Erste Schritte mit der Integration Carbon Black - Incident Enrichment

Die Ergänzung von Carbon Black Incidents erleichtert die Untersuchung von Security Incidents, indem Protokolle nach potenziell schädlichen Indikatoren abgefragt werden. Bevor Sie die Integration Carbon Black - Incident Enrichment verwenden können, müssen Sie sie von ServiceNow Store herunterladen und die entsprechende Endpunkt-Basis-URL und den MID-Server hinzufügen.

Vorbereitungen

Erforderliche Rolle: sn_si_admin

Prozedur

1. Laden Sie die -Integration aus dem herunter ServiceNow Storean.
2. Wenn der Download abgeschlossen ist, rufen Sie die Website Carbon Black auf, und rufen Sie in Ihrem Profil die Endpunkt-Basis-URL und das API-Token ab.
3. Navigieren Sie in Ihrer -Instanz zu Security Operations > Integrationen > Integrationskonfigurationan.
4. Klicken Sie auf der Karte Carbon Black – Incident Enrichment auf Konfigurieren.

   

5. Füllen Sie die Felder nach Bedarf aus.

   Feld	Beschreibung
   Name	Der Name dieser Konfiguration.
   Endpunktbasis	Die Endpunkt-URL, die Sie von der Carbon Black-Website erhalten haben.
   Link-URL	Die Link-URL, die eine Verknüpfung zu einer Carbon Black-Instanz herstellt, falls verfügbar.
   API-Token	Das API-Token, das Sie auf der Carbon Black-Website erworben haben.
   Max. Zeilen	Die maximale Anzahl von Zeilen, die Sie durchsuchen möchten. Der Standardwert ist 1000 Zeilen.
   Erstes Ergebnis (Tage)	Die frühesten Ergebnisse, die Sie anzeigen möchten, in Tagen.
   Binär- und Prozesssuche durchführen	Wählen Sie diese Option aus, um binäre Suchen nach Binärdateien wie Datei-Hashes und Prozesssuchen nach .exe-Prozessen durchzuführen, die möglicherweise ausgeführt wurden.
   Rohdatenmuster in Suchergebnissen berücksichtigen	Wählen Sie diese Option aus, um Beispiele von Rohdaten in die Ergebnisse der Sichtungssuche aufzunehmen. Die Menge der zurückgegebenen Daten hängt von Ihrer Einstellung in der Anzahl der Zeilen der Rohdateneigenschaft in den Security Incident Response-Eigenschaftenab.
   MID-Server	Wählen Sie Beliebig aus, um einen beliebigen aktiven MID-Server zu verwenden, oder wählen Sie einen bestimmten MID-Server-Namen aus.

   Hinweis:

   Durch die Konfiguration dieser Integration werden -Workflows aktiviert. Um die Workflows zu verwalten, navigieren Sie zum Workflow-Editor.
6. Klicken Sie auf Absenden.
   Die Integrationskonfigurationskarte wird angezeigt.
7. Um zur ursprünglichen Liste der Integrationskonfigurationskarten zurückzukehren, wählen Sie Nein in der Dropdown-Liste Konfigurationen anzeigen aus.