Security Operations Orchestrationinteragieren und Daten abrufen.