Microsoft Exchange Online-Integration

Für Microsoft Exchange OnlineIntegrationsanwendung von ServiceNow, Now Platform® Security Incident Response( SIR) Produkt ist in integriert Microsoft Exchange OnlineService, einer der cloudbasierten Services in MicrosoftMicrosoft Azure Event HubsOffice 365-Produktsuite. Ihr Analyst des Security Operations Center (SOC) kann Ihre Unternehmens-E-Mail-Umgebung nach sicherheitsbezogenen Bedrohungen durchsuchen und Phishing-E-Mails mithilfe von E-Mail-Such- und -Löschfunktionen entfernen und korrigieren.

Übersicht

Als Security Incident-Analyst führen Sie die Integration über die Schnittstelle für Sicherheitsanalysten aus, und der Workflow gibt E-Mail-Nachrichtendetails zurück, die den Suchkriterien entsprechen. E-Mail-Suchen basieren auf Kriterien, die Betreffzeilen sowie Absender- und Empfänger-E-Mail-Adressen umfassen. Nachdem die E-Mail-Suche abgeschlossen ist, können Sie verdächtige E-Mails aus löschen Microsoft Exchange OnlineService, und ein optionaler Genehmigungsprozess kann so konfiguriert werden, dass vor dem Löschen von E-Mails eine Genehmigung angefordert wird.

Diese E-Mail-Such- und Löschintegration kann mit einem breiteren Phishing-Antwort-Incident-Workflow oder Runbook verwendet werden. Nachdem ein Anwender oder Mitarbeiter im Unternehmen eine verdächtige E-Mail erhalten und sie dem Phishing-Antwortteam oder Posteingang des Unternehmens gemeldet hat, wird die gemeldete E-Mail an weitergeleitet Now PlatformUnd als Security Incident kategorisiert. Nachdem Sie verifiziert haben, dass eine E-Mail ein Phishing-Angriff ist, können Sie als Analyst, der für die Untersuchung von Phishing-Incidents verantwortlich ist, eine E-Mail-Suche initiieren, um festzustellen, ob andere Unternehmensanwender diese Phishing-E-Mail erhalten haben. Mit der Suche können Sie zugehörige E-Mails aus derselben Phishing-Kampagne finden und andere potenzielle Opfer identifizieren, die die E-Mail erhalten, lesen und möglicherweise auch auf eine schädliche URL geklickt oder einen Anhang geöffnet haben.

Schlüsselfunktionen

Die Integration umfasst die folgenden wichtigen Funktionen:

• Konfigurieren Sie Suchkriterien für Phishing-Bedrohungen in der Antwort auf Security Incidents basierend auf Kombinationen der Felder „Absender“, „Empfänger“ und „Betreff“ in E-Mail-Nachrichten.
• Bei großen und langen E-Mail-Suchen wird der Security Incident-Analyst per E-Mail benachrichtigt, wenn die Suche erfolgreich abgeschlossen wurde, zusammen mit der Anzahl der übereinstimmenden Nachrichten.
• Der Status für einzelne Nachrichten informiert Sie, ob Empfänger verdächtige E-Mails gelesen oder gelöscht haben.
• Wenn konfiguriert, stellen optionale Genehmigungsprozesse sicher, dass verdächtige E-Mails nicht ohne vorherige Genehmigung gelöscht werden.
• In den Arbeitsnotizen von Security Incidents wird ein vollständiger Audit-Pfad für Löschanforderungen protokolliert, der die Anzahl der gelöschten E-Mails enthält.
• Wenn Tagging konfiguriert ist, werden Sicherheits-Tags aufgezeichnet, wenn Workflows für die E-Mail-Suche und das Löschen für Security Incidents initiiert und erfolgreich abgeschlossen werden.

