Referenz des Setup-Assistenten
Der Setup-Assistent führt Sie durch die Schritte, die Sie zum Einrichten von ausführen müssen Security Incident ResponseBasissystem. Dieser Abschnitt enthält zusätzliche Informationen zu den komplizierten Schritten, für die Sie möglicherweise weitere Erklärungen benötigen.
Erstellen Sie ein Security Incident ResponseProzessdefinition
Sie können eine Prozessdefinition erstellen, um zu definieren, wie Security Incidents von einem Status in den nächsten übergehen. Prozessdefinitionen geben Service Desks und Endanwendern die Möglichkeit, das Problem während seines gesamten Lebenszyklus nachzuverfolgen.
Vorbereitungen
Erforderliche Rolle: sn.si_admin
Prozedur
Verständnis der Prozessdefinition für die Reaktion auf Security Incidents
Security Incident Response Prozessdefinition Ersetzt Status-Flows und stellt Endanwendern und Service Desks den Status eines Problems zur Verfügung. Eine Prozessdefinition hilft, das Problem während seines Lebenszyklus nachzuverfolgen. Security Incident ResponseIst eine Service Management-Anwendung (SM), die über einen eigenen Satz von status verfügt. Ungültige status werden als Teil von gemeldet Prozessauswahl.
Prozessdefinition Für Die Reaktion Auf Security Incidents
| Status | Beschreibung |
|---|---|
| Entwurf | Der Anforderungsinitiator fügt Informationen zum Security Incident hinzu, kann jedoch noch nicht bearbeitet werden. |
| Analyse | Der Incident wurde zugewiesen, und das Problem wird analysiert. |
| Beinhalten | Das Problem wurde identifiziert, und das Sicherheitspersonal arbeitet daran, es einzudämmen und die Schadenskontrolle durchzuführen. Diese Aktionen können umfassen, dass Server offline geschaltet werden, Geräte vom Internet getrennt werden und überprüft wird, ob Sicherungen vorhanden sind. |
| Beseitigen | Das Problem wurde eingedämmt, und das Sicherheitspersonal ergreift Schritte, um das Problem zu beheben. |
| Wiederherstellen | Das Problem wurde gelöst, und die Betriebsbereitschaft der betroffenen Systeme wird überprüft. |
| Prüfung | Der Security Incident ist abgeschlossen, und alle Systeme funktionieren wieder normal. Eine Überprüfung nach dem Incident ist jedoch weiterhin erforderlich. |
| Geschlossen | Der Incident ist abgeschlossen, aber bevor ein Security Incident geschlossen werden kann, müssen Sie die Informationen auf eingeben Abschlussinformationen Registerkarte. |
Prozessdefinitionen für Security Incident-Aufgaben
Die folgenden Prozessdefinitionen werden für Security Incident-Aufgaben verwendet.
| Status | Beschreibung |
|---|---|
| Bereit | Die Aufgabe kann bearbeitet werden, nachdem sie einem Service Desk-Mitarbeiter zugewiesen wurde. |
| Zugewiesen | Die Aufgabe ist einem Service Desk-Mitarbeiter zugewiesen. |
| In Bearbeitung | Der zugewiesene Service Desk-Mitarbeiter arbeitet an der Aufgabe. |
| Abgeschlossen | Die Aufgabe ist abgeschlossen. |
| Abgebrochen | Die Aufgabe wurde abgebrochen. |
NIST unterstützt die folgenden beiden Modelle:
- NIST Stateful
Mit dieser Prozessdefinition können Analysten sequenziell von einem Status in einen anderen wechseln, ohne einen Schritt zu überspringen. Beispiel: Wenn der Analyst mit beginnt Entwurf status, dann ist die sequenzielle Reihenfolge dieser Prozessdefinition Entwurf > Analyse > Enthalten > Beseitigen > Wiederherstellen . Daher ist die Prozessdefinition „Stateful“ für NIST unidirektional und ermöglicht es Analysten nur, nur in den status „Forward“ zu gelangen.
Hier ist ein weiteres Beispiel: Wenn der Analyst mit dem Analysestatus beginnt, ist die sequenzielle Reihenfolge dieser Prozessdefinition Analyse > Enthalten > Beseitigen > Wiederherstellen .
