Referenz des Setup-Assistenten
Der Setup-Assistent führt Sie durch die Schritte, die Sie zum Einrichten von ausführen müssen Security Incident Response Basissystem. Dieser Abschnitt enthält zusätzliche Informationen zu den komplizierten Schritten, für die Sie möglicherweise weitere Erklärungen benötigen.
Erstellen Sie einen Security Incident Response Prozessdefinition
Sie können eine Prozessdefinition erstellen, um zu definieren, wie Security Incidents von einem Status in den nächsten übergehen. Prozessdefinitionen geben Service Desks und Endanwender Hilfe, das Problem während seines gesamten Lebenszyklus nachzuverfolgen.
Vorbereitungen
Erforderliche Rolle: sn.si_admin
Prozedur
Beschreibung der Prozessdefinition für Security Incident Response
Security Incident Response Prozessdefinition Ersetzt Status-Flows und stellt Endanwendern und Service Desks den Status eines Problems zur Verfügung. Eine Prozessdefinition hilft, das Problem über seinen Lebenszyklus nachzuverfolgen. Security Incident Response Ist eine Service Management-Anwendung (SM), die über einen eigenen Satz von status verfügt. Ungültige status werden als Teil von gemeldet Prozessauswahl.
Definition Des Security Incident Response-Prozesses
| Status | Beschreibung |
|---|---|
| Entwurf | Der Anforderungsinitiator fügt Informationen zum Security Incident hinzu, kann aber noch nicht bearbeitet werden. |
| Analyse | Der Incident wurde zugewiesen, und das Problem wird analysiert. |
| Begrenzen | Das Problem wurde identifiziert, und das Sicherheitspersonal arbeitet daran, es einzudämmen und die Schadenskontrolle durchzuführen. Diese Aktionen können umfassen, dass Server offline geschaltet werden, Geräte vom Internet getrennt werden und ob Sicherungen vorhanden sind. |
| Beseitigen | Das Problem wurde eingedämmt, und das Sicherheitspersonal ergreift Schritte, um das Problem zu beheben. |
| Wiederherstellen | Das Problem wurde gelöst, und die Betriebsbereitschaft der betroffenen Systeme wird überprüft. |
| Prüfung | Der Security Incident ist abgeschlossen, und alle Systeme funktionieren wieder normal. Eine Überprüfung nach dem Incident ist jedoch weiterhin erforderlich. |
| Geschlossen | Der Incident ist abgeschlossen, aber bevor ein Security Incident geschlossen werden kann, müssen Sie die Informationen in eingeben Abschlussinformationen Registerkarte. |
Definitionen des Prozesses für Security Incident-Aufgaben
Die folgenden Prozessdefinitionen werden für Security Incident-Aufgaben verwendet.
| Status | Beschreibung |
|---|---|
| Bereit | Die Aufgabe kann bearbeitet werden, nachdem sie einem Service Desk-Mitarbeiter zugewiesen wurde. |
| Zugewiesen | Die Aufgabe ist einem Service Desk-Mitarbeiter zugewiesen. |
| In Bearbeitung | Der zugewiesene Service Desk-Mitarbeiter arbeitet an der Aufgabe. |
| Abschließen | Die Aufgabe ist abgeschlossen. |
| Abgebrochen | Die Aufgabe wurde abgebrochen. |
NIST unterstützt die folgenden beiden Modelle:
- NIST Stateful
Mit dieser Prozessdefinition können Analysten sequenziell von einem Status in einen anderen wechseln, ohne einen Schritt zu überspringen. Beispiel: Wenn der Analyst mit beginnt Entwurf status, dann ist die sequenzielle Reihenfolge dieser Prozessdefinition Entwurf > Analyse > Enthalten > Beseitigen > Wiederherstellen . Daher ist die NIST Stateful-Prozessdefinition unidirektional und ermöglicht es Analysten nur, nur in die vorwärtsstatus zu gelangen.
