Microsoft Exchange Online Integration

Bei der Integrationsanwendung Microsoft Exchange Online von ServiceNowwird das Produkt Now Platform® Security Incident Response (SIR) in den Service Microsoft Exchange Online integriert, einen der cloudbasierten Services in der Office 365-Produktsuite MicrosoftMicrosoft Azure Event Hubs. Ihr SOC-Analyst (Security Operation Center) kann die E-Mail-Umgebung Ihres Unternehmens nach sicherheitsbezogenen Bedrohungen durchsuchen und Phishing-E-Mails mit E-Mail-Such- und -Löschfunktionen entfernen und korrigieren.

Übersicht

Als Security Incident-Analyst führen Sie die Integration über die Schnittstelle für Sicherheitsanalysten aus, und der Workflow gibt E-Mail-Nachrichtendetails zurück, die den Suchkriterien entsprechen. E-Mail-Suchvorgänge basieren auf Kriterien wie Betreffzeilen sowie E-Mail-Adressen von Absendern und Empfängern. Nachdem die E-Mail-Suche abgeschlossen ist, können Sie verdächtige E-Mails aus dem Service Microsoft Exchange Online löschen. Außerdem kann ein optionaler Genehmigungsprozess konfiguriert werden, um vor dem Löschen von E-Mails eine Genehmigung anzufordern.

Diese Integration zum Suchen und Löschen von E-Mails kann mit einem umfassenderen Workflow oder Runbook für Incidents zur Reaktion auf Phishing verwendet werden. Nachdem ein Unternehmensbenutzer oder Mitarbeiter eine verdächtige E-Mail erhalten und dem Phishing-Reaktionsteam oder dem Posteingang des Unternehmens gemeldet hat, wird die gemeldete E-Mail an Now Platform weitergeleitet und als Security Incident kategorisiert. Nachdem Sie verifiziert haben, dass es sich bei einer E-Mail um einen Phishing-Angriff handelt, können Sie als Analyst, der für die Untersuchung von Phishing-Incidents verantwortlich ist, eine E-Mail-Suche starten, um festzustellen, ob andere Unternehmensanwender diese Phishing-E-Mail erhalten haben. Mit der Suche können Sie zugehörige E-Mails aus derselben Phishing-Kampagne finden und andere potenzielle Opfer identifizieren, die die E-Mail möglicherweise erhalten und gelesen haben und möglicherweise auch auf eine schädliche URL geklickt oder einen Anhang geöffnet haben.

Schlüsselfunktionen

Die Integration umfasst die folgenden Schlüsselfunktionen:

• Konfigurieren Sie Suchkriterien für Phishing-Bedrohungen in Security Incident Response basierend auf Kombinationen der Felder „Absender“, „Empfänger“ und „Betreff“ in E-Mail-Nachrichten.
• Bei großen und langen E-Mail-Suchen wird der Security Incident-Analyst per E-Mail benachrichtigt, wenn die Suche erfolgreich abgeschlossen wurde, zusammen mit der Anzahl der übereinstimmenden Nachrichten.
• Der Status für einzelne Nachrichten informiert Sie, wenn Empfänger verdächtige E-Mails gelesen oder gelöscht haben.
• Wenn konfiguriert, stellen optionale Genehmigungsprozesse sicher, dass verdächtige E-Mails nicht ohne vorherige Genehmigung gelöscht werden.
• Ein vollständiger Audit-Pfad für Löschanforderungen, der die Anzahl der gelöschten E-Mails enthält, wird in den Arbeitsnotizen von Security Incidents protokolliert.
• Wenn Tagging konfiguriert ist, werden Sicherheits-Tags aufgezeichnet, wenn E-Mail-Such- und -Lösch-Workflows für Security Incidents initiiert und erfolgreich abgeschlossen werden.

Unterstützte Versionen Microsoft Exchange Online.

