보안 인시던트 응답와 함께 설치되는 구성요소

  • 릴리스 버전: Zurich
  • 업데이트 날짜 2025년 07월 31일
  • 소요 시간: 15분

    • 애플리케이션을 다운로드하고 활성화하면 보안 인시던트 응답 사용자 역할, 테이블, 속성, 예약된 작업을 포함한 여러 유형의 구성요소가 설치됩니다.

    주:
    애플리케이션 파일 테이블에는 이 애플리케이션과 함께 설치되는 구성요소가 나열됩니다. 이 테이블에 액세스하는 방법에 대한 지침은 애플리케이션과 함께 설치되는 구성요소 찾기를 참조하십시오.

    이 기능에 대한 데모 데이터를 사용할 수 있습니다.

    설치되는 속성

    시스템 관리자 [admin] 역할을 가진 사용자는 속성을 볼 수 있습니다. 보안 관리자 [sn_si.admin] 역할이 있는 사용자는 이를 수정할 수 있습니다.

    속성 사용량
    작업 공간 내의 관계 그래프 탭에 표시되는 기본 범주 노드입니다. 기본값은 관련 기록에 해당하는 테이블 이름을 나타냅니다.

    sn_si_aw.defaultCategories
    • 유형: 문자열
    • 기본값: sn_ti_m2m_task_observables,sn_si_m2m_task_affected_user,sn_si_incident
    일정이 설정되지 않은 경우 모든 에이전트에 대한 기본 시작 시간(08:00 형식)

    sn_si.default.start.time
    • 유형: 문자열
    • 기본값: 08:00
    • 위치: 보안 인시던트 > 관리 > 속성
    일정이 설정되지 않은 경우 모든 에이전트에 대한 기본 종료 시간(17:00 형식)

    sn_si.default.end.time
    • 유형: 문자열
    • 기본값: 17:00
    • 위치: 보안 인시던트 > 관리 > 속성
    다른 컨텍스트 유형 옵저버블과 함께 대상 유형 옵저버블을 보안 인시던트 사용자 및 CI 관계에 포함

    sn_si.link_dest_ip

    		 컨텍스트 유형이 대상인 보안 인시던트 옵저버블을 구성 항목 또는 영향을 받는 사용자 탭 아래에 표시할지 여부를 결정합니다. 기본적으로 대상 컨텍스트 유형의 옵저버블은 제외됩니다. 옵저버블을 포함하려면 Yes(예)를 선택합니다.
    보안 인시던트에서 문제 또는 변경 요청을 생성할 때 사용자 지정 허용

    sn_si.팝업

    문제나 변경이 생성되면 이 속성은 요청을 수정하기 위한 팝업 창을 엽니다.

    이 속성이 false로 설정되면 문제 또는 변경 요청의 우선순위, 짧은 설명 및 설명이 보안 인시던트와 동일하며 해당 필드를 추가하거나 편집할 수 있는 옵션이 없습니다.

    • 유형: true | false
    • 기본값: True
    • 위치: 보안 인시던트 > 관리 > 속성
    사이팅 검색 결과를 CMDB의 CI와 연결합니다.

    sn_si.associate_ci_with_sighting_search

    		 true로 설정하면 사이팅 검색 결과에 CMDB에 있는 관련 구성 항목이 포함됩니다.
    • 유형: true | false
    • 기본값: True
    • 위치: 보안 인시던트 > 관리 > 속성
    범위의 위험 점수가 0-49 형식으로 녹색으로 강조 표시됩니다.

    sn_si.risk.score.green

    		 보안 인시던트 목록에서 위험 점수가 0에서 49 사이인 보안 인시던트에는 녹색 점이 표시됩니다.
    범위의 위험 점수가 50-79 형식으로 주황색으로 강조 표시됩니다.

    sn_si.risk.score.orange

    		 보안 인시던트 목록에서 위험 점수가 50에서 79 사이인 보안 인시던트에는 주황색 점이 표시됩니다.
    범위의 위험 점수가 80-100 형식으로 빨간색으로 강조 표시됩니다.

    sn_si.risk.score.red

    		 보안 인시던트 목록에서 위험 점수가 80에서 100 사이인 보안 인시던트에는 빨간색 점이 표시됩니다.
    이 매개변수는 이 기능을 구현한 사이팅 검색 구성을 활성화하거나 비활성화합니다.

