McAfee ePO 통합

SOC(보안 운영 센터) 분석가가 McAfee ePO 사이버 위협을 식별하고 악성 파일로 인한 피해를 복구하는 데 도움이 되는 통합 엔드포인트 탐지 및 대응(EDR) 기능입니다.

개요

이 통합에 사용되는 두 가지 McAfee ePO 기능 집합, 즉 호스트 격리 및 맬웨어 검사 시작과 같은 작업을 호출하는 기능과 쿼리를 실행하여 시스템 상세 정보 및 위협 이벤트를 수집하는 기능이 있습니다. 작업 및 쿼리와 같은 기능 유형은 모두 인스턴스에서 호출 ServiceNow AI Platform® 됩니다. 특정 유형의 보안 이벤트가 발생할 때 자동으로 실행하도록 이러한 기능을 그룹화하거나 보안 인시던트에서 ServiceNow AI Platform® 수동으로 호출할 수 있습니다.

이 통합에 사용할 수 있는 기능은 다음과 같습니다 McAfee ePO .

시스템 상세 정보 가져오기

운영 체제 상세 정보를 포함하여 시스템 상세 정보를 수집합니다.

맬웨어 검사 시작

스캔 구성 및 일정에 따라 영향을 받는 엔드포인트의 스캔을 시작합니다.

호스트 격리/격리 해제

조사를 위해 네트워크 액세스에서 시스템을 제거하고 네트워크 액세스를 복원합니다.

위협 이벤트 나열

규정 준수 상태 및 최신 위협 이벤트를 수집합니다.

주요 기능

이 통합에는 다음과 같은 주요 기능이 포함됩니다.

• 인시던트 조건에 따라 쿼리가 McAfee ePO 자동으로 트리거되는 것을 지원합니다.
• 요청 시 작업을 수행하는 (SIR) 보안 인시던트에서 ServiceNow AI Platform® 보안 인시던트 응답 수동으로 기능을 시작할 McAfee ePO 수 있습니다.
• 다양한 유형과 역량을 McAfee ePOServiceNow AI Platform® 보안 운영 트리거하기 위해 여러 프로필을 생성할 수 있는 유연성. 이러한 프로파일은 위협 이벤트 정보를 수집하거나 멀웨어와 같은 특정 인시던트 범주의 조건에 따라 작업을 수행합니다.
• 보안 인시던트 결과 SIR 의 McAfee ePO 미리 보기를 사용하여 프로파일 구성의 유효성을 검사합니다.
• 태그 지정을 사용하는 경우 보안 태그는 워크플로우에서 처음 시작하는 기능과 쿼리 또는 작업이 성공적으로 완료된 시기를 식별합니다 McAfee ePO .
• 쿼리 및 작업에 대한 McAfee ePO 전체 감사 추적이 보안 인시던트에 대한 SIR 작업 메모에 게시되고 의 ServiceNow AI Platform® 명령이 콘솔에 기록됩니다 McAfee ePO .
• 여러 McAfee ePO 콘솔을 지원합니다.

ServiceNow 플러그인

com.snc.si_dep 플러그인이 필요합니다. 이 플러그인은 제품을 지원하는 데 필요한 모든 종속성을 보안 인시던트 응답 자동으로 설치합니다. 다른 보안 운영 애플리케이션을 설치 및 활성화하기 전에 이 플러그인을 설치하고 활성화하십시오.

에서 ServiceNow Store다음 보안 운영 애플리케이션을 설치하고 활성화해야 합니다. 원활한 설치를 위해 아래 나열된 순서대로 한 번에 하나의 애플리케이션을 설치하고 활성화합니다.

1. 보안 통합 프레임워크
2. Security Support Common
3. 보안 지원 오케스트레이션
4. 보안 인시던트 응답
5. 보안 인시던트 응답 작업 공간

통합을 위한 인스턴스 설정에 ServiceNow AI Platform 대한 자세한 내용은 다음 문서를 ServiceNow AI Platform 통합을 위한 McAfee ePO 인스턴스 설정참조하십시오.

확장 ServiceNow 플러그인

이 통합에는 McAfee ePO용 ServiceNow 보안 운영 확장℠ 플러그인이 필요합니다. 콘솔에 이 ServiceNow 플러그인을 McAfee ePO 설치합니다. 자세한 내용은 ServiceNow AI Platform 통합을 위한 McAfee ePO 인스턴스 설정 문서를 참조하십시오.

MID 서버

이 통합을 수행하려면 인스턴스에 MID 서버가 설치 및 구성되어 있어야 서버(콘솔)에 McAfee ePO 연결할 수 ServiceNow AI Platform® 있습니다. MID Server에 대한 자세한 내용은 ServiceNow 제품 설명서 웹 사이트를 참조하십시오.

지원되는 McAfee 버전

통합은 의 버전 5.9.1 및 5.10 McAfee ePO을 지원합니다. McAfee Agent: MA 5.5.1.388을 지원합니다. McAfee 제품 및 ePolicy Orchestrator에 대한 자세한 내용은 McAfee 제품 웹 사이트를 참조하십시오.

통합은 McAfee Endpoint Security Threat Prevention 제품의 버전 10.5를 지원합니다. 버전 10.5를 실행 중이 아니라면 관리자에게 문의하여 McAfee ePO 사용 중인 버전이 태그 작업을 통한 요청 시 스캔을 지원할 수 있는지 확인하십시오.

