SIR Workspace verwenden

Sicherheitsanalysten und -manager verwenden SIR Workspace, um bei täglichen Vorgängen eine verbesserte Anwender-Experience zu bieten, Incident-Untersuchungen durchzuführen und sich einen Überblick zu verschaffen.

• Arbeiten mit Security Incident-Datensätzen
  Der Security Incident Record besteht aus folgenden Komponenten.
• Security Incident Playbook
  Sie können den Playbook-Flow für Security Incidents automatisch oder manuell aufrufen.
• Voraussetzungen für die Playbooks
  Sie benötigen die folgenden Rollen und Plugins, um die Playbooks zu erstellen.
• Neuerstellung vorhandener Playbooks in Workflow-Studio
  Sie können vorhandene Flows nicht direkt in Playbooks in Workflow-Studiokonvertieren. Jeder Flow Designer-Schritt, der eine Antwortaufgabe zur Anleitung des Analysten erstellt, muss in separate Aktionen oder Subflows unterteilt werden.
• Aktivitätsdefinitionen
  Now Platform stellt einige Aktivitätsdefinitionen innerhalb des Basissystems bereit. Darüber hinaus sind für die Playbooks, die das SIR Workspace-Basissystem verwenden, einige Aktivitätsdefinitionen im Basissystem unter der Anwendung „Enterprise Security Case Management PAD Common“ definiert.
• Beispiel-Playbooks für SIR Workspace
  Sie können Playbooks für SIR Workspace schnell und einfach erstellen oder konfigurieren, ohne komplizierten Code zu schreiben. Sie können diese Playbooks verwenden, um Sicherheitsbedrohungen schrittweise zu beheben. Sie können den Playbook-Flow für Security Incidents automatisch oder manuell aufrufen.
• Arbeiten mit MSI-Datensätzen
  Mit dem Arbeitsbereich für Security Incident Response können Sie Security Incidents als schwerwiegende Security Incidents vorschlagen, heraufstufen oder verknüpfen, wenn die Incidents als kritische Bedrohung für die Organisation identifiziert werden.
• Arbeiten mit Formular-UI-Aktionen
  Im Folgenden finden Sie die UI-Aktionen, die im Formular „Security Incident“ angezeigt werden.
• Workflow zum Schließen von Security Incidents
  Schließen Sie den Security Incident, indem Sie den Incident-Status aktualisieren.