    sn_si.enable_sighting_search

    		 true로 설정하면 활성화된 통합에서 사이팅 검색을 수행할 수 있습니다.
    • 유형: true | false
    • 기본값: True
    • 위치: 보안 인시던트 > 관리 > 속성
    사이팅 검색이 수행될 때 저장되는 원시 데이터의 행 수입니다. 범위 0-100

    sn_si.sighting_search_raw_data_rows

    		 이 속성은 기본적으로 원시 데이터의 50개 행으로 설정됩니다. 결과 행의 절반은 검색 시간 범위의 시작부터, 나머지 절반은 검색 시간 범위의 끝에서 보고됩니다. 따라서 50개의 행을 선택하면 25개는 검색 시간 범위의 시작부터, 25개는 검색 시간 범위의 끝에서 가져옵니다.
    응답 작업이 진행 중으로 진행되면 인시던트 상태를 포함으로 자동 진행

    sn_si.롤업_작업_상태

    		 플로우 또는 워크플로우를 사용하는 동안 이 속성을 false로 설정하는 것이 좋습니다. 이렇게 하면 플로우 또는 워크플로우 내에서 인시던트 상태를 제어할 수 있습니다. 또한 한 인시던트 상태에서 다른 인시던트 상태로 전환하는 동안 발생할 수 있는 상충을 방지할 수 있습니다.
    • 유형: true | false
    • 기본값: True
    • 위치: 보안 인시던트 > 관리 > 속성
    보안 인시던트 응답에 대한 할당 속성
    위치 가중치

    sn_si.위치.무게

    		 보안 분석가를 자동으로 할당하는 데 사용할 기준을 계산할 때 사용되는 등급입니다. 예를 들어 작업에 위치를 고려하면 위치 가중치 값이 보안 분석가 등급에 추가됩니다.
    • 유형: 정수
    • 기본값: 10
    • 위치: 보안 인시던트 > 관리 > 속성
    기술 가중치

    sn_si.기술.가중치

    		 보안 분석가를 자동으로 할당하는 데 사용할 기준을 계산할 때 사용되는 등급입니다. 예를 들어 작업에 대해 기술을 고려하는 경우 기술 가중치 값이 보안 분석가 등급에 추가됩니다.
    • 유형: 정수
    • 기본값: 10
    • 위치: 보안 인시던트 > 관리 > 속성
    자동 할당에서 한 번에 처리할 보안 분석가의 최대 수 설정

    sn_si.max.agents.processed

    		 이 시스템의 절대 보안 분석가 수는 300명입니다. 300 초과를 지정하면 값이 해당 수준으로 설정됩니다. 시스템은 구성된 값보다 많은 보안 분석가가 포함된 디스패치 그룹에 대한 작업을 자동 디스패치할 수 없습니다.
    • 유형: 정수
    • 기본값: 100
    • 위치: 보안 인시던트 > 관리 > 속성
    시간대 가중치

    sn_si.timezone.weight

    		 보안 분석가를 자동으로 할당하는 데 사용할 기준을 계산할 때 사용되는 등급입니다. 예를 들어 작업에 보안 분석가 시간대를 고려하면 시간대 가중치 값이 보안 분석가 등급에 추가됩니다.
    • 유형: 정수
    • 기본값: 10
    • 위치: 보안 인시던트 > 관리 > 속성
    작업 종료 및 다음 이동 시작 사이에 추가하는 시간입니다(단위: 분).

    sn_si.작업.간격

    		 유효한 시간 값의 예는 10입니다.
    • 유형: 정수
    • 기본값: 0
    • 위치: 보안 인시던트 > 관리 > 속성
    컨텐츠를 HTML로 렌더링하는 코드 태그를 포함하는 지정된 저널 필드입니다.

    sn_si.journal_field.html_enabled
    • 유형: 문자열
    • 기본값: work_notes, 설명
    • 위치: 보안 인시던트 > 관리 > 속성
    백그라운드에서 영향을 받는 서비스를 계산합니다.

    sn_si.refresh_impacted.event

    		 영향을 받는 서비스/영향을 받는 CI 관련 목록은 이벤트를 통해 생성됩니다. 이 옵션을 사용하면 새로 고침이 백그라운드에서 실행되고 인시던트에 보안 태그가 추가됩니다.

    백그라운드에서 작업을 수행하려면 값을 true 로 설정합니다.