- NIST offen
Mit dieser Prozessdefinition können Analysten von einem Status in einen anderen wechseln, entweder vorwärts oder rückwärts. Beispiel: Wenn der Analyst mit beginnt Analyse status, dann kann die Reihenfolge der Prozessdefinition entweder sein Analyse > Enthalten > Beseitigen > Wiederherstellen Oder Analyse > Entwurf . Daher ist die Prozessdefinition „NIST offen“ bidirektional und ermöglicht es Analysten, je nach ihren Anforderungen in den Vorwärts- oder rückwärtsstatus zu wechseln.
Auswahl Des Prozesses Für Die Reaktion Auf Security Incidents
Security Incident Response Prozessauswahl listet Prozesse mit ungültigen status für Security Incidents und Antwortaufgaben auf.
Ein Administrator kann den Incident oder die Aufgabe manuell oder mithilfe eines Skripts in gültige status korrigieren. Eine leere zugehörige Liste (keine Incidents, keine Aufgaben) gibt an, dass sich jede aktive Aufgabe in einem gültigen Status befindet. Verfügbare status variieren je nach aktuellem Status des Incidents. Weitere Informationen finden Sie unter Korrigieren Sie einen ungültigen Security Incident oder Aufgabenstatus mit der Prozessdefinition.
Wählen Sie ein aus Security Incident ResponseProzessdefinition
Sie können die Prozessdefinition auswählen, die für die entsprechenden status für Security Incidents und Antwortaufgaben Ihres Unternehmens verwendet werden soll.
Vorbereitungen
Warum und wann dieser Vorgang ausgeführt wird
Prozedur
-
Klicken Sie auf das Suchsymbol, um die verfügbaren Prozessdefinitionen aufzulisten.
Erstellen Sie einen anwenderdefinierten Security Incident ResponseSkripteinbindung für Prozessdefinition
Erstellen Sie ein anwenderdefiniertes Prozessdefinitionsskript für die entsprechenden status für Security Incidents und Antwortaufgaben Ihres Unternehmens.
Vorbereitungen
Warum und wann dieser Vorgang ausgeführt wird
Prozedur
-
Füllen Sie die Felder entsprechend aus.
Tabelle : 4. Prozessdefinitionen werden erstellt Feld Beschreibung Name Name dieser Skripteinbindung. API-Name Erstellt basierend auf dem Namen der Skripteinbindung. Vom Client aufrufbar Macht die Skripteinbindung für Client-Skripts, Listen- und Berichtsfilter, Referenzqualifizierer oder verfügbar , Wenn angegeben , Als Teil der URL. Anwendung Security Incident Zugänglich von Wählen Sie Aus Nur dieser Anwendungsbereich . Aktiv Wenn diese Option aktiviert ist, kann diese Skripteinbindung aus ausgewählt werden Prozessdefinition Seite. Beschreibung Hilfreiche Informationen zur Skripteinbindung. Skript Definiert das serverseitige Skript, das ausgeführt werden soll, wenn es von anderen Skripts aufgerufen wird. Das Skript muss eine einzelne JavaScript-Klasse oder eine globale Funktion definieren. Der Klassen- oder Funktionsname muss mit dem Namensfeld übereinstimmen.
Informationen zu Skriptinhalten finden Sie unter Skripteinbindung für Prozessdefinition.
Skripteinbindung für Prozessdefinition
Die Skripteinbindung „Prozessdefinition“ bietet Methoden zum Definieren einer Prozessdefinition.
Implementieren Sie die hier beschriebenen Konstanten, Attribute, Arrays und Methodenaufrufe, um eine Skripteinbindung für Prozessdefinitionen anzupassen.
Verwendungsort
Verwenden Sie diese Skripteinbindung, um eine Prozessdefinition zu erstellen.
Skripteinbindungstext
- Konstanten: Definitionen des Anfangsstatus
- Security Incidents und Antwortaufgabe: Prozessdefinitionsarrays
- Methodenaufrufe: Informationen werden abgerufen
Konstanten
Konstanten werden verwendet, um die anfangsstatus von Security Incidents und Antwortaufgaben zu definieren.
