Configurez la Intégration des vulnérabilités Rapid7.

Configurez le une fois l’application Intégration des vulnérabilités Rapid7 installée et activée sur votre ServiceNow AI Platform®.

Avant de commencer

Rôle requis : l’administrateur [admin] télécharge et installe l’application. Le sn_vul.vulnerability_admin ou sn_vul.admin supervise la configuration et vérifie les résultats attendus.

Procédure

1. Une fois l’application activée (installée), accédez à Rapid7 Vulnerability Integration > Administration > Configuration.
2. Sélectionnez un type d’intégration dans la liste.

   Figure 1. Liste du type d’intégration

   

3. Sélectionnez une instance d’intégration.
   L’instance d’intégration par défaut Rapid7 InsightVM est sélectionnée par défaut. Si c’est le type d’intégration que vous souhaitez, procédez comme suit. Si vous souhaitez configurer le type d’intégration de l’entrepôt de données, passez à l’étape Rapid7 4.
   1. Une fois l’onglet Configuration de l’intégration sélectionné sur le formulaire qui s’affiche, renseignez les champs :

      Tableau 1. Onglet Configuration de l’intégration pour le type d’intégration InsightVM

      Champ	Description
      Région InsightVM	L’URL du serveur que vous avez acquise sur le Rapid7 site.
      Clé API	La clé API que vous avez acquise auprès de votre Rapid7 compte Insight.
      État de validation	Lecture seule : état du processus de validation des informations d’identification.

   2. Vérifiez la configuration réussie en cliquant sur Tester les informations d’identification.
      Si un message d’erreur s’affiche pendant la configuration, saisissez à nouveau vos données.
   3. Après un test réussi, cliquez sur Enregistrer.
   4. Cliquez sur l’onglet Configuration de l’importation .

      Renseignez les champs du formulaire qui s’affiche.

      Tableau 2. Onglet Configuration de l’importation pour InsightVM

      Champ	Description
      Score CVSS min.	Score CVSS d’élément vulnérable minimal utilisé pour filtrer les éléments vulnérables pendant l’importation.
      Score CVSS max.	Score CVSS maximal de l’élément vulnérable utilisé pour filtrer les éléments vulnérables pendant l’importation.
      Filtre de site	Limite les données aux Rapid7 InsightVM sites choisis dans la liste Sites. Consultez Filtrage par Rapid7 site. Vous pouvez choisir plus d’un site. La valeur par défaut (vide) affiche tous les sites. Pour préremplir la liste Sites, exécutez l’API Rapid7 Site Integration — avant de définir ce champ. Pour plus d’informations sur l’utilisation du filtrage de site, reportez-vous à la section Filtrage par Rapid7 site.
      Créer automatiquement une entrée CVE	La propriété système permettant de créer une entrée CVE est active (vrai) par défaut. Les espaces réservés CVE sont créés automatiquement avec l’ingestion de connaissances Rapid7 si l’ID CVE n’existe pas. Si vous souhaitez que cette fonctionnalité soit inactive, désactivez la propriété [sn_vul_r7.create_cve_for_vulnerabilities] dans la liste des propriétés système.
      Réouverture résolue par âge	Lorsque cette option est sélectionnée, les éléments vulnérables sont automatiquement rouverts lorsque le nombre de jours pendant lesquels ils ont été résolus mais non fermés correspond à la valeur affichée dans le champ Réouverture résolue après .

   5. Cliquez sur Enregistrer.

      Pour plusieurs déploiements de type Rapid7 InsightVM intégration :

   6. Dans le champ Instance d’intégration , ouvrez dans la liste de recherche et sélectionnez une instance d’intégration existante ou cliquez sur Nouveau dans le menu contextuel.
   7. Pour Nouveau, saisissez un nom pour l’instance d’intégration et cliquez sur Soumettre.
      Le type d’intégration s’affiche dans le formulaire de Rapid7 configuration.

      Remarque :

      Vous pouvez supprimer n’importe quelle instance d’intégration à l’exception de la par défaut. La suppression d’une instance supprime les éléments suivants (à l’exception des VI) :

      • Intégrations
      • Paramètres d’instance
      • Exécutions des intégrations
      • Processus d’intégration
      • La colonne d’instance sur le VI est marquée comme vide
   8. Vérifiez la configuration réussie en cliquant sur Tester les informations d’identification.
   9. Après un test réussi, cliquez sur Enregistrer.
4. Dans le champ Type d’intégration, développez la liste et cliquez sur Entrepôt de données.
   1. Sélectionnez l’onglet Configuration de l’intégration .