    • 유형: true | false
    • 기본값: false
    • 위치: 보안 인시던트 > 관리 > 속성
    미리 계산된 데이터에서 중요한 서비스를 검색합니다.

    sn_si.critical_service.calculator.use_cache

    중요한 서비스 계산기에서 구성 항목의 미리 계산된 데이터를 사용할 수 있도록 합니다.

    미리 계산된 데이터에서 조회하려면 값을 예 로 설정합니다.

    • 유형: true | false
    • 기본값: false
    • 위치: 보안 인시던트 > 관리 > 속성

    설치되는 역할

    역할 이름 [name] 설명 포함하는 역할
    보안 인시던트 관리자

    [sn_si.admin]

    		 모든 보안 인시던트 응답 데이터에 대한 완전한 제어. 또한 필요에 따라 영역과 기술을 관리합니다.
    주:
    기본 시스템에서 관리자는 sn_si.admin에 대한 액세스 권한도 갖습니다. 보안 인시던트 응답 한 명 이상의 다른 사용자에게 보안 관리자 역할이 할당되어 있는 한 관리자로부터 제한할 수 있습니다.
    • assessment_admin
    • catalog_admin
    • decision_table_admin
    • decision_table_reader
    • filter_admin
    • flow_designer
    • pd_author
    • pd_content_author
    • pd_operator
    • skill_admin
    • skill_model_admin
    • sn_si.analyst
    • sn_si.ingestion_profile_admin
    • sn_si.knowledge_admin
    • sn_si.manager
    • sn_sec_cmn.admin
    • sn_si.restriction_access_manager
    • sn_si.special_access_read_manager
    • sn_si.special_access_write_manager
    • sn_ti.malicious_attachment_access
    • sn_ti.observable.admin
    • tags_admin
    • template_admin
    • territory_admin
    • treemap_admin
    • user_admin
    프로파일 관리자

    [sn_si.ingestion_profile_admin]

    		 플러그인을 구성하고 Splunk, Splunk ES 및 보안 운영용 Azure Sentinel 통합 애플리케이션에 대한 프로파일을 생성, 편집, 삭제 및 관리합니다.
    주:
    sn_si.admin 역할은 기본적으로 필수 권한을 상속하므로 sn_si.admin 역할을 가진 사용자는 프로필 관리자가 사용할 수 있는 모든 작업을 수행할 수 있습니다.

    sn_si.ingestion_profile_admin 역할은 sn_si.admin이 사용자에게 할당할 수 있습니다.

    		 해당 사항 없음
    보안 인시던트 분석가

    [sn_si.분석가]

    		 보안 인시던트를 관리합니다. 기본 보안 액세스에 대한 기본 역할입니다. 이 역할을 가진 사용자는 보안 인시던트, 요청 및 작업은 물론 인시던트와 관련된 문제, 변경 및 중단을 생성하고 업데이트할 수 있습니다.
    • pd_operator
    • snc_platform_rest_api_access
    • sn_msi.promoter
    • sn_msi.제안자
    • sn_si.basic
    • sn_ti.malicious_attachment_access
    보안 인시던트 기본

    [sn_si.기본]

    		 기본 보안 액세스에 대한 기본 역할입니다. 이 역할을 가진 사용자는 보안 인시던트, 요청 및 작업은 물론 인시던트와 관련된 문제, 변경 및 중단을 생성하고 업데이트할 수 있습니다.
    • canvas_user
    • document_management_user
    • email_composer
    • flow_operator
    • inventory_user
    • pa_viewer
    • service_fullfiller
    • skill_user
    • sn_sec_cmn.쓰기
    • sn_si.read
    • sn_ti.observable.read
    • sn_ti.observable.write
    • sn_ti.읽기
    • task_activity_writer
    • task_editor
    • treemap_user
    CISO(최고 정보 보안 책임자)

    [sn_si.ciso]

    		 CISO 대시보드를 보고 조작합니다. 또한 플러그인이 취약성 대응 활성화된 경우 이 역할을 가진 사용자는 대시보드에 취약성 유의성 정의 트리맵을 추가할 수 있습니다. 플러그인으로도 보안 인시던트 응답 동일한 작업을 수행할 수 있습니다.
    • pa_viewer
    • sn_si.basic
    • sn_si.read
    보안 인시던트 외부

    [sn_si.외부]