INITIAL_INCIDENT_STATE: 10,
INITIAL_TASK_STATE: 1,
Die später von den folgenden Methoden verwendet werden:
getInitialIncidentState: function() {
return this.INITIAL_INCIDENT_STATE;
},
getInitialTaskState: function() {
return this.INITIAL_TASK_STATE;
},Der nächste Satz von Konstanten definiert die status für Security Incidents und Antwortaufgaben.
Jedes Array enthält auch die Definition, welche status verfügbar sind, wenn sich der Incident oder die Aufgabe in einem bestimmten Status befindet.
TASK_STATES: [{state:1, label:"Draft", choice:[1, 10]},
{state:10, label:"Ready", choice:[10, 16]},
{state:16, label:"Assigned", choice:[16, 18]},
{state:18, label:"Work in Progress", choice:[18, 3]},
{state:3, label:"Close Complete", choice:[]},
{state:7, label:"Cancelled", choice:[]},
],Das Beispiel ist ein Array von Objekten. Jedes Objekt definiert einen Status und mögliche übergangsstatus.
Die Reihenfolge des Statusobjekts bestimmt die gewünschte Reihenfolge für den Flow.
Wenn sich die Aufgabe im Status „Entwurf“ (Wert 1) befindet, sind folgende status möglich: 1 (Entwurf, was keine Änderung ist) und 10 (bereit, der nächste Schritt im Prozess).
Es gibt keine Beschränkung für die Anzahl der Übergänge aus einem Status. Die Status „Abgeschlossen“ und „Abgebrochen“ sind endgültige status und haben daher keine möglichen Statusübergänge.
Die Reihenfolge der Attribute im Objekt ist nicht wichtig. Wenn die Definition klarer wird, setzen Sie zuerst die Bezeichnung.
Attribute
- status: Numerischer Wert des Status
- Bezeichnung: Visuell lesbarer Text, der dem Status zugeordnet ist
- Auswahl: Ein Array von Statuswerten, in die der Status übergehen kann (bestimmt den Inhalt der Dropdown-Liste „Status“)
- Obligatorisch: Liste der Feld-IDs, die in diesem Status obligatorisch werden
- Schreibgeschützt: Liste der Feld-IDs, die in diesem Status schreibgeschützt werden
- Sichtbar: Liste der Feld-IDs, die in diesem Status sichtbar werden
- Nicht obligatorisch: Liste der Feld-IDs, die in diesem Status nicht obligatorisch werden
- Nicht sichtbar: Liste der Feld-IDs, die in diesem Status nicht mehr sichtbar wären
Wenn optionale Attribute verwendet werden, liegt es in der Verantwortung des Autors sicherzustellen, dass Felder zwischen status sichtbar/unsichtbar, obligatorisch/nicht obligatorisch, sichtbar/ausgeblendet oder schreibgeschützt werden.
Wenn Sie beispielsweise ein Feld in einem Status ausblenden, wird es später nicht in einem anderen Status sichtbar, es sei denn, das Attribut „sichtbar“ wird verwendet.
Prozessflow-Definitions-Arrays
Um die Informationen zu definieren, die im Prozess-Flow-Formatierer (der Balken oben in den Formularen „Security Incidents“ und „Antwortaufgabe“) angezeigt werden, benötigt das System Informationen darüber, was für jeden Status angezeigt werden soll.
TASK_PF: [{label:"Draft", condition:"state=1^EQ", description:"<p>Security Incident Response Task is in draft</p>"},
{label:"Ready", condition:"state=10^EQ", description:"<p>Security Incident Response Task is ready to be assigned</p>"},
{label:"Assigned", condition:"state=16^EQ", description:"<p>Security Incident Response Task is assigned</p>"},
{label:"Work in Progress", condition:"state=18^EQ", description:"<p>Work has started on this Security Incident Response Task</p>"},
{label:"Closed", condition:"state=3^ORstate=4^ORstate=7^EQ", description:"<p>Security Incident Response Task is complete</p>"},
],Das Array „TASK_PF“ ist eine Sammlung von Bezeichnungen, Bedingungen und Beschreibungen, die verwendet werden, um den in der Prozessformatierer-Leiste angezeigten Text zu bestimmen (einschließlich Reihenfolge und Aktivität).
