Créer une règle de recherche de CI de Vulnerability Response

Le module Règles de recherche de CI contient des règles qui sont utilisées pour trouver l’enregistrement correspondant aux informations sur l’hôte reçues lors des importations d’intégration de vulnérabilité tierces. Les informations sur l’hôte sont mises en correspondance avec les éléments détectés, les classes d’éléments de configuration sans correspondance et le Base de données de gestion des configurations (CMDB)fichier .

Avant de commencer

Des rôles de profil et granulaires sont disponibles pour vous aider à gérer ce que les utilisateurs et les groupes peuvent voir et faire dans l’application Réponse aux vulnérabilités . Pour une affectation initiale des rôles de profil dans l’Assistant de configuration, reportez-vous à la section Affecter les rôles de profil à l’aide de l’Assistant Réponse aux vulnérabilités de configuration. Pour en savoir plus sur la gestion des rôles granulaires, reportez-vous à Gérer les profils et les rôles granulaires pour Réponse aux vulnérabilités.

Rôle requis : sn_vul.vulnerability_admin

Pourquoi et quand exécuter cette tâche

La création de règles de recherche de CI nécessite un niveau avancé ServiceNow et Réponse aux vulnérabilités une expertise. Plutôt que de modifier l’une des règles de recherche existantes, envisagez de la copier et de modifier la copie. Lorsque vous êtes convaincu que la nouvelle règle fait ce que vous voulez, désactivez l’originale.

Remarque :

Les règles, une fois supprimées, ne peuvent pas être récupérées. Plutôt que de supprimer les règles existantes, désactivez-les lorsque vous en créez de nouvelles.

Procédure

1. Accédez à la Tout > Security Operations > CMDB > Règles de recherche de CI.
2. Cliquez sur Nouveau.
3. Renseignez les champs du formulaire.

   Tableau 1. Formulaire Règle de recherche de CI

   Champ	Description
   Nom	Nom de la règle.
   Méthode de recherche	Méthode utilisée pour la correspondance. Les choix possibles sont les suivants : Script : Script prédéfini (adresse IP, nom DNS, etc.) ou personnalisé. Correspondance de champ : recherche sur une table ou un champ dans la CMDB.
   Type	Type utilisé avec la méthode Recherche de script.
   Ordre	Ordre de priorité de la règle. Les règles dont l’ordre est le plus bas sont évaluées en premier.
   Actif	Cochez la case pour indiquer si la règle est active ou désactivée.
   Source	Source utilisée comme entrée dans cette règle.
   Champ source	Champ source utilisé comme entrée à cette règle. Sélectionnez n’importe quel champ, mais il est traité comme une valeur de chaîne.
   Condition	Condition d’application de la règle de recherche de CI. Cette condition dépend de l’attribut de l’analyseur tiers. Remarque : L’attribut d’actif fait partie de la charge utile. Elle provient de l’analyseur tiers. Consultez la table Éléments détectés pour des exemples de charge utile.
   Script	Un exemple de script modifiable, basé sur le type, est affiché. Implémentez le script personnalisé en fonction des commentaires inclus dans le modèle de la fonction par défaut. Remarque : La fonction process comporte trois paramètres : rule, sourceValueet sourcePayload
   Rechercher sur la table	Table à rechercher dans la CMDB. Utilisé avec la méthode de recherche de correspondance de champ.
   Rechercher sur le champ	Champ qui contient des informations pouvant être utilisées pour localiser un CI. Utilisé avec la méthode de recherche de correspondance de champ. Ce champ peut se trouver sur l’enregistrement CI ou sur un enregistrement connexe, tel qu’une carte réseau.

4. Cliquez sur Envoyer.

   Pour plus d’informations sur l’implémentation des règles de recherche de CI, reportez-vous à la section Étapes pour empêcher les enregistrements en double ou orphelins après l’exécution de Réponse aux vulnérabilités règles de recherche de CI.

   Figure 1. Exemple d’une règle de recherche de CI utilisant un générateur de conditions pour V12.0

   

   Figure 2. Exemple d’une règle de recherche de CI utilisant un script antérieur à V12.0

   

• Ignorer les classes CI
  Pour ignorer certaines classes d’éléments de configuration (CI), par exemple Équilibreur de charge [cmdb_ci_lb), lors de l’exécution de règles de recherche de CI, définissez la propriété système ignoreCIClass [sn_sec_cmn.ignoreCIClass].
• Filtrer les CI désactivés
  Filtrez les éléments de configuration (CI) mis hors service lors de l’exécution des règles de recherche de CI. Pour filtrer les CI mis hors service lors de l’exécution des règles de recherche de CI Security Operations CMDB, définissez la propriété système filterOutDecommissionedCI [sn_sec_cmn.filterOutDecommissionedCI] sur vrai.
• Promouvoir automatiquement les CI
  Modifiez la chaîne JSON dans la propriété système autoPromoteFields [sn_sec_cmn.autoPromoteFields] afin que vos règles de recherche d’éléments de configuration (CI) promeuvent automatiquement tous les CI CMDB Security Operations en entrées correspondantes dans la table [cmdb_ci].

Référence associée

• Réponse aux vulnérabilités Champs du formulaire d’élément vulnérable