Hier ist ein weiteres Beispiel: Wenn der Analyst mit dem Analysestatus beginnt, ist die sequenzielle Reihenfolge dieser Prozessdefinition Analyse > Enthalten > Beseitigen > Wiederherstellen .
- NIST Open
Mit dieser Prozessdefinition können Analysten von einem Status in einen anderen wechseln, entweder vorwärts oder rückwärts. Beispiel: Wenn der Analyst mit beginnt Analyse status, dann kann die Reihenfolge der Prozessdefinition entweder sein Analyse > Enthalten > Beseitigen > Wiederherstellen Oder Analyse > Entwurf . Daher ist die Prozessdefinition „NIST Offen“ bidirektional und ermöglicht es Analysten, je nach Anforderungen in den Vorwärts- oder rückwärtsstatus zu wechseln.
Auswahl Des Prozesses Für Die Reaktion Auf Security Incidents
Security Incident Response Prozessauswahl listet Prozesse mit ungültigen status für Security Incidents und Antwortaufgaben auf.
Ein Administrator kann den Incident oder die Aufgabe manuell oder mithilfe eines Skripts in gültige status korrigieren. Eine leere zugehörige Liste (keine Incidents, keine Aufgaben) gibt an, dass sich jede aktive Aufgabe in einem gültigen Status befindet. Verfügbare status variieren je nach aktuellem Status des Incident. Weitere Informationen finden Sie unter Korrektur ungültiger Status von Security Incidents oder Aufgaben mit Prozessdefinitionen.
Wählen Sie ein aus Security Incident Response Prozessdefinition
Sie können die Prozessdefinition auswählen, die für die entsprechenden status für Security Incidents und Antwortaufgaben Ihres Unternehmens verwendet werden soll.
Vorbereitungen
Warum und wann dieser Vorgang ausgeführt wird
Prozedur
-
Klicken Sie auf das Suchsymbol, um die verfügbaren Prozessdefinitionen aufzulisten.
Erstellen Sie eine anwenderdefinierte Security Incident Response Skripteinbindung der Prozessdefinition
Erstellen Sie ein anwenderdefiniertes Prozessdefinitionsskript für die entsprechenden status für Security Incidents und Antwortaufgaben Ihres Unternehmens.
Vorbereitungen
Warum und wann dieser Vorgang ausgeführt wird
Prozedur
-
Füllen Sie die Felder entsprechend aus.
Tabelle : 4. Prozessdefinitionen werden erstellt Feld Beschreibung Name Name dieser Skripteinbindung. API-Name Erstellt basierend auf dem Namen der Skripteinbindung. Vom Client aufrufbar Macht die Skripteinbindung für Client-Skripts, Listen- und Berichtsfilter, Referenzqualifizierer oder verfügbar , Wenn angegeben , Als Teil der URL. Anwendung Security Incident Zugänglich von Wählen Sie Aus Nur dieser Anwendungsbereich . Aktiv Wenn diese Option aktiviert ist, kann diese Skripteinbindung aus der ausgewählt werden Prozessdefinition Seite. Beschreibung Hilfreiche Informationen zur Skripteinbindung. Skript Definiert das serverseitige Skript, das ausgeführt werden soll, wenn es von anderen Skripts aufgerufen wird. Das Skript muss eine einzelne JavaScript-Klasse oder eine globale Funktion definieren. Der Klassen- oder Funktionsname muss mit dem Wert im Feld Name übereinstimmen.
Informationen zu Skriptinhalten finden Sie unter Skripteinbindung der Prozessdefinition.
Skripteinbindung der Prozessdefinition
Die Skripteinbindung „Prozessdefinition“ bietet Methoden zum Definieren einer Prozessdefinition.
Implementieren Sie die hier beschriebenen Konstanten, Attribute, Arrays und Methodenaufrufe, um eine Skripteinbindung für Prozessdefinitionen anzupassen.
Verwendungszweck
Verwenden Sie diese Skripteinbindung, um eine Prozessdefinition zu erstellen.