Im Beispiel ist der Text „bereit“ das zweite angezeigte Element. Sie wird hervorgehoben, wenn die Aufgabe die Bedingung „State=10^EQ“ erfüllt.
Wenn der Zeiger auf den Text zeigt, wird die Beschreibung „Aufgabe zur Reaktion auf Security Incidents ist bereit für Zuweisung“ angezeigt.
Status können zu einem einzelnen Formatierer-Status kombiniert werden.
Im Beispiel werden sowohl der status „Abgeschlossen“ als auch der status „Abgebrochen“ in der oberen Leiste als „Geschlossen“ angezeigt.
Methodenaufrufe
| Rückgabetyp | Methodenzusammenfassung | Beschreibung |
|---|---|---|
| Zeichenfolge | GetInitialIncidentState: Funktion() | Gibt den numerischen Wert des anfänglichen Incident-Status zurück |
| Zeichenfolge | GetInitialTaskState: Funktion(): | Geben Sie den numerischen Wert des ersten Aufgabenstatus zurück |
| Array von Zeichenfolge | GetIncidentStates: Funktion(): | Gibt das Array des Incident-Status zurück |
| Array von Zeichenfolge | GetTaskStates: Funktion(): | Gibt das Array des Aufgabenstatus zurück |
| Array von Objekten | GetIncidentProcessFlows: Funktion(): | Gibt das Array der Incident-Prozess-Flow-Definition zurück |
| Array von Objekten | GetTaskProcessFlows: Funktion(): | Gibt das Definitions-Array für den Aufgabenprozess zurück |
Der nächste Satz von Methoden wird immer aufgerufen, wenn ein Incident oder eine Aufgabe aktualisiert wird, und ermöglicht das Ausführen von Aktionen für bestimmte Change-Übergänge.
| Rückgabetyp | Methodenzusammenfassung | Beschreibung |
|---|---|---|
| Ungültig | PerformIncidentStateChange: Funktion (aktuell, zurück) | In den Beispielen wird diese Methode verwendet, um SM-bezogene Werte festzulegen und sicherzustellen, dass ein Incident von „Entwurf“ entfernt wird, sobald ihm jemand zugewiesen wurde. |
| Ungültig | PerformTaskStateChange: Funktion (aktuell, zurück) | Im Beispiel wird diese Methode verwendet, um Zeitstempel (bei Zuweisung und Schließung) zu aktualisieren und die Aufgabe von „bereit“ zu „zugewiesen“ zu ändern, sobald das Feld „assigned_to“ ausgefüllt ist. |
Korrigieren Sie einen ungültigen Security Incident oder Aufgabenstatus mit der Prozessdefinition
Ein Administrator kann den Security Incident oder die Aufgabe manuell oder mithilfe eines Skripts in einen gültigen status korrigieren. Verfügbare status variieren je nach aktuellem Status des Incidents.
Vorbereitungen
Warum und wann dieser Vorgang ausgeführt wird
Gehen Sie folgendermaßen vor, um status in einem Massenvorgang zu ändern:
Prozedur
-
Doppelt- Klicken Sie auf Status Wählen Sie im ersten Datensatz das neue aus Status, Und klicken Sie auf das grüne Häkchen (
), um den Change abzuschließen.
Erstellen Sie eine Security Incident-Gruppe
Richten Sie eine Security Incident-Gruppe ein, und weisen Sie der Gruppe die entsprechenden Rollen und Anwender zu.
Vorbereitungen
- Wenn Sie über die Rolle user_admin verfügen, können Sie Security Incident-Zuweisungsgruppen erstellen.
- Wenn Sie über die Rolle „sn_si.admin“ verfügen, können Sie Security Incident-Zuweisungsgruppen erstellen und bearbeiten.
Warum und wann dieser Vorgang ausgeführt wird
Es ist empfehlenswert, in Ihrer Organisation beliebig viele Gruppen zu erstellen. Es ist auch eine gute Praxis, eine Gruppe für Administratoren zu erstellen und nur dieser Gruppe die Administratorrolle zuzuweisen.
Prozedur
-
Stellen Sie sicher, dass Sie auswählen Security Incident Typ für diese Gruppe.
- Wenn Typ Feld ist nicht sichtbar. Konfigurieren Sie das Formular, um es hinzuzufügen.
