Définir le calendrier pour l’intégration de l’API Microsoft Graph Security
Vérifiez les paramètres par défaut pour la récupération des alertes ou modifiez la planification si nécessaire. Cette étape vous permet de filtrer votre récupération d’alerte en fonction d’une plage de dates.
Avant de commencer
Rôle requis : sn_si.admin
Pourquoi et quand exécuter cette tâche
Vous choisissez également la fréquence à laquelle vous interrogerez les alertes futures qui correspondent à la configuration du profil d’alerte. Pour les profils d’ingestion d’alertes automatisées, avant d’activer le profil, vous vérifiez et modifiez la planification et la récupération des alertes. Cette étape est nécessaire pour les profils d’alerte planifiés.
En tant qu’utilisateur disposant du rôle sn_si.admin, vous configurez ces intervalles d’interrogation pour chaque profil. Les différents intervalles d’interrogation affectent les performances de l’intégration de l’ingestion API de sécurité Microsoft Graph d’alerte. Lors de la planification, vous préférerez peut-être équilibrer la charge du système par rapport à l’urgence de l’incident. Une valeur par défaut de cinq minutes est définie pour n’importe quel profil, mais vous préférez peut-être modifier ce paramètre en fonction de l’urgence de l’incident et de la charge prévue sur votre système.
Procédure
- Si la page Planification de la barre de progression ne s’affiche pas, sélectionnez Planification.
-
Choisissez-en un pour planifier comment et quand les Microsoft Azure alertes sont extraites du locataire.
Option Description Ingestion de l’alerte en cours sélectionnée En fonction du paramètre par défaut, l’instance ServiceNow AI Platform extrait du Microsoft Azure locataire de nouvelles alertes toutes les cinq minutes. Les incidents de sécurité sont créés si des alertes déclenchées sont détectées et que les critères de filtrage de génération d’incidents sont vérifiés. Pour équilibrer l’ingestion des alertes par rapport à la charge du serveur, et pour extraire les données les plus récentes, vous préférerez peut-être cinq minutes. Toutefois, cette valeur peut être modifiée si nécessaire. - Ingestion de l’alerte en cours sélectionnée
- Définir le délai d'ingestion de l'alerte initiale
Délai d’ingestion initial Si vous souhaitez planifier l’ingestion initiale à une heure précise, procédez comme suit :- Sélectionnez les champs Ingestion d’alerte en cours et Définir le délai d’ingestion de l’alerte initiale.
- Spécifiez l’heure dans le champ Entrer le délai d’ingestion de l’alerte initiale.
L’ingestion initiale aura lieu à l’heure spécifiée ici. Les ingestions suivantes seront basées sur le calendrier défini dans le champ Incrément d’interrogation (minutes).
Par exemple, si vous avez une tâche d’alerte quotidienne qui s’exécute une fois par jour à 4 heures du matin, heure locale, vous pouvez configurer le profil d’alerte correspondant dans votre ServiceNow AI Platform instance pour qu’il s’exécute à 4 h 05, heure locale, afin de capturer immédiatement l’alerte et de créer un incident de sécurité.
Saisissez 04 05 00 dans le champ d’ingestion d’alerte initiale. Dans le champ Incrément (minutes), entrez 1 440 (24 heures) pour planifier l’ingestion d’alerte suivante pendant 24 heures à compter de l’ingestion d’alerte initiale. Les délais d’ingestion des alertes initiales et des alertes suivantes sont affichés dans les champs.
Pour configurer les paramètres de cet exemple, procédez comme suit :- Sélectionnez l’option Ingestion d’alerte en cours .
- Dans le champ Incrémentation du sondage (minutes), saisissez 1 440 (24 heures).
- Cliquez sur l’option Définir la durée d’ingestion de l’alerte initiale pour activer la modification des champs Durée d’ingestion de l’alerte initiale et Heure (estimée) d’ingestion de l’alerte suivante.
- Dans le champ Délai d’ingestion de l’alerte initiale, saisissez 04 05 00. L’heure de la prochaine ingestion d’alerte (estimée) s’affiche dans le champ Heure d’ingestion de l’alerte suivante.
Champ Récupération ponctuelle sélectionné Récupération ponctuelle Utilisez cette configuration si vous souhaitez une extraction ponctuelle pour ingérer des alertes historiques.
Lorsque ce paramètre est configuré, un profil est utilisé une fois pour récupérer les alertes d’événements historiques basés sur une plage de dates. À droite du champ Depuis la date, cliquez sur l’icône Calendrier. Dans le calendrier qui s’affiche, sélectionnez la date à laquelle vous souhaitez commencer à extraire les alertes. En commençant par la valeur Depuis la date, les alertes sont récupérées jusqu’à la date actuelle. Notez que vous pouvez remonter jusqu’à sept jours en arrière à partir de la date actuelle. Cette fonctionnalité n’est pas destinée à récupérer un nombre important d’alertes historiques, mais plutôt un nombre minimal d’alertes en cours de traitement actif au moment de l’activation du profil.
Une fois les alertes extraites, ce paramètre ne récupère plus d’alertes pour ce profil à partir de la date actuelle. Ce paramètre remplit l’incident de sécurité avec toutes les alertes trouvées pour la plage que vous entrez. - Cliquez sur Continuer pour accéder à la page Options supplémentaires.