      Renseignez les champs du formulaire qui s’affiche.

      Tableau 3. Onglet Configuration de l’intégration pour le type d’intégration d’entrepôt de données

      Champ	Description
      Nom d'identification JDBC	Nom de vos informations d’identification d’entrepôt de données.
      Nom d'utilisateur	Nom d’utilisateur de l’entrepôt de données Rapid7.
      Mot de passe	Mot de passe de l’entrepôt de données Rapid7.
      État de validation	Lecture seule : état du processus de validation des informations d’identification.
      Détail de validation	Lecture seule : entrepôt de données uniquement. Affiche des informations supplémentaires sur le contrôle de validation après avoir cliqué sur Tester au moins une fois les informations d’identification. Cela peut être utile pour déboguer votre configuration (par exemple, en validant si votre serveur MID est mal configuré ou si vous avez simplement des informations d’identification incorrectes.
      Serveur de base de données DNS/IP	Adresse DNS ou IP de votre entrepôt de données.
      Port de la base de données	Port à utiliser pour votre intégration d’entrepôt de données.
      Nom de base de données	Nom de votre entrepôt de données.
      Décalage du retard de données (en jours)	Le décalage du retard de données tient compte du délai entre les données en temps réel du Rapid7 Nexpose scanner et les données de l’entrepôt de données.
      Serveur MID	Serveur MID à utiliser. Seuls les serveurs MID autonomes sont pris en charge. Les serveurs MID en grappe ne sont pas pris en charge.
      Délai d'expiration du serveur MID (min)	Nombre de minutes à attendre la réponse du serveur MID avant expiration de l’exécution de l’intégration.

   2. Vérifiez la configuration réussie en cliquant sur Tester les informations d’identification.
   3. Après un test réussi, cliquez sur Enregistrer.
   4. Cliquez sur l’onglet Configuration de l’importation .

      Renseignez les champs du formulaire qui s’affiche.

      Tableau 4. Onglet Configuration de l’importation pour l’entrepôt de données

      Champ	Description
      Avant la version 12.0 : case à cocher Créer une entrée CVE	Lorsque cette option est cochée, les espaces réservés pour les CVE, qui ne sont pas déjà présents, sont créés en tant qu’enregistrements NVD et référencés dans l’entrée tierce pour Rapid7. Lorsque cette option n’est pas cochée, ces CVE sont ignorées.
      Score CVSS min.	Score CVSS d’élément vulnérable minimal utilisé pour filtrer les éléments vulnérables pendant l’importation.
      Score CVSS max.	Score CVSS maximal de l’élément vulnérable utilisé pour filtrer les éléments vulnérables pendant l’importation.
      Filtre de site	Limite les données d’intégration de sites importées aux sites choisis. Vous pouvez en choisir plusieurs. Remarque : Étant donné que le paramètre par défaut est d’importer des données à partir de tous les sites, vous n’avez pas besoin d’utiliser le filtre si vous voulez tous les sites. Cela ralentit la demande.
      Réouverture résolue par âge	Lorsque cette option est sélectionnée, les éléments vulnérables sont automatiquement rouverts lorsque le nombre de jours pendant lesquels ils ont été résolus mais non fermés correspond à la valeur affichée dans le champ Réouverture résolue après .

5. Cliquez sur Enregistrer.
6. Facultatif : Si vous souhaitez définir une date de début dans les Rapid7 enregistrements Intégration de vulnérabilité - API et Intégration d’élément vulnérable - Rapid7 - Intégration API pour récupérer les données historiques lors de votre importation initiale à partir de l’analyse Rapid7 , procédez comme suit.
   Vous pouvez utiliser ces données pour vous aider avec Fermeture des détections obsolètes dans Réponse aux vulnérabilités.
   1. Accédez à la Rapid7 Vulnerability Integration > Administration > Intégrations.
      La Rapid7 liste des intégrations s’affiche.
   2. Cliquez sur l’un des enregistrements d’intégration pour l’ouvrir.

      En haut du formulaire, cliquez sur le lien ici pour modifier l’enregistrement.

      Le champ Date d’importation depuis les Rapid7 intégrations est vide par défaut, à l’exception de l’API d’intégration Rapid7 de vulnérabilité et de l’intégration d’élément vulnérable Rapid7 : API. Pour ces intégrations, ces champs sont définis sur 1998-12-31 ou 1999-01-01.