- Klicken Sie auf das Schlosssymbol neben Typ Feld.
-
Klicken Sie auf das Referenzsuchsymbol (
)
- Suchen Sie nach, und wählen Sie aus Security Incident Typ.
Erstellen Sie eine Security Incident-Rechnergruppe
Security Incident-Rechnergruppen werden zum Gruppieren von Rechnern verwendet.
Vorbereitungen
Prozedur
Erstellen Sie einen Security Incident-Rechner
Mit Security Incident-Rechnern können Sie den Schweregrad eines Security Incidents basierend auf vordefinierten Formeln berechnen. Sie können nach Bedarf eigene Security Incident-Rechner definieren.
Vorbereitungen
Prozedur
Verstehen von Security Incident-Rechnern
Security Incident-Rechner werden verwendet, um Datensatzwerte zu aktualisieren, wenn vordefinierte Bedingungen erfüllt sind. Die Rechner werden basierend auf den Kriterien gruppiert, die verwendet werden, um zu bestimmen, wie die Datensätze aktualisiert werden.
Die Security Incident ResponseDas Basissystem enthält die folgenden Security Incident-Rechnergruppen und -Rechner. In jeder Gruppe wird der erste Rechner ausgeführt, der den Bedingungen entspricht.
| Gruppenname Des Security Incident-Rechners | In Gruppe enthaltene Rechner | Beschreibung |
|---|---|---|
| Geschäftsauswirkung | Aus Schweregradrechnern zusammenfassen | Dieser Rechner delegiert an den Sicherheitsrelevanzrechner, der die Relevanz durch Gewichtung der Werte anderer Felder bestimmt. |
| Schweregrad | Geschäft betroffen | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe eines einfachen Bedingungsgenerators. |
| Wichtiger Service betroffen | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe einer erweiterten Bedingung. Wenn das Konfigurationselement im Security Incident einem äußerst kritischen Business-Service zugeordnet ist, wird Risikopunktzahl , Geschäftsauswirkung , Und Priorität Felder werden wie vom Rechner definiert erhöht. |
|
| Kritische Serviceänderungen | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe einer erweiterten Bedingung. Wenn der Security Incident die Bedingungen erfüllt, wird ein Skript ausgeführt, um zu definieren, auf welche Ebenen die Felder erweitert werden. Wenn das Konfigurationselement im Security Incident einem kritischsten oder etwas kritischen Business-Service zugeordnet ist, wird Risikopunktzahl , Geschäftsauswirkung , Und Priorität Felder werden wie vom Rechner definiert erhöht. |
|
| Mehrere Angriffsvektoren | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe eines einfachen Bedingungsgenerators. Wenn das Konfigurationselement im Security Incident Web-, E-Mail- und Identitätswechsel-Angriffsvektoren zugeordnet ist Risikopunktzahl , Geschäftsauswirkung , Und Priorität Felder werden wie vom Rechner definiert erhöht. |
|
| Priorität mit Kategorie und Services festlegen | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe eines erweiterten Bedingungsgenerators. Die Priorität des Security Incidents ist auf festgelegt 1: Kritisch Wenn die folgenden Bedingungen erfüllt sind:
Hinweis: Dieser Rechner ist im Basissystem verfügbar, wenn Sie über die Preisstufe „Startersicherheitsvorgang“ verfügen. |
|
| Priorität für erkennbare Elemente festlegen | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe eines erweiterten Bedingungsgenerators. Die Priorität des Security Incidents ist auf festgelegt 1: Kritisch Wenn die folgenden Bedingungen erfüllt sind:
Hinweis: Dieser Rechner ist im Basissystem verfügbar, wenn Sie über die Preisstufe „Erweiterter Sicherheitsvorgang“ verfügen und das Plugin „Bedrohungsfeeds“ aktivieren. |
|
| Anwenderrelevanz | Anwenderrelevanz abrufen | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe eines einfachen Bedingungsgenerators. Dieser Schweregradrechner führt dazu, dass sich die Geschäftsrelevanz des Anwenders in ändert 1: Kritisch Wenn Abteilung Feld wird in geändert Finanzen . |
| Anwendergruppenrelevanz abrufen | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe eines erweiterten Bedingungsgenerators. Dieser Schweregradrechner bietet ein Beispiel für einen Rechner, der für Daten in einer zugehörigen Liste ausgeführt wird. |
Schweregradrechner
Wenn Sie einen Security Incident erstellen, wird Risikopunktzahl , Geschäftsauswirkung , Und Priorität Felder enthalten Standardwerte. Wenn Sie den Incident speichern, validiert eine Business-Regel die Informationen im Security Incident automatisch anhand von Bedingungen, die in jedem Ihrer aktiven Schweregradrechner definiert sind. Sie werden jeweils ein Sicherheitsrechner in der von definierten Reihenfolge validiert Reihenfolge Feld in jedem Rechner. Wenn die Informationen im Security Incident den in einem der Rechner definierten Bedingungen entsprechen, werden die Schweregradfeldwerte entsprechend den im Rechner festgelegten Regeln aktualisiert.
