Verwenden Sie den Skript-Editor, um Korrelationsereigniswerte zu formatieren

Verwenden Sie zusätzlich zu den direkt zugeordneten Feldern aus den erfassten Korrelationsereigniswerten den Skript-Editor, um Feldwerte im Security Incident während des Zuordnungsschritts zu formatieren.

Vorbereitungen

Erforderliche Rolle: sn_si.admin

Warum und wann dieser Vorgang ausgeführt wird

Der Skripteditor ändert die Werte von ArcSight ESM Korrelationsereignisfeld, sodass Werte, die von unterstützt werden ServiceNow AI Platform SIR Security Incidents werden den Feldern Kategorie, Konfigurationselement (CI), erkennbares Element und andere Security Incidents zugeordnet.

In bestimmten Fällen ArcSight ESM Korrelationsereigniswerte werden Referenzfeldern wie Kategorie, Konfigurationselement (CI) und erkennbaren Elementen im Security Incident zugeordnet. Als Anwender mit der Rolle „sn_si.admin“ können Sie die zugeordneten Ereignisfeldwerte bearbeiten, um das Format zu übersetzen, oder Datenwerte, die den erwarteten Incident-Feldformaten und -Werten entsprechen. Wenn Sie den Wert von übersetzen möchten ArcSight ESM Korrelationsereignis zu einem Wert, der von diesen Feldern im unterstützt wird SIR Security Incident verwenden Sie den Skript-Editor.

Prozedur

1. Klicken Sie bei angezeigtem Zuordnungsformular auf den Link, um den Skript-Editor zu öffnen.
2. Wählen Sie in der Auswahlliste ein Zielfeld für den Wert aus, den Sie bearbeiten möchten.
3. Alternativ können Sie im Abschnitt SIR-Incident-Feldzuordnung auf das Klammern-Symbol klicken [{}] Neben einem Feld, um den Skripteditor für dieses Feld zu öffnen.

   In bestimmten Fällen kann eine Skripteinbindung für das Feld Konfigurationselement geeignet sein. Für ein Korrelationsereignis kann beispielsweise kein Wert für das Konfigurationselement übereinstimmen.

   Wie in der folgenden Abbildung gezeigt, kann eine Übereinstimmung für einen Hostnamen nicht in gefunden werden ServiceNow AI Platform CMDB für das Feld Konfigurationselement können Sie die Regel so bearbeiten, dass, wenn eine IP-Adresse gefunden wird, das Feld Konfigurationselement ausgefüllt wird.

   Der Editor wird geöffnet, wobei das Feld im Zielfeld angezeigt wird.
4. Geben Sie alle Änderungen am Skript ein, und klicken Sie auf Aktualisieren Um Ihre Änderungen zu speichern.
   Die ArcSight ESM Die Tabelle „Feldübersetzungen“ wird angezeigt.
5. Schließen Sie die Tabelle, um zum Zuordnungsformular zurückzukehren.