Arbeiten mit Security Incident-Datensätzen

Der Security Incident Record besteht aus folgenden Komponenten.

Wichtige Komponenten, die für einen Security Incident-Datensatz verfügbar sind:

Abbildung : 1. Schlüsselkomponenten eines Security Incidents

Nummer	Name	Beschreibung
1	Nummer des Security Incidents	Die Nummer des Security Incidents ist gegen den Registerkartennamen verfügbar.
2	Kurzbeschreibung	Kurzbeschreibung des Security Incident, die über dem Formularbanner angezeigt wird.
3	Formularbanner	Dies ist ein schreibgeschützter Abschnitt, der die wichtigsten Felder wie Kategorie, Priorität, Risikopunktzahl, Status und die Details der Incident-Zuweisung enthält. Hinweis: Die regulären Plattform-Tags können auch hier angewendet werden.
4	Sicherheits-Tags	Zeigt die Sicherheits-Tags an, die einem Security Incident zugeordnet sind.
5	Übersicht	Bietet eine Snapshot-Übersicht über den Security Incident, z. B. Beschreibung, Geschäftsauswirkung mit Asset-Details nach Typ, betroffene Anwender nach Relevanz, Threat Intelligence-Elemente mit erkennbaren Elementen nach Ergebnis und Typ, Antwortaufgaben, zugehörige Security Incidents mit untergeordneten Security Incidents und ähnliche Security Incidents.
6	Details	Auf der Registerkarte „Details“ wird das Formular „Security Incident“ angezeigt.
7	Ermittlung	Auf der Registerkarte Ermittlung wird die Experience der Incident-Untersuchung angezeigt.
8	Playbook	Playbook wird über den Prozessautomatisierungs-Designer (PAD) ausgelöst. Ob ein Prozess erstellt wird und ob eine Auslöserbedingung festgelegt ist, um das Playbook für einen Security Incident auszulösen. Dann wird ein Playbook angezeigt.
9	Antwortaufgaben	Die Antwortaufgaben erfassen alle Antwortaufgaben, die einem Security Incident zugeordnet sind.
10	Zugehörige Datensätze	Die Registerkarte Zugehörige Datensätze besteht aus allen zugehörigen Listen aus der klassischen Anwenderoberfläche in diesem Abschnitt. Die zugehörigen Listen sind unter verschiedenen Abschnitten wie Geschäftsauswirkung, Bedrohungsinformationen usw. gruppiert, um die Navigation zu erleichtern.
11	Andere Datensätze	Die Registerkarte Andere Datensätze besteht aus IT-Datensätzen wie Change-Anforderungen, Incidents und E-Mails, die in diesem Abschnitt gruppiert und angezeigt werden.
12	Registerkarte Überprüfung nach Incident	Während der Security Incident in den Status Überprüfen übergeht, wird die Registerkarte Überprüfung nach Incident mit den Bewertungen und Berichten nach Incident angezeigt.
13	Kontextmenü	Bietet einfachen Zugriff auf Schnellaktionen und ist auf allen Registerkarten verfügbar, auf die Analysten bei Bedarf zugreifen können. Das Kontextmenü bietet eine einfache Navigation zu den verschiedenen Ressourcen, z. B.: Aktivitätenstrom Playbook Analyst Assist Ausführungsbuch Vorlagen Anhänge
14	Formular-UI-Aktionen	Die verschiedenen UI-Aktionen für Security Incident-Formulare werden oben rechts im Incident-Formular angezeigt. Die für Formulare verfügbaren UI-Aktionen sind: Diskutieren Speichern Antwortaufgabe erstellen E-Mail erstellen Playbook hinzufügen Verknüpfte(n) Workflow(s) öffnen Incident erstellen Problem erstellen Change-Anforderung erstellen Ausfall erstellen Schweregrad berechnen Verknüpfen mit Major Security Incident Vorschlagen als Major Security Incident Heraufstufen zu Major Security Incident Zusätzliche Aktion(en) für Endpunkt ausführen Ordnen Sie die MITRE ATT&CK-Technik zu Zu klassischer UI wechseln Dem Sicherheitsfall hinzufügen Löschen Weitere Informationen finden Sie unter Arbeiten mit Formular-UI-Aktionen.

• Abschnitt „Übersicht über Security Incident“.
  Der Abschnitt Übersicht im -Arbeitsbereich enthält die wichtigsten Informationen, die dem Security Incident zugeordnet sind.
• Security Incident Abschnitt „Details“.
  In diesem Abschnitt werden die Felder des Security Incident-Formulars angezeigt, die von der klassischen Security Incident-UI gerendert werden.
• SIR Workspace Orchestration
  Arbeitsbereich für Security Incident Response Orchestration-Aktivitäten helfen Sicherheitsanalysten, den Untersuchungs-Canvas anzuzeigen und verschiedene anwendbare Aktionen auszuführen.
• Security Incident Response-Aufgaben
  Alle mit einem Security Incident verknüpften Antwortaufgaben werden im Abschnitt „Antwortaufgaben“ angezeigt.
• Security Incident Response – Andere Datensätze
  In diesem Abschnitt werden die anderen Datensätze angezeigt, z. B. IT-bezogene Datensätze und E-Mail-Datensätze. Unter IT-Datensätze werden Incident, Change-Anforderung, Problem und Ausfälle angezeigt.
• Security Incident Response – Überprüfung nach Incident
  Die Überprüfung nach Incident wird angezeigt, wenn ein Incident in den Status Überprüfen versetzt wird.
• TISC-Integration in SIR-Arbeitsbereich
  Der folgende Abschnitt enthält Informationen zur Integration des Threat Intelligence-Sicherheitszentrums aus dem SIR-Arbeitsbereichskontext.
• Starten Sie einen Sidebar-Chat in Security Incident Response
  Mithilfe von Sidebar können Sicherheitsanalysten basierend auf einem aufgabenbasierten oder interaktionsbasierten Datensatz des Arbeitsbereichs in Echtzeit mit anderen zusammenarbeiten. Diese Sidebar-Diskussionen erleichtern den Austausch von Informationen und Wissen, um Probleme schneller und mit besseren Ergebnissen zu lösen.

Zugehörige Konzepte

• Security Incident Playbook
• Voraussetzungen für die Playbooks
• Neuerstellung vorhandener Playbooks in Workflow-Studio
• Aktivitätsdefinitionen
• Beispiel-Playbooks für SIR Workspace
• Arbeiten mit MSI-Datensätzen
• Arbeiten mit Formular-UI-Aktionen

Zugehörige Tasks

• Workflow zum Schließen von Security Incidents