Nehmen Sie beispielsweise an, dass Sie einen Security Incident für ein betroffenes CI erstellen und das CI äußerst kritisch ist. Wenn der Security Incident gespeichert wird, werden die CI-Informationen mit den in den Schweregradrechnern definierten Bedingungen verglichen. Wenn der Security Incident anhand von validiert wird Kritischer Service betroffen Schweregradrechner, die Schweregradfelder werden automatisch aktualisiert, und oben im Security Incident wird eine Meldung ähnlich der folgenden angezeigt.
- [Angriffsvektor] [enthält] [Web]
- [Angriffsvektor] [enthält] [E-Mail]
- [Geschäftsbereich] [enthält] [Finanzen]
Sie können die Schweregradwerte in einem vorhandenen Security Incident auch jederzeit aktualisieren, indem Sie den Datensatz öffnen und auf klicken Schweregrad Berechnen Zugehöriger Link.
Risikopunktzahlrechner für Security Incidents
Die Legen Sie die Priorität mit Kategorie und Services fest Und Legen Sie die Priorität mit erkennbaren Elementen fest Rechner werden verwendet, um eine Risikopunktzahl für einen Security Incident zu berechnen.
Relevanzrechner für Anwender
Die beiden Rechner in Anwenderrelevanz Gruppe ( Anwenderrelevanz abrufen Und Anwendergruppenrelevanz abrufen ) Geben Sie Beispiele dafür an, wie Sie die Relevanz basierend auf Kriterien fördern können, die in einem Anwenderdatensatz definiert sind, oder basierend auf der Gruppe, zu der ein Anwender gehört.
Sie können nach Bedarf bearbeitet werden, oder neue Anwenderkritikalitätsrechner können erstellt werden.
Die Anwenderrelevanz abrufen Der Rechner bewirkt, dass sich die Geschäftsrelevanz des Anwenders in ändert 1: Kritisch Wenn Abteilung Feld wird in geändert Finanzen .
VAR CRITICAL_GROUPS = [group1_sys_ID, group2_sys_ID, group3_sys_ID] .Berechnungen der Risikopunktzahl für Security Incidents
Die Risikopunktzahl wird als arithmetisches Mittel berechnet, das das Risiko basierend auf der Priorität eines Security Incidents, der Art des Security Incidents (Denial of Service, Spear Phishing oder böswillige Codeaktivität) und der Anzahl der Quellen darstellt, die für einen Indikator eine fehlgeschlagene Reputationspunktzahl ausgelöst haben.
- Schweregrad berechnen
- Aktualisieren Sie die Risikopunktzahl
- SI-Risikopunktzahl aktualisieren
Beispiel: Wenn ein Security Incident einen hat Geschäftsauswirkung Auf festlegen 2 – Hoch Und A Priorität Auf festlegen 3 – Mittel , Die jeweiligen Gewichtungen in der Tabelle mit Risikopunktzahlgewichtungen werden gesucht und so berechnet:
Geschäftsauswirkung Des Security Incidents Mit einem Wert von 2 = eine Gewichtung von 60.
Priorität Von Security Incidents Mit einem Wert von 3 = eine Gewichtung von 40.
(60 + 40)/2 = eine Risikopunktzahl von 50.