    		 특정 그룹에 속한 모든 보안 인시던트를 봅니다.
    주:
    다음 두 규칙은 범위가 지정된 관리자 또는 범위 지정 앱에 관계없이 적용할 ServiceNow 수 있습니다.
    • 그룹에 사용자를 추가하면 해당 그룹에도 역할이 할당됩니다. 마찬가지로 그룹에서 사용자를 제거하면 상속된 역할도 제거됩니다.
    • 모든 역할은 우선순위가 더 높은 역할에 의해 할당될 수 있습니다.
    		 service_fulfiller
    보안 인시던트 통합 사용자

    [sn_si.integration_user]

    		 외부 도구는 새로운 보안 인시던트 기록을 제공하고 보안 인시던트 기록을 업데이트할 수 있습니다. import_transformer
    보안 인시던트 지식 관리자

    [sn_si.knowledge_admin]

    		 보안 인시던트 지식베이스에서 정보를 관리, 업데이트 및 삭제합니다.
    • knowledge_admin
    • sn_si.read
    보안 인시던트 관리자

    [sn_si.관리자]

    		 보안 분석가와 동일한 액세스 권한입니다.
    • pd_author
    • pd_operator
    • sn_si.basic
    보안 인시던트 읽기

    [sn_si.읽기]

    		 보안 인시던트를 읽습니다.
    • canvas_user
    • sn_sec_cmn.읽기
    • sn_templated_snip.template_snippet_reader
    • sn_ti.observable.read
    • workspace_user
    보안 제한 액세스 관리자 [sn_si.restriction_access_manager] 사용자 또는 그룹이 보안 인시던트에 '제한 적용'을 할 수 있습니다. 이는 필드 변경에만 적용됩니다. 해당 사항 없음
    보안 인시던트 특별 액세스

    sn_si.special_access

    		 보안 운영 조직 외부의 사용자에게 특정 보안 인시던트에 대한 액세스를 제공합니다. 해당 사항 없음
    보안 특수 액세스 인에이블러 [sn_si.special_access_enabler] 보안 운영 조직 외부의 사용자에게 특정 보안 인시던트에 대한 특별 액세스 역할을 제공합니다. 해당 사항 없음
    보안 인시던트 특수 액세스 읽기 관리자 [sn_si.special_access_read_manager] 보안 인시던트 특수 액세스 [sn_si.special_access] 역할을 관리합니다. 이 역할을 사용하여 보안 인시던트 양식의 읽기 액세스 필드를 수정합니다. 이 역할은 sn_si.admin에 의해 할당됩니다. sn_si.special_access_enabler
    보안 인시던트 특수 액세스 작성자 관리자 [sn_si.special_access_write_manager] 보안 인시던트 특수 액세스 [sn_si.special_access] 역할을 관리합니다. 이 역할을 사용하여 보안 인시던트 양식의 권한 있는 액세스 필드를 수정합니다. 이 역할은 sn_si.admin에 의해 할당됩니다. sn_si.special_access_enabler

    설치되는 예약된 작업

    예약된 작업 설명
    보안 인시던트 옵저버블 조회 사용자 정의 일정에 따라 옵저버블 조회를 수행합니다.

    설치되는 테이블

    테이블 설명
    뉴스 피드 구성

    [sn_si_feed_configuration]

    		 보안 인시던트 뉴스 피드에 표시되는 콘텐츠를 정의하는 데 사용되는 구성 기록입니다.
    사후 인시던트 검토 할당 규칙

    [sn_si_pir_condition]

    		 보안 인시던트가 종결되면 사후 인시던트 검토 설문 조사 참가자 선택을 자동화합니다.
    보안 인시던트

    [sn_si_incident]

    		 보안 인시던트, 인시던트에 대한 응답, 연결된 모든 작업, 변경 사항, 문제 및 이 보안 인시던트와 관련된 인시던트를 저장합니다.
    보안 인시던트 공격 벡터

    [sn_si_attack_vector]

    		 공격 벡터 옵션.
    보안 인시던트 감사 로그

    [sn_si_audit_log]

    		 보안 인시던트 보강 감사 로그를 저장합니다.
    보안 인시던트 계산기

    [sn_si_calculator]

    		 특정 조건이 충족될 때 특정 보안 인시던트 필드를 설정하는 계산기입니다.
    보안 인시던트 계산기 그룹

    [sn_si_calculator_group]

    		 보안 인시던트 계산기 그룹입니다. 계산기 그룹의 순서에 따라 가장 먼저 평가되는 그룹이 결정되며, 각 그룹에서 최대 하나의 계산기가 사용됩니다.
    보안 인시던트 보강 방화벽

    [sn_si_enrichment_firewall]