Unterstützt Microsoft Exchange OnlineVersionen

Diese Integration unterstützt Microsoft Exchange OnlineServices, die Teil von sind MicrosoftMicrosoft Azure Event HubsOffice 365-Suite. Die Integration unterstützt keine gehosteten Elemente MicrosoftMicrosoft Azure Event HubsExchange-Umgebungen. MicrosoftMicrosoft Azure Event HubsWird ausgeführt Microsoft Exchange OnlineServices in der Exchange 2016-Version.

Voraussetzungen

Das Plugin „com.snc.si_dep“ ist für jeden erforderlich Now PlatformVersion. Dieses Plugin installiert automatisch alle Abhängigkeiten, die zur Unterstützung von erforderlich sind Security Incident ResponseProdukt. Installieren und aktivieren Sie dieses Plugin, bevor Sie das andere installieren und aktivieren Security OperationsAnwendungen.

Folgendes Security OperationsAnwendungen müssen über installiert und aktiviert werden ServiceNow Store. Installieren und aktivieren Sie dann jeweils eine Anwendung in der folgenden Reihenfolge, um eine reibungslose Installation sicherzustellen:

1. Sicherheitsintegrations-Framework
2. Allgemeiner Sicherheitssupport
3. Orchestration Des Sicherheitssupports
4. Security Incident Response

Integrationsarchitektur und Systemverbindung

Weitere Informationen zur Architektur der Integration, einschließlich Schlüsselbegriffen und Verbindungsdetails zu externen Systemen, finden Sie unter Integrationsarchitektur und externe Systemverbindung für Microsoft Exchange OnlineIntegration.

Prüfliste

Die folgenden Themen sind nummeriert. Befolgen Sie die unten aufgeführten Themen in der Reihenfolge, in der sie angezeigt werden, um eine reibungslose Installation und Konfiguration der Anwendung zu gewährleisten.

Eine druckbare Prüfliste dieser Schritte finden Sie unter Prüfliste für Microsoft Exchange OnlineIntegration. Sie können diese Liste verwenden, um Ihren Fortschritt bei der Bearbeitung der End-to-End-Aufgaben der Integrationseinrichtung, der Konfiguration und der Verifizierung der Ergebnisse zu überwachen.

