TISCケースからのセキュリティインシデントの作成
セキュリティインシデントを作成し、 TISC ケースから観測事象をセキュリティインシデントに関連付けます。
始める前に
必要なロール:sn_si_basic
手順
- 移動先 すべて > ワークスペース > 脅威インテリジェンスセキュリティセンター.
- [脅威アナリストワークベンチ (Threat Analyst Workbench)] アイコンをクリックします。
-
検索項目 ケース管理 > すべてのケース.
すべてのケースが表示されます。
- 任意のケースをオープンします。
-
[ セキュリティインシデントを作成] ボタンをクリックします。
注:ケース管理ワークベンチでは、[セキュリティインシデントを作成] ボタンは、オープンケースレコードに対してのみ有効になり、クローズ済みケースレコードに対して無効になります。[セキュリティインシデントを作成] ダイアログボックスが表示されます。
-
インシデントの適切な詳細をフォームに入力します。
表 : 1. 詳細を追加 フィールド 説明 簡単な説明 セキュリティインシデントの簡単な説明を入力します。 説明 セキュリティインシデントの説明を入力します。 カテゴリ セキュリティインシデントの分類を定義します。 優先度 セキュリティインシデントの優先度を定義します。 サブカテゴリ カテゴリに基づいてセキュリティインシデントのサブ分類を定義します。 アサイン先グループ セキュリティインシデントをアサインするアサイン先グループを指定します。 親 このアクションがトリガーされる TISC ケースである親セキュリティインシデントを示します。 -
[次へ] をクリックして続行します。
注:すべての必須フィールドに入力する必要があります。すべての必須フィールドに入力するまで [次へ ] ボタンは無効のままになります。
- TISCケースに関連付けられた観測事象を選択してセキュリティインシデントにリンクし、[次へ] をクリックして続行します
-
新しく作成されたセキュリティインシデントに関連付けられるセキュリティインシデントの詳細と観測事象を確認し、[ 作成 ] をクリックして続行し、セキュリティインシデントを作成します。
注:セキュリティインシデントが作成されたことを示す確認メッセージと、セキュリティインシデントへのリンクが表示されます。リンクをクリックすると、 セキュリティインシデントレスポンスワークスペース内のセキュリティインシデントに移動します。セキュリティインシデントが作成されると、ケースの TISC [アーティファクト ] タブにリダイレクトされます。
-
[TISC アーティファクト] タブの [セキュリティインシデント] セクションに移動して、インシデントを表示します。
注:TISCケースアクティビティストリームには、TISC観測事象に関連付けられたセキュリティインシデント (セキュリティインシデント番号) が作成されたことを示す作業メモも投稿されます。この作業メモには、観測事象タイプや観測事象値などの詳細が含まれます。
セキュリティインシデントレスポンスワークスペースセキュリティインシデントフォームで、次の操作を行います。
- セキュリティインシデントが TISC ケースから正常に作成されたことを示す作業メモがアクティビティストリームに投稿されます。この作業メモには、選択した観測事象がセキュリティインシデントに関連付けられていることを確認する TISC ケースへのリンクも含まれています。
- さらに、セキュリティインシデントレスポンスワークスペースの [関連レコード] タブにアクセスし、[観測事象] エントリを確認して確認することもできます。 Threat Intel > 関連する観察事項. そこから、[ TISC コンテキスト ] セクションで関連する観測事象を表示することもできます。これらの観測事象が TISCから直接関連付けられていることに気付くかもしれません。