Skripteinbindungstext
- Konstanten: Definitionen des Anfangsstatus
- Security Incident und Antwortaufgabe: Prozessdefinitions-Arrays
- Methodenaufrufe: Informationen werden abgerufen
Konstanten
Konstanten werden verwendet, um die anfangsstatus von Security Incidents und Antwortaufgaben zu definieren.
INITIAL_INCIDENT_STATE: 10,
INITIAL_TASK_STATE: 1,
Welche später von den folgenden Methoden verwendet werden:
getInitialIncidentState: function() {
return this.INITIAL_INCIDENT_STATE;
},
getInitialTaskState: function() {
return this.INITIAL_TASK_STATE;
},Der nächste Satz von Konstanten definiert die status für Security Incidents und Antwortaufgaben.
Jedes Array enthält auch die Definition, welche status verfügbar sind, wenn sich der Incident oder die Aufgabe in einem bestimmten Status befindet.
TASK_STATES: [{state:1, label:"Draft", choice:[1, 10]},
{state:10, label:"Ready", choice:[10, 16]},
{state:16, label:"Assigned", choice:[16, 18]},
{state:18, label:"Work in Progress", choice:[18, 3]},
{state:3, label:"Close Complete", choice:[]},
{state:7, label:"Cancelled", choice:[]},
],Das Beispiel ist ein Array von Objekten. Jedes Objekt definiert einen Status und mögliche übergangsstatus.
Die Reihenfolge des Statusobjekts bestimmt die gewünschte Reihenfolge für den Flow.
Wenn sich die Aufgabe im Status „Entwurf“ (Wert 1) befindet, sind folgende status möglich: 1 (Entwurf, was keine Änderung ist) und 10 (bereit, der nächste Schritt im Prozess).
Es gibt keine Beschränkung für die Anzahl der Übergänge aus einem Status. Die Status „Abgeschlossen“ und „Abgebrochen“ sind endgültige status und weisen daher keine möglichen Statusübergänge auf.
Die Reihenfolge der Attribute im Objekt ist nicht wichtig. Wenn die Definition klarer wird, setzen Sie die Bezeichnung zuerst.
Attribute
- status: Numerischer Wert des Status
- Bezeichnung: Visuell lesbarer Text, der dem Status zugeordnet ist
- Auswahl: Ein Array von Statuswerten, in die der Status übergehen kann (bestimmt den Inhalt der Dropdown-Liste „Status“)
- Obligatorisch: Liste der Feld-IDs, die in diesem Status obligatorisch werden
- Schreibgeschützt: Liste der Feld-IDs, die in diesem Status schreibgeschützt werden
- Sichtbar: Liste der Feld-IDs, die in diesem Status sichtbar werden
- Nicht obligatorisch: Liste der Feld-IDs, die in diesem Status nicht obligatorisch werden
- Nicht sichtbar: Liste der Feld-IDs, die in diesem Status nicht mehr sichtbar wären
Wenn optionale Attribute verwendet werden, liegt es in der Verantwortung des Autors sicherzustellen, dass Felder zwischen status sichtbar/unsichtbar, obligatorisch/nicht obligatorisch, sichtbar/ausgeblendet oder schreibgeschützt werden.
Wenn Sie beispielsweise ein Feld in einem Status ausblenden, wird es später nicht in einem anderen Status sichtbar, es sei denn, das Attribut „sichtbar“ wird verwendet.
Prozessfluss-Definitions-Arrays
Um die Informationen zu definieren, die im Prozess-Flow-Formatierer (der Balken oben in den Formularen „Security Incident“ und „Antwortaufgabe“) angezeigt werden, benötigt das System Informationen darüber, was für jeden Status angezeigt werden soll.