1. Richten Sie Ihr ein MicrosoftMicrosoft Azure Event HubsAzure-Account für ServiceNow Microsoft Exchange OnlineIntegration
   Schließen Sie die folgenden Setup-Aufgaben in ab MicrosoftMicrosoft Azure Event HubsAzure-Portal vor der Installation von ServiceNowAnwendung für diese Integration. Dieser Account ermöglicht den Zugriff auf Microsoft Exchange OnlineMandant für E-Mail-Nachrichtendetails.
2. Richten Sie eine zertifikatbasierte Authentifizierung oder eine rein-App-Authentifizierung ein
   Für die Authentifizierung mit Anwendungsobjekten ist ein erstes Onboarding erforderlich. Anwendungs- und Serviceprinzipal werden austauschbar verwendet, aber eine Anwendung ist wie ein Klassenobjekt, während ein Serviceprinzipal wie eine Instanz der Klasse ist.
3. Richten Sie Ihr ein Now PlatformInstanz für Microsoft Exchange OnlineIntegration
   Im folgenden Abschnitt werden die Setup-Aufgaben aufgeführt, die Sie in ausführen müssen Now Platform®Instanz vor der Installation von Microsoft Exchange OnlineAnwendung. Überprüfen Sie die Prüfliste, und stellen Sie sicher, dass Sie diese Aufgaben abgeschlossen haben, bevor Sie sie herunterladen und installieren Microsoft Exchange OnlineAnwendung für die Integration, um eine reibungslose Installation und Konfiguration sicherzustellen.
4. Installieren Sie Microsoft Exchange OnlineAnwendung für ServiceNow Microsoft Exchange OnlineIntegration
   Bevor Sie die Integration auf Ihrer Instanz ausführen, installieren Sie Microsoft Exchange Online Anwendung für die Integration aus ServiceNow Store.
5. Konfigurieren Sie Microsoft Exchange OnlineIntegration mit Now PlatformInstanz
   Nachdem Sie die Anwendung von installiert haben ServiceNow Store, Konfigurieren Sie es, um eine Verbindung mit herzustellen Now PlatformInstanz. Diese Aktivierung aktiviert die Such- und Löschworkflows.
6. Definieren Sie E-Mail-Suchkriterien, und fordern Sie eine Suche in an Microsoft Exchange OnlineService
   Definieren Sie als Anwender mit der Rolle „sn_si.Analyst“ Suchkriterien, und senden Sie eine E-Mail-Suchanforderung basierend auf Incident-Details in einem Security Incident-Datensatz.
7. Löschgenehmigung für E-Mails im Microsoft Exchange-Onlineservice anfordern
   Nachdem eine E-Mail-Suche erfolgreich abgeschlossen wurde und übereinstimmende Nachrichten identifiziert wurden, können Sie alle verdächtigen E-Mails im Microsoft Exchange-Onlineservice dauerhaft löschen, die sich auf den Security Incident und die Phishing-Kampagne beziehen.
8. Genehmigen Sie E-Mail-Anforderungen zum Löschen für Microsoft Exchange OnlineIntegration
   Wenn die Genehmigungsoption in aktiviert ist Now PlatformInstanz werden Anforderungen zum Löschen von E-Mails per E-Mail an jedes Mitglied der Genehmigungsgruppe gesendet. Sie wählen die Genehmigungsgruppe während des Konfigurationsschritts aus. Genehmigungen bieten Ihrer Organisation eine zusätzliche Kontrolle über das Löschen von E-Mails.
9. Integrationsarchitektur und externe Systemverbindung für Microsoft Exchange OnlineIntegration
   Die Microsoft Exchange OnlineDie Integrationsarchitektur wurde entwickelt, um die Such- und Löschfunktionen für E-Mail-Bedrohungen in zu unterstützen Microsoft Exchange OnlineService. Diese Einführung erklärt, warum es Setup-Schritte gibt, die Sie in ausführen müssen MicrosoftMicrosoft Azure Event HubsAccounts vor der Installation von ServiceNowAnwendung.
10. Gelöschte E-Mails auf wiederherstellen Microsoft Exchange OnlineService
    (Optional) als Microsoft Exchange-Administrator können Sie gelöschte E-Mails wiederherstellen, wenn Ihre Incident-Korrektur erfordert, dass Sie die vom Workflow dieser Integration gelöschten E-Mails wiederherstellen müssen.
11. Bearbeiten Sie Sicherheits-Tags in der Now Platform für Microsoft Exchange OnlineIntegration
    Sie können die Namen und Farben der Sicherheits-Tags in bearbeiten Now Platform®Instanz für Microsoft Exchange OnlineIntegration. Diese Sicherheits-Tags helfen Ihnen, schnell zu identifizieren, wann die E-Mail-Suche abgeschlossen ist oder fehlschlägt. Sie identifizieren auch, wann Anforderungen zum Löschen von E-Mails initiiert werden und wann die E-Mail-Elemente erfolgreich gelöscht wurden.
12. Prüfliste für Microsoft Exchange OnlineIntegration
    Verwenden Sie diese Prüfliste, um Sie durch die End-to-End-Aufgaben der Integration zu führen. Die folgende Prüfliste enthält Einrichtungs- und Installationsaufgaben sowie Beispiele für Anwendungsfälle und erwartete Ergebnisse für die Anwendung.
13. Problembehandlung bei Microsoft Exchange Online-Integration
    Nachdem Sie erfolgreich konfiguriert haben Microsoft Exchange OnlineUnd richten Sie Ihr ein Now PlatformInstanz: Wenn bei Ihnen Probleme mit der E-Mail-Suche auftreten, können Sie Diagnosetests basierend auf bestimmten Kriterien ausführen.