Arbeiten mit Sperrlisten

Die ServiceNow Check Point Next Generation Threat Prevention Die Integration unterstützt Blocklisten, die erkennbare Elemente für IP, URL und Domäne akzeptieren.

ServiceNow Die konfigurierte Blockliste ist eine CSV-Datei, die auf einem externen Webserver gehostet wird, der für diese Integration der ist ServiceNow AI Platform Instanz. Anwenderdefinierter Intelligence-Feed wird im Prüfpunkt-Gateway konfiguriert, das die IP-Adressen, URLs und Domänen aus dem abruft ServiceNow AI Platform Im vorkonfigurierten Intervall.

Diese Integration unterstützt drei Arten von Blocklisten:

• IP-Adresse (umfasst eine einzelne IP-Adresse (nur IPv4) für die Sperrliste und CIDR-Blöcke (Adressbereiche) für die Allow-Liste).
• URL
• Domäne

Erkennbare Elemente, die von unterstützt werden Check Point NGTP Integration

Der Abschnitt listet Beschreibungen der von dieser Integration unterstützten erkennbaren Elemente und Beispielformate für jeden Typ auf.

Erkennbarer Typ	Beispiele	Beschreibung
Domäne	example.com mail.example.com	Platzhalter werden nicht unterstützt.
IP-Adresse	95.153.103.54 (IPv4)	Stellt eine einzelne, eindeutige Schnittstellenadresse dar. Die Integration unterstützt nur IPv4- und CIDR-Formate (das CIDR-Format wird nur für die Zulässigkeit der Auflistung unterstützt). Für den Zweck der Allow-Liste bietet die Integration Unterstützung für erkennbare IP-Adressen, einschließlich CIDR-Bereiche (Classless Inter-Domain Routing), z. B. 95.153.100.0/22. Hinweis: Eine Fehlermeldung wird angezeigt, wenn Sie versuchen, eine einzelne IP-Adresse an eine Sperrliste anzuhängen, die Sie bereits als Teil eines CIDR-Bereichs aufgeführt haben. Beispielsweise ist die einzelne Adresse 95.153.103.54 Teil des CIDR-Bereichs, der durch 95.153.100.0/22 (95.153.100.0-95.153.103.255) dargestellt wird.
URL	https://www.example.com http://www.example.com	Beschreibung: Die HTTPS-URL wird von der Anwendung so formatiert, dass der Pfad von der URL abgeschnitten wird und nur der Domänenname beibehalten wird. Check Point-NGTP basiert auf HTTP-CONNECT-Anforderung, um den Webverkehr zu bewerten und die Blockierung zu erzwingen. Bei der HTTPS-CONNECT-Anforderung ist die gesamte URL in der Anforderung nicht sichtbar, und nur der Domänenname ist sichtbar. Wenn ein Anwender eine HTTPS-URL mit einem bestimmten Pfad blockiert (Beispiel: https://www.example.com/path), kürzt die Anwendung den Pfad automatisch (www.example.com). Die Anwendung behält die Beziehung zwischen dem ursprünglichen erkennbaren Element und der formatierten URL bei. Unten ist der Screenshot des Blocklisteneintrags, der die formatierte URL und das ursprüngliche erkennbare Element anzeigt.

Bei HTTP-URLs mit einem bestimmten Pfad (z. B. http://www.example.com/path) würde der Prüfpunkt die angegebene URL blockieren, da die gesamte URL in der CONNECT-Anforderung sichtbar ist.