TASK_PF: [{label:"Draft", condition:"state=1^EQ", description:"<p>Security Incident Response Task is in draft</p>"},
{label:"Ready", condition:"state=10^EQ", description:"<p>Security Incident Response Task is ready to be assigned</p>"},
{label:"Assigned", condition:"state=16^EQ", description:"<p>Security Incident Response Task is assigned</p>"},
{label:"Work in Progress", condition:"state=18^EQ", description:"<p>Work has started on this Security Incident Response Task</p>"},
{label:"Closed", condition:"state=3^ORstate=4^ORstate=7^EQ", description:"<p>Security Incident Response Task is complete</p>"},
],Das TASK_PF-Array ist eine Sammlung von Bezeichnungen, Bedingungen und Beschreibungen, die verwendet werden, um den in der Prozessformatierer-Leiste angezeigten Text (einschließlich Reihenfolge und Aktivität) zu bestimmen.
Im Beispiel ist der Text „bereit“ das zweite angezeigte Element. Wird hervorgehoben, wenn die Aufgabe die Bedingung „State=10^EQ“ erfüllt hat.
Wenn der Zeiger auf den Text zeigt, wird die Beschreibung „Security Incident Response-Aufgabe ist bereit für Zuweisung“ angezeigt.
Status können zu einem einzelnen Formatierer-Status kombiniert werden.
Im Beispiel werden sowohl die status „Abgeschlossen“ als auch „Abgebrochen“ in der oberen Leiste als „Geschlossen“ angezeigt.
Methodenaufrufe
| Rückgabetyp | Methodenübersicht | Beschreibung |
|---|---|---|
| Zeichenfolge | GetInitialIncidentState: Function() | Gibt den numerischen Wert des anfänglichen Incident-Status zurück |
| Zeichenfolge | GetInitialTaskState: Function(): | Geben Sie den numerischen Wert des anfänglichen Aufgabenstatus zurück |
| Array von Zeichenfolge | GetIncidentStates: Function(): | Gibt das Array des Incident-Status zurück |
| Array von Zeichenfolge | GetTaskStates: Function(): | Gibt das Array des Aufgabenstatus zurück |
| Array von Objekten | GetIncidentProcessFlows: Funktion(): | Gibt das Array der Incident-Prozess-Flow-Definition zurück |
| Array von Objekten | GetTaskProcessFlows: Funktion(): | Geben Sie das Array der Flow-Definition für den Aufgabenprozess zurück |
Der nächste Satz von Methoden wird immer aufgerufen, wenn ein Incident oder eine Aufgabe aktualisiert wird, und ermöglicht das Ausführen von Aktionen für bestimmte Change-Übergänge.
| Rückgabetyp | Methodenübersicht | Beschreibung |
|---|---|---|
| void | PerformIncidentStateChange: Funktion (aktuell, zurück) | In den Beispielen wird diese Methode verwendet, um SM-bezogene Werte festzulegen und sicherzustellen, dass ein Incident von „Entwurf“ entfernt wird, sobald ihm jemand zugewiesen wurde. |
| void | PerformTaskStateChange: Funktion (aktuell, zurück) | Im Beispiel wird diese Methode verwendet, um Zeitstempel (bei Zuweisung und Abschluss) zu aktualisieren und die Aufgabe von „bereit“ zu „zugewiesen“ zu ändern, sobald das Feld „assigned_to“ ausgefüllt ist. |
Korrektur ungültiger Status von Security Incidents oder Aufgaben mit Prozessdefinitionen
Ein Administrator kann den Security Incident oder die Aufgabe manuell oder mithilfe eines Skripts in einen gültigen status korrigieren. Verfügbare status variieren je nach aktuellem Status des Incident.
Vorbereitungen
Warum und wann dieser Vorgang ausgeführt wird
Um status in einem Massenvorgang zu ändern, gehen Sie wie folgt vor:
Prozedur
-
Doppelt- Klicken Sie auf Status Wählen Sie im ersten Datensatz das neue aus Status, Und klicken Sie auf das grüne Häkchen (
), um den Change abzuschließen.
Erstellen Sie eine Security Incident-Gruppe
Richten Sie eine Security Incident-Gruppe ein, und weisen Sie der Gruppe die entsprechenden Rollen und Anwender zu.