      Pour récupérer les données historiques lors de votre importation initiale à partir de l’analyse Rapid7 , définissez une date de début dans les enregistrements d’intégration appropriés. Ce processus fonctionne pour toute Rapid7 intégration, à l’exception des éléments suivants :

      • Les Rapid7 intégrations Exploit et Kit malware n’affichent pas le champ Importer depuis , car elles ne font pas de mises à jour delta et n’utilisent donc pas ce champ.
      • L’intégration Rapid7 de la liste des actifs ignore le champ, car son intention est de récupérer toutes les données.
      • Pour l’exécution initiale de l’API Rapid7 InsightVM d’intégration complète des éléments vulnérables, lorsque le module Fermer automatiquement les éléments vulnérables périmés est activé et que le champ Importer depuis est laissé vide.

        Lorsque vous activez la fonctionnalité de fermeture automatique, une exécution réussie de l’intégration complète des éléments vulnérables Rapid7 ou de l’intégration complète des éléments vulnérables Rapid7 - API est requise. Ces intégrations sont désactivées par défaut.

        Lorsque vous activez l’API d’intégration Rapid7 InsightVM complète des éléments vulnérables, si vous laissez le champ Importer depuis vide sur la page de configuration de l’intégration, la valeur du champ « jours plus tôt » du formulaire Fermer automatiquement les éléments vulnérables périmés est également utilisée pour la date d’importation depuis lors de la première exécution de l’intégration. La valeur par défaut pour Fermer automatiquement les éléments vulnérables périmés est (90 jours).

        Par exemple, si le champ jours plus tôt du formulaire Fermer automatiquement les éléments vulnérables périmés est 90 et que le champ Importer depuis de la page Intégration complète des éléments vulnérables Rapid7 - Configuration de l’API est vide, la première exécution de l’intégration importe les données des 90 derniers jours.

        Cette relation entre les champs Importer depuis et jours plus tôt s’applique uniquement à la première exécution d’intégration. Après cela, la modification du champ jours plus tôt du formulaire Fermer automatiquement les éléments vulnérables périmés n’affecte pas le champ Importer depuis de la page Intégration complète des éléments vulnérables Rapid7 - Configuration de l’API. Le champ est modifié sur l’heure de début de la première exécution afin que les exécutions d’intégration suivantes importent uniquement les informations de différentiel.

        Le champ Importer depuis est modifiable et vous pouvez saisir les valeurs que vous voulez pour chacune des intégrations.

7. Accédez à la Tous > sn_sec_int_impl.liste > Rapid7 InsightVM.
   1. Le paramètre d’instance d’intégration import_startime_buffer_comprehensive définit un délai tampon de 24 heures avant l’heure spécifiée dans le champ Importer depuis afin que les actifs analysés à partir de ce délai tampon soient récupérés pendant l’exécution de l’intégration complète des éléments vulnérables Rapid7 - intégration d’API .
      Vous pouvez modifier ce temps tampon en fonction de vos besoins.
   2. Facultatif : Définissez le paramètre close_stale_detections sur vrai pour fermer les détections périmées qui ne proviennent plus de l’API Rapid7 pour les actifs qui sont analysés et récupérés via l’API Rapid7 via l’intégration complète des éléments vulnérables - API Rapid7.

   Vous avez terminé les étapes d’installation, d’installation et de configuration du Intégration des vulnérabilités Rapid7. Vous êtes maintenant prêt(e) à examiner et à vérifier les données importées.

Que faire ensuite

Les Rapid7 scanners et Qualys sont désactivés par défaut dans l’application Réponse aux vulnérabilités . Si vous tentez d’effectuer une nouvelle analyse à partir des éléments vulnérables ou des tâches de rattrapage qui ont ces applications comme source, le bouton Analyser de nouveau n’est pas disponible.

Pour activer ces scanners, en tant qu’utilisateur disposant du rôle sn_vul.vulnerability_admin :

1. Accédez à la Tous > Réponse aux vulnérabilités > Analyse de la vulnérabilité > Scanners.
2. Recherchez le produit de scanner que vous souhaitez activer et cliquez sur l’enregistrement pour l’ouvrir.
3. Sélectionnez la case à cocher Activé.
4. Cliquez sur Mettre à jour.

   Le produit que vous avez activé s’affiche dans le champ Source sur les enregistrements d’élément vulnérable et de tâche de rattrapage après l’importation suivante, et Analyser à nouveau est disponible en tant qu’action d’interface utilisateur.

Si votre environnement nécessite des importations séparées par domaine, reportez-vous à la section Créer des importations séparées par domaine pour une intégration.

Pour créer ou affiner vos règles de recherche avant l’importation, reportez-vous à la section Créer une règle de recherche de CI de réponse aux vulnérabilités.