セキュリティポスチャコントロール アプリケーションで独自のポリシーを作成
独自のカスタムポリシーを作成して、環境内の資産固有のデータを監視することができます。これらのポリシーは、インストールしてアクティブ化したさまざまなサービスグラフコネクタからのインポートデータをベースにして作成することができます。
はじめに
既存のポリシーをクローン作成してさらに条件を追加するか、ポリシーを最初から作成することができます。カスタムポリシーには、さまざまなサービスグラフコネクタによって入力される共通の CMDB プロパティの基準を含めることができます。
また、ベースポリシーを足掛かりにして、承認済みの例外の条件を [ガバナンス、リスク、コンプライアンス (GRC)] アプリケーションなどのポリシーに含めることもできます。これらの例外は、監視を行わないものの、資産として計上される資産に適用されます。
カスタムポリシーには、たとえば古いソフトウェアで資産を監視するために、OS、OS バージョン、FQDN などのメタデータの条件を含めることができます。これらのプロパティは、任意の資産のさまざまなサービスグラフコネクタによって入力される共通の CMDB プロパティであることに注意してください。
ポリシーのポリシー条件ビルダーにおけるトップレベルの資産タイプやその関係の詳細については、セキュリティポスチャコントロール アプリケーションに含まれているポリシー を参照してください。
ポリシーの例については、「セキュリティポスチャコントロール における基本ポリシー、子ポリシー、クローンポリシーの例」を参照してください。
ポリシーの作成に必要な手順の詳細については、「セキュリティポスチャコントロール のカスタムポリシーを作成してアクティブ化」を参照してください。
条件ビルダーで AND / OR のデコレータを使用する
ワークスペースのポリシーおよび検索結果モジュールにある条件ビルダーを使用すると、ハードウェアやソフトウェアのトップレベルの資産タイプからセカンダリエンティティまで移動することができます。選択内容に応じてフィールドが表示され、クライテリアを変更または追加することができます。
条件ビルダーの AND、OR デコレータを使用すると、ポリシーに対して返されるデータのロジックを設定できます。
| デコレータ | 説明 | 画像で参照されている番号 |
|---|---|---|
| 新規の条件セットは、最上部の [接続] フィールドや [エンティティ] フィールドの横にある [AND] を選択します。 | 論理 AND を「接続 - エンティティ」のクライテリアと、別の「接続 - エンティティ」の新たなクライテリア間に追加します。 | 1 |
| 新規のクライテリアやプロパティ条件のセットは [クライテリア] または [プロパティ] フィールドの右側にある [AND] を選択します。 | 論理 AND を「接続 - エンティティ」のクライテリアと、同じ「接続 - エンティティ」の新たなクライテリア間に追加します。 | 2 |
| 新規のプロパティ条件のセットは [プロパティ] フィールドの右側にある [OR] / [AND] を選択します。 | 論理 OR/AND を現行のプロパティと、同じ「接続 - エンティティ - クライテリア」の新たなプロパティ間に追加します。 | 3 |
| 新規の条件セットは、[+ 新規の条件セット (+ New condition set)] を選択します。 | 論理 OR を、現行のすべてのクライテリアにおける条件セットと新たな条件セット間に追加します。 | 4 |
基本ポリシー、クローン作成、子ポリシーの使用
- ポリシーのクローン作成：ポリシーのコピーを作成します。ポリシー名や条件と併せて「copy」の文字がタイトルに表示されます。条件が表示され、編集することができます。「セキュリティポスチャコントロール でアクティブ化されたポリシーを編集する」を参照してください。
- 子ポリシーの作成：元のポリシーの名前が「基本ポリシー」として新しいレコードに表示されます。基本ポリシーの条件は新しいポリシーに継承され、新規の条件セットが空白の状態で表示されます。「セキュリティポスチャコントロールでポリシーのクローンを作成するか、子ポリシーを作成する」を参照してください。
- 除外ポリシー：カスタムポリシーにポリシーを追加して、選択したポリシーで資産が見つかっても、これらが結果に含まれないようにします。「セキュリティポスチャコントロール のカスタムポリシーを作成してアクティブ化」を参照してください。
メタデータと CMDB フィルタリング
- RAM
- ホスト名
- シリアル番号
- OS ドメイン
- OS バージョン
- ディスクスペース
- 最終確認日
- OS
- 初回確認日
- CPU カウント
- MAC メーカー
- NIC
- IP アドレス
- 場所
- FQDN
- ネットマスク
- IP バージョン
- シリアル番号タイプ
- OS サービスパック
セキュリティポスチャコントロール v3.0 以降：
「CMDB メタデータあり」の接続では、ホスト名のプロパティを追加し、matches regex 演算子を使用することで、ハードウェア資産タイプの条件に正規表現を入力することができます。たとえば、「lp」と入力すると、ホスト名の 2 文字目と 3 文字目が「lp」となるノート PC をすべて検索することができます。
「初回確認」：任意のソースで、「初回確認」のタイムスタンププロパティで選択した期間内で初めて検出された資産。
「最終確認」：任意のソースで「過去 n 日以内で最後に確認された」資産。[値] には 30 までの日数を入力します。たとえば、過去 3 日間において Active Directory からの「最終ログオン」で資産を監視する場合、[値] には 3 を入力します。
ソフトウェア資産タイプ：「ソフトウェア詳細情報あり」の接続から開始する場合、ソフトウェア公開者を検索するか、インストール済みの SGC を使用して必要なソフトウェアデータやメタデータをインポートします。
ハードウェア資産タイプにおいて、デバイスが特定のモデルやモデル情報に基づく場合、「モデル情報あり」の接続と「CMDB メタデータあり」の接続を併用することができます。
また、Qualys などのソースで報告されている資産のうち、ServiceNow ITOM ディスカバリーで報告されていない資産をすべて検索することもできます。
セキュリティポスチャコントロール ポリシースキーマの詳細については、セキュリティポスチャコントロール のポリシー を参照してください。
ガバナンス、リスク、コンプライアンス (GRC) アプリケーションでの例外
Integrated Risk Management (IRM) 例外は、ガバナンス、リスク、コンプライアンス (GRC) 製品での承認された例外を含む資産です。ポリシーには、例外の条件を追加して、これらの資産を監視してカウントに含めないようにするオプションがあります。
たとえば、一部の資産には、IRM での特定のコントロール目標に対する承認された例外がある場合があります。返される一致を減らすために、情報セキュリティチームは、既に承認されている IRM 例外があるセキュリティコントロールの監視からこれらの資産を除外できます。