    		 기본 테이블(sn_sec_cmn_enrichment_data_base)에서 확장되며 Palo Alto Networks 방화벽과 관련된 모든 보강 기록을 포함합니다.
    보안 인시던트 보강 맬웨어 결과

    [sn_si_enrichment_malware]

    		 기본 테이블(sn_sec_cmn_enrichment_data_base)에서 확장되며 맬웨어와 관련된 모든 보강 기록을 포함합니다.
    보안 인시던트 보강 네트워크 통계

    [sn_si_enrichment_network_statistics]

    		 기본 테이블(sn_sec_cmn_enrichment_data_base)에서 확장되며 네트워크 통계와 관련된 모든 보강 기록을 포함합니다.
    보안 인시던트 보강 실행 중인 프로세스

    [sn_si_enrichment_running _processes]

    		 기본 테이블(sn_sec_cmn_enrichment_data_base)에서 확장되며 실행 중인 프로세스와 관련된 모든 보강 기록을 포함합니다.
    보안 인시던트 보강 실행 서비스

    [sn_si_enrichment_running_service]

    		 기본 테이블(sn_sec_cmn_enrichment_data_base)에서 확장되며 실행 중인 서비스와 관련된 모든 보강 기록을 포함합니다.
    보안 인시던트 이메일 검색

    [sn_si_m2m_incident_email_search]

    		 이메일 검색 기록을 보안 인시던트에 매핑합니다.
    보안 인시던트 임포트

    [sn_si_incident_import]

    		 보안 인시던트에 대한 테이블을 임포트합니다. 외부 시스템에서 보안 인시던트를 만드는 데 사용됩니다.
    보안 인시던트 프로세스 정의

    [sn_si_process_definition]

    		 보안 인시던트 프로세스 플로우에 대한 구성을 저장합니다.
    보안 인시던트 프로세스 정의 선택기

    [sn_si_process_definition_selector]

    		 보안 인시던트에 사용할 보안 인시던트 프로세스 정의를 저장합니다.
    보안 인시던트와 관련된 고객 서비스 케이스

    [sn_si_m2m_incident_customerservice_case]

    		 고객 서비스 케이스 및 보안 인시던트를 매핑합니다.
    보안 인시던트와 관련된 보강 데이터

    [sn_si_m2m_incident_enrichment]

    		 보안 인시던트 및 관련 보강 데이터 기록을 매핑합니다.
    작업 보안 인시던트 응답개

    [sn_si_task]

    		 보안 인시던트 처리와 관련된 하위 작업을 관리합니다. 이러한 작업은 보안 담당자 또는 다른 부서의 사람에게 할당하여 부서 간 통신 및 작업 추적을 관리할 수 있습니다.
    보안 인시던트 응답 작업 템플릿

    [sn_si_task_template]

    		 작업을 작성하는 보안 인시던트 응답 데 사용됩니다. 이러한 템플릿은 카탈로그 항목에 자주 사용되어 특정 유형의 보안 인시던트에 적합한 하위 작업 집합을 자동으로 만듭니다.
    보안 인시던트 Runbook 문서

    [sn_si_runbook_document]

    		 보안 인시던트 조건 또는 필터를 지식 문서와 연결합니다. 보안 인시던트 정정을 위한 Runbook 절차를 지정하는 데 사용됩니다.
    보안 인시던트 템플릿

    [sn_si_incident_template]

    		 보안 인시던트를 만드는 데 사용됩니다. 이러한 템플릿은 종종 카탈로그 항목에서 사전 구축된 보안 인시던트를 만드는 데 사용됩니다.
    보안 요청

    [sn_si_request]

    		 보안 팀에 대한 보안 관련 요청입니다.
    보안 스캔 요청

    [sn_si_scan_request]

    		 위협 조회 요청입니다.
    심각도 계산기

    sn_si_severity_calculator

    		 보안 인시던트의 심각도, 영향, 위험 및 중요도 값을 정의합니다.
    작업에 영향을 받는 사용자

    [sn_si_m2m_task_affected_user]

    		 보안 인시던트와 영향을 받는 사용자를 연결하는 다대다 테이블입니다.
    템플릿 워크플로우 활동 결과 평가자

    [sn_si_wf_activity_outcome_evaluator]

    		 평가 스크립트로 역량을 매핑합니다. 분석가가 수동으로 설정하는 대신 템플릿 워크플로우에 새 하위 플로우를 추가하여 응답 작업 결과를 설정할 수 있습니다.