Diese Integration unterstützt Services vom Microsoft Exchange Online Typ , die Teil der Office 365-Suite MicrosoftMicrosoft Azure Event Hubs sind. Die Integration unterstützt keine gehosteten MicrosoftMicrosoft Azure Event Hubs Exchange-Umgebungen. MicrosoftMicrosoft Azure Event Hubs führt die Services Microsoft Exchange Online in der Exchange 2016-Version aus.

Voraussetzungen

Das Plugin „com.snc.si_dep“ ist für jede Now Platform -Version erforderlich. Dieses Plugin installiert automatisch alle Abhängigkeiten, die zur Unterstützung des Produkts Security Incident Response erforderlich sind. Installieren und aktivieren Sie dieses Plugin, bevor Sie die anderen Security Operations -Anwendungen installieren und aktivieren.

Die folgenden Security Operations -Anwendungen müssen über ServiceNow Storeinstalliert und aktiviert werden. Installieren Sie eine Anwendung nach der anderen in der unten aufgeführten Reihenfolge, und aktivieren Sie sie dann, um eine reibungslose Installation zu gewährleisten:

1. Security Integration Framework
2. Security Support Common
3. Security Support Orchestration
4. Security Incident Response

Integrationsarchitektur und Systemverbindung

Weitere Informationen zur Architektur der Integration, einschließlich wichtiger Begriffe und Details zu Verbindungen externer Systeme, finden Sie unter Integrationsarchitektur und externe Systemverbindung für die Microsoft Exchange Online -Integration.

Prüfliste

Die folgenden Themen sind nummeriert. Befolgen Sie die unten in der Reihenfolge aufgeführten Themen, um eine reibungslose Installation und Konfiguration der Anwendung zu gewährleisten.

Eine Prüfliste dieser Schritte zum Ausdrucken finden Sie unter Prüfliste für die Microsoft Exchange Online -Integration. Anhand dieser Liste können Sie Ihren Fortschritt überwachen, während Sie die End-to-End-Aufgaben der Einrichtung, Konfiguration und Überprüfung der Ergebnisse der Integration durchführen.

1. Richten Sie Ihr MicrosoftMicrosoft Azure Event Hubs Azure-Konto für die ServiceNow Microsoft Exchange Online -Integration ein
   Führen Sie die folgenden Setupaufgaben im Azure-Portal MicrosoftMicrosoft Azure Event Hubs aus, bevor Sie die Anwendung ServiceNow für diese Integration installieren. Dieser Account ermöglicht den Zugriff auf den -Mandanten Microsoft Exchange Online für E-Mail-Nachrichtendetails.
2. Richten Sie die zertifikatbasierte Authentifizierung oder die Nur-App-Authentifizierung ein
   Für die Authentifizierung mithilfe von Anwendungsobjekten ist ein anfängliches Onboarding erforderlich. Anwendung und Serviceprinzipal werden austauschbar verwendet, aber eine Anwendung ist wie ein Klassenobjekt, während ein Serviceprinzipal eine Instanz der Klasse ist.
3. Richten Sie Ihre Instanz Now Platform für die Integration Microsoft Exchange Online ein
   Im folgenden Abschnitt werden die Setup-Aufgaben aufgeführt, die Sie in der Instanz Now Platform® ausführen müssen, bevor Sie die Anwendung Microsoft Exchange Online installieren. Sehen Sie sich die Prüfliste an, und vergewissern Sie sich, dass Sie diese Aufgaben abgeschlossen haben, bevor Sie die Anwendung Microsoft Exchange Online für die Integration herunterladen und installieren, um eine reibungslose Installation und Konfiguration zu gewährleisten.
4. Installieren Sie die Anwendung Microsoft Exchange Online für die Integration ServiceNow Microsoft Exchange Online .
   Bevor Sie die Integration in Ihrer -Instanz ausführen, installieren Sie die Anwendung Microsoft Exchange Online für die Integration aus dem ServiceNow Store.
5. Konfigurieren Sie die Microsoft Exchange Online -Integration mit Ihrer -Instanz Now Platform .
   Nachdem Sie die Anwendung aus ServiceNow Storeinstalliert haben, konfigurieren Sie sie so, dass eine Verbindung zu Ihrer Instanz Now Platform hergestellt wird. Mit dieser Aktivierung werden die Such- und Lösch-Workflows aktiviert.
6. Definieren Sie E-Mail-Suchkriterien, und fordern Sie eine Suche im Service Microsoft Exchange Online an
   Definieren Sie als Benutzer mit der Rolle sn_si.analyst Suchkriterien, und senden Sie eine E-Mail-Suchanforderung basierend auf Incident-Details in einem Security Incident-Datensatz.
7. Fordern Sie die Löschgenehmigung für E-Mails im Microsoft Exchange Online-Service an
   Nachdem eine E-Mail-Suche erfolgreich abgeschlossen wurde und übereinstimmende Nachrichten identifiziert wurden, können Sie alle verdächtigen E-Mails, die mit dem Security Incident und der Phishing-Kampagne in Zusammenhang stehen, endgültig aus dem Microsoft Exchange Online-Service löschen.
8. Genehmigen Sie E-Mail-Löschungsanforderungen für die Integration Microsoft Exchange Online .
   Wenn die Genehmigungsoption in Ihrer Instanz Now Platform aktiviert ist, werden Anforderungen zum Löschen von E-Mails per E-Mail an jedes Mitglied der Genehmigungsgruppe gesendet. Die Genehmigungsgruppe wählen Sie im Konfigurationsschritt aus. Genehmigungen bieten Ihrer Organisation eine zusätzliche Kontrollebene für die Löschung von E-Mails.
9. Integrationsarchitektur und externe Systemverbindung für die Microsoft Exchange Online -Integration
   Die Microsoft Exchange Online -Integrationsarchitektur wurde entwickelt, um die Such- und Löschfunktionen für E-Mail-Bedrohungen im Service Microsoft Exchange Online zu unterstützen. In dieser Einführung wird erläutert, warum Sie in Ihren MicrosoftMicrosoft Azure Event Hubs -Accounts einige Setup-Schritte ausführen müssen, bevor Sie die Anwendung ServiceNow installieren.
10. Stellen Sie gelöschte E-Mails im Service Microsoft Exchange Online wieder her
    (Optional) Als Microsoft Exchange-Administrator können Sie gelöschte E-Mails wiederherstellen, wenn die Incident-Korrektur erfordert, dass Sie die vom Workflow dieser Integration gelöschten E-Mails wiederherstellen.
11. Bearbeiten Sie Sicherheits-Tags auf der Now Platform für die Microsoft Exchange Online -Integration
    Sie können die Namen und Farben der Sicherheits-Tags in Ihrer Instanz Now Platform® für die Integration Microsoft Exchange Online bearbeiten. Mithilfe dieser Sicherheits-Tags können Sie schnell erkennen, wann die E-Mail-Suche abgeschlossen wird oder fehlschlägt. Sie identifizieren auch, wenn Anforderungen zum Löschen von E-Mails initiiert werden und wenn die E-Mail-Elemente erfolgreich gelöscht werden.
12. Prüfliste für die Microsoft Exchange Online -Integration
    Verwenden Sie diese Prüfliste, um sich durch die End-to-End-Aufgaben der Integration führen zu lassen. Die folgende Prüfliste enthält Einrichtungs- und Installationsaufgaben sowie Beispiele für Anwendungsfälle und erwartete Ergebnisse für die Anwendung.
13. Problembehandlung bei der Microsoft Exchange Online-Integration
    Nachdem Sie die Anwendung Microsoft Exchange Online erfolgreich konfiguriert und Ihre Instanz Now Platform eingerichtet haben, können Sie bei E-Mail-Suchproblemen Diagnosetests basierend auf bestimmten Kriterien ausführen.