Die Position des Security Incidents in der Security Incident-Liste wird dann basierend auf der aktualisierten Risikopunktzahl neu angeordnet.
- Geschäftsauswirkung Im Formular „Security Incident“
- Priorität Im Formular „Security Incident“
- Schweregrad Im Formular „Security Incident“ (standardmäßig ausgeblendet)
- Geschäftsauswirkung Auf Betroffene Anwender Zugehörige Liste
- Geschäftsauswirkung Auf Betroffene Services Zugehörige Liste
- Geschäftsauswirkung Auf Schwachstellen auf Angreifbare Elemente Zugehörige Liste
- Wenn eine Zuordnung zwischen betroffenen Anwendern und einem Security Incident erstellt oder geändert wird
- Wenn eine Zuordnung zwischen betroffenen Services und einem Security Incident erstellt oder geändert wird
- Wenn eine Zuordnung zwischen angreifbaren Elementen und einem Security Incident erstellt oder geändert wird
Arbeitsnotizen werden auch immer aktualisiert Aktualisieren Sie Alle Risikopunktzahlen Und Löschen Sie Alle Risikopunktzahlen Auf Gewichtungen Der Risikopunktzahl Formular angeklickt.
Verwalten Sie Risikopunktzahlgewichtungen
Die Gewichtungen der Risikopunktzahl, die zur Berechnung der Risikopunktzahlen in Security Incidents verwendet werden, können einzeln entfernt oder aktualisiert werden. Sie können auch für alle Security Incidents entfernt oder aktualisiert werden. Die Möglichkeit, sie aus Security Incidents zu entfernen, ist beim Ändern von Gewichtungswerten nützlich.
Vorbereitungen
Prozedur
Erstellen Sie ein Security Incident ResponseSLA
Sie können eine Servicelevel-Vereinbarung (SLA) für definieren Security Incident Response.
Vorbereitungen
Erforderliche Rolle: sn_si.admin
Prozedur
Reparieren Sie Security Incident-SLAs
Sie können SLA-Datensätze reparieren, um sicherzustellen, dass die Informationen zu SLA-Zeitpunkt und -Dauer korrekt sind.
Vorbereitungen
Prozedur
-
Klicken Sie auf das Kontextmenü des Formularheaders, und wählen Sie aus Reparieren Sie SLAs :
Erstellen Sie ein Runbook für die Reaktion auf Security Incidents
Ein Runbook ist eine Zuordnung zwischen einem veröffentlichten wissensartikel und einer bestimmten Aufgabe. Während Sie die Aufgabe ausführen, wird automatisch ein wissensartikel im Runbook geöffnet, der Informationen enthält, die für die Aufgabe relevant sind.
Vorbereitungen
Erforderliche Rolle: sn.si.Knowledge_admin
Warum und wann dieser Vorgang ausgeführt wird
Prozedur
Erstellen Sie Regeln, um von Anwendern gemeldete Phishing-Angriffe zu validieren
Wenn Ihre Mitarbeiter E-Mails erhalten, die Phishing-Angriffe zu sein scheinen, können sie sie Ihnen unter Verwendung einer Phishing-E-Mail-Adresse melden. Die verdächtige E-Mail wird anhand von Regeln validiert, die von Ihrer Organisation definiert wurden.
Vorbereitungen
- Definieren Sie eine E-Mail-Adresse wie acme+phishing@service-now.com . Die +Phishing Tag wird von SMTP unterstützt, um das Filtern zu ermöglichen, und Ihre Instanz kann E-Mails empfangen, die an sie gesendet werden.
- Definieren Sie eine E-Mail-Adresse, z. B. phishing@acme.com (Ihr Exchange-Postfach), das es wiederum an weiterleitet acme+phishing@service-now.com (Ihr Instanz-Postfach wurde durch eine E-Mail-Weiterleitungsregel definiert).
Erforderliche Rolle: sn_sec_cmn.write
Warum und wann dieser Vorgang ausgeführt wird
Wenn ein Mitarbeiter auf eine verdächtige E-Mail stößt, sollte er sie als Anhang an Ihre Phishing-E-Mail-Adresse weiterleiten. Wenn die angehängte E-Mail mit einer Regel übereinstimmt, die eine Bedrohung definiert, wird ein Security Incident erstellt.