Vorbereitungen
- Wenn Sie über die Rolle user_admin verfügen, können Sie Security Incident-Zuweisungsgruppen erstellen.
- Wenn Sie die Rolle sn_si.admin innehaben, können Sie Security Incident-Zuweisungsgruppen erstellen und bearbeiten.
Warum und wann dieser Vorgang ausgeführt wird
Es ist eine gute Praxis, in Ihrer Organisation so viele Gruppen wie erforderlich zu erstellen. Es empfiehlt sich auch, eine Gruppe für Administratoren zu erstellen und nur dieser Gruppe die Administratorrolle zuzuweisen.
Prozedur
-
Stellen Sie sicher, dass Sie auswählen Security Incident Typ für diese Gruppe.
- Wenn Typ Feld ist nicht sichtbar. Konfigurieren Sie das Formular, um es hinzuzufügen.
- Klicken Sie auf das Schlosssymbol neben dem Feld Typ.
-
Klicken Sie auf das Referenzsuchsymbol (
)
- Suchen Sie nach , und wählen Sie aus Security Incident Typ.
Erstellen Sie eine Security Incident-Rechnergruppe
Security Incident-Rechnergruppen werden zum Gruppieren von Rechnern verwendet.
Vorbereitungen
Prozedur
Erstellen Sie einen Security Incident-Rechner
Mit Security Incident-Rechnern können Sie den Schweregrad eines Security Incidents basierend auf vordefinierten Formeln berechnen. Sie können nach Bedarf eigene Security Incident-Rechner definieren.
Vorbereitungen
Prozedur
Verstehen von Security Incident-Rechnern
Security Incident-Rechner werden verwendet, um Datensatzwerte zu aktualisieren, wenn vordefinierte Bedingungen erfüllt sind. Die Rechner werden basierend auf den Kriterien gruppiert, die verwendet werden, um zu bestimmen, wie die Datensätze aktualisiert werden.
Die Security Incident Response Das Basissystem enthält die folgenden Security Incident-Rechnergruppen und -Rechner. In jeder Gruppe wird der erste Rechner ausgeführt, der den Bedingungen entspricht.
| Gruppenname Des Security Incident-Rechners | In der Gruppe enthaltene Rechner | Beschreibung |
|---|---|---|
| Geschäftsauswirkung | Aus Schweregradrechnern zusammenfassen | Dieser Rechner delegiert an den Sicherheitsrelevanzrechner, der die Relevanz durch Gewichtung der Werte anderer Felder bestimmt. |
| Schweregrad | Geschäft betroffen | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe eines einfachen Bedingungsgenerators. |
| Wichtiger Service betroffen | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe einer erweiterten Bedingung. Wenn das Konfigurationselement im Security Incident einem äußerst kritischen Business-Service zugeordnet ist, wird die Risikopunktzahl , Geschäftsauswirkung , Und Priorität Felder werden wie vom Rechner definiert erhöht. |
|
| Kritische Serviceänderungen | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe einer erweiterten Bedingung. Wenn der Security Incident die Bedingungen erfüllt, wird ein Skript ausgeführt, um zu definieren, auf welche Ebenen die Felder hochgestuft werden. Wenn das Konfigurationselement im Security Incident einem kritischsten oder etwas kritischen Business-Service zugeordnet ist, der Risikopunktzahl , Geschäftsauswirkung , Und Priorität Felder werden wie vom Rechner definiert erhöht. |
|
| Mehrere Angriffsvektoren | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe eines einfachen Bedingungsgenerators. Wenn das Konfigurationselement im Security Incident Web-, E-Mail- und Identitätswechsel-Angriffsvektoren zugeordnet ist, wird die verwendet Risikopunktzahl , Geschäftsauswirkung , Und Priorität Felder werden wie vom Rechner definiert erhöht. |
|
| Priorität mit Kategorie und Services festlegen | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe eines erweiterten Bedingungsgenerators. Die Priorität des Security Incidents ist auf festgelegt 1: Kritisch Wenn die folgenden Bedingungