Erstellen Sie eine Vulnerability Response-CI-Suchregel

Die CI-Suchregeln Das Modul enthält Regeln, die verwendet werden, um den übereinstimmenden Datensatz für Hostinformationen zu finden, die während des Imports von Schwachstellen von Drittparteien empfangen werden. Die Hostinformationen werden mit den erkannten Elementen, nicht abgeglichenen Konfigurationselementklassen und abgeglichen Configuration Management Database (CMDB).

Vorbereitungen

Persona und granulare Rollen sind verfügbar, um zu verwalten, was Anwender und Gruppen in sehen und tun können Vulnerability Response Anwendung. Informationen zur ersten Zuweisung der Persona-Rollen im Setup-Assistenten finden Sie unter Weisen Sie zu Vulnerability Response Persona-Rollen mit Setup-Assistent. Weitere Informationen zum Verwalten granularer Rollen finden Sie unter Verwalten Sie Persona und granulare Rollen für Vulnerability Response.

Erforderliche Rolle: sn_vul.Vulnerability_admin

Warum und wann dieser Vorgang ausgeführt wird

Das Erstellen von CI-Suchregeln erfordert erweiterte Funktionen ServiceNow Und Vulnerability Response Fachwissen. Anstatt eines der vorhandenen zu ändern Suchen Regeln. Erwägen Sie, sie zu kopieren und die Kopie zu ändern. Wenn Sie zufrieden sind, dass die neue Regel das tut, was Sie möchten, deaktivieren Sie die ursprüngliche.

Hinweis:

Regeln können nach dem Entfernen nicht wiederhergestellt werden. Anstatt vorhandene Regeln zu entfernen, deaktivieren Sie sie beim Erstellen neuer Regeln.

Prozedur

1. Navigieren zu Alle > Security Operations > CMDB > CI-Suchregelnan.
2. Klicken Sie auf Neu.
3. Füllen Sie im Formular die Felder aus.

   Tabelle : 1. Formular „CI-Suchregel“

   Feld	Beschreibung
   Name	Name der Regel.
   Suchmethode	Für den Abgleich verwendete Methode. Die Auswahlmöglichkeiten lauten wie folgt: Skript : Vorgefertigtes Skript (IP-Adresse, DNS-Name usw.) oder anwenderdefiniertes Skript. Feldübereinstimmung : Suche nach Tabelle oder Feld in der CMDB.
   Typ	Mit dem Skript verwendeter Typ Suchmethode .
   Reihenfolge	Rangfolge für die Regel. Regeln Mit der niedrigsten Reihenfolge werden zuerst ausgewertet.
   Aktiv	Kontrollkästchen, um anzugeben, ob die Regel aktiv oder deaktiviert ist.
   Quelle	Quelle, die als Eingabe für diese Regel verwendet wird.
   Quellenfeld	Quellfeld, das als Eingabe für diese Regel verwendet wird. Wählen Sie ein beliebiges Feld aus, es wird jedoch als behandelt Zeichenfolgenwert.
   Bedingung	Bedingung, auf der die CI-Suchregel angewendet wird. Diese Bedingung hängt vom Attribut des Drittanbieterscanners ab. Hinweis: Das Asset-Attribut ist Teil der Nutzlast. Sie wird vom Scanner der Drittpartei empfangen. Nutzlastbeispiele finden Sie in der Tabelle „erkannte Elemente“.
   Skript	Bearbeitbares Beispielskript, basierend auf Typ , Wird angezeigt. Implementieren Sie das anwenderdefinierte Skript gemäß den Kommentaren, die in der Vorlage der Standardfunktion enthalten sind. Hinweis: Die Prozessfunktion hat drei Parameter: rule, sourceValue, Und sourcePayload
   Tabelle durchsuchen	Tabelle, die in der CMDB gesucht werden soll. Wird mit Feldübereinstimmung verwendet Suchmethode .
   Feld durchsuchen	Feld, das Informationen enthält, die zum Auffinden eines CI verwendet werden können. Wird mit der Feldübereinstimmung verwendet Suchmethode . Dieses Feld kann sich im CI-Datensatz oder in einem zugehörigen Datensatz wie einem Netzwerkadapter befinden.

4. Klicken Sie auf Absenden.

   Weitere Informationen zur Implementierung von CI-Suchregeln finden Sie unter . Schritte zur Verhinderung doppelter oder verwaister Datensätze nach der Ausführung Vulnerability Response CI-Suchregeln.

   Abbildung : 1. Beispiel für eine CI-Suchregel mit einem Bedingungsgenerator für V12.0

   

   Abbildung : 2. Beispiel für eine CI-Suchregel mit einem Skript Vor V12.0

   

• Ignorieren Sie CI-Klassen
  Um einige Konfigurationselementklassen (Configuration Item, CI) zu ignorieren, z. B. Lastenausgleichsmodul [cmdb_ci_lb], legen Sie bei der Ausführung von CI-Suchregeln fest IgnorierCIClass [ sn_sec_cmn.ignoreCIClass] Systemeigenschaft.
• Filtern Sie außer Betrieb genommene CIs
  Filtern Sie außer Betrieb genommene Konfigurationselemente (CIs), während die CI-Suchregeln ausgeführt werden. Um stillgelegte CIs beim Ausführen der Sicherheitsvorgänge-CMDB-CI-Suchregeln zu filtern, legen Sie fest Filtert heraus dekommissioniertCI [ sn_sec_cmn.filterAusdekommissionedCI ] Systemeigenschaft auf „wahr“.
• CIs automatisch heraufstufen
  Bearbeiten Sie die JSON-Zeichenfolge in AutoPromoteFields [ sn_sec_cmn.autoPromoteFields ] Systemeigenschaft, damit Ihre Suchregeln für Konfigurationselemente (Configuration Item, CI) alle Security Operations-CMDB-CIs automatisch zu übereinstimmenden Einträgen in der Tabelle [cmdb_ci] heraufstufen.

Zugehörige Verweise

• Vulnerability Response Formularfelder für angreifbare Elemente