McAfee ePO 보안 태그가 이 통합에 사용됩니다. 콘솔에서 이러한 태그를 생성해야 합니다 McAfee ePO . 이러한 태그에 대한 자세한 내용은 다음 문서를 참조하십시오 McAfee ePO(SIR)과 보안 인시던트 응답 통합하도록 콘솔 설정.

참조

참조	문서 식별자	문서 제목
1	McAfee 제품 웹 사이트	McAfee 제품 웹 사이트
2	ePolicy Orchestrator Cloud용 McAfee 비즈니스 제품 설명서	McAfee 제품 설명서
3	ServiceNow 제품 설명서 웹 사이트	ServiceNow 제품 설명서 웹 사이트

통합 결과 설정, 설치 및 확인 진행률을 추적하는 검사 목록은 문서를 참조하십시오 통합을 위한 McAfee ePO 검사 목록.

애플리케이션을 원활하게 설치하고 예상 결과를 확인하려면 항목을 제시된 순서대로 따르십시오.

1. 용 통합 아키텍처 McAfee ePO
   다음 항목은 시스템 아키텍처에 대한 개요이며 통합의 주요 기능을 나열합니다. 또한 이 섹션에서는 에서 응용프로그램ServiceNow Store을 설치하기 전에 인스턴스 ServiceNow AI Platform 및 McAfee ePolicy Orchestrator()McAfee ePO 콘솔에서 완료해야 하는 설정 단계에 대한 정보도 제공합니다.
2. 통합을 위한 McAfee ePO 검사 목록
   이 검사 목록을 사용하여 통합의 모든 작업을 안내합니다. 다음 검사 목록에는 설정 및 설치 작업과 통합에 대한 예상 결과를 포함하는 사용 사례의 예가 포함되어 있습니다.
3. ServiceNow AI Platform 통합을 위한 McAfee ePO 인스턴스 설정
   다음 섹션에는 통합을 위한 애플리케이션을 설치하기 전에 인스턴스에서 완료해야 ServiceNow AI Platform® 하는 설정 작업이 나열되어 있습니다 McAfee ePO .
4. McAfee ePO(SIR)과 보안 인시던트 응답 통합하도록 콘솔 설정
   다음 섹션에는 통합을 위해 애플리케이션을 ServiceNow Store 설치하기 전에 콘솔에서 완료해야 McAfee ePO 하는 설정 단계가 나열되어 있습니다.
5. 애플리케이션 설치 및 통합을 위한 McAfee ePO 서버 구성
   통합을 위한 워크플로우를 호출하기 전에 인스턴스에서 애플리케이션을 ServiceNow StoreServiceNow AI Platform 설치하고 구성합니다McAfee ePO. 콘솔에 연결하려면 McAfee ePO 구성이 필요합니다.
6. 통합을 위해 McAfee ePO 에서 ServiceNow AI Platform 보안 태그 편집
   통합 설정의 일부로, 인스턴스의 콘솔에서 ServiceNow AI Platform 생성한 McAfee ePO 보안 태그 이름을 편집합니다. 콘솔의 ServiceNow AI Platform 태그 McAfee ePO 이름과 일치하도록 인스턴스의 태그 이름을 편집합니다.
7. 승인 그룹 생성
   호스트 시스템을 격리하고 네트워크로 복원하기 위한 요청을 승인할 수 있는 통합용 보안 운영 승인 그룹을 McAfee ePO 생성합니다.
8. McAfee ePO 통합 역량 프로파일
   보안 인시던트 관리자(sn_si.admin) 역할을 가진 사용자는 인스턴스의 역량 ServiceNow AI Platform® 에 McAfee ePO 대한 프로필을 생성합니다. 프로파일의 쿼리 또는 작업을 그룹화하고 새 보안 인시던트가 생성될 때 실행할 역량을 결정합니다 McAfee ePO .
9. 보안 인시던트에서 수동으로 프로파일 트리거 McAfee ePO
   (SIR) 보안 인시던트에서 역량 프로파일을 수동으로 트리거합니다 ServiceNow AI Platform 보안 인시던트 응답 .
10. 통합에서 McAfee ePO 추가 작업 트리거
    위협 이벤트 나열 및 맬웨어 검사 시작 기능은 추가 작업 실행에서 트리거할 수 있습니다.
11. 분석가 작업 공간에서 통합 사용 McAfee ePO
    McAfee ePO 통합을 사용하여 SIR 분석가 작업 공간의 기능을 활용합니다McAfee ePO.
12. 보안 인시던트를 테스트하여 맬웨어 스캔 시작
    맬웨어 검사에 대한 프로필을 구성한 후 프로필을 테스트하고 프로필의 설정과 일치하는 보안 인시던트를 확인합니다. (SIR) 보안 인시던트의 ServiceNow AI Platform 보안 인시던트 응답 관련 목록에서 검사 결과를 미리 봅니다.
13. 보안 인시던트를 테스트하고 호스트 격리에 대한 요청을 승인합니다.
    테스트 및 미리 보기 단계를 사용하면 호스트 분리 및 호스트 분리 제거 워크플로 결과가 프로파일에 대해 예상대로 반환되는지 확인할 수 있습니다.
14. 시작 및 완료 태그 이름과 색상 편집
    맬웨어 검사 시작 및 호스트 격리 역량에 대한 시작 및 완료 태그의 이름과 색상을 편집하는 것을 선호할 수 있습니다. 시작 및 완료 태그는 (SIR) 보안 인시던트에서 ServiceNow AI Platform 보안 인시던트 응답 호출되는 기능을 빠르게 식별하는 데 도움이 됩니다.

관련 개념

• 용 통합 아키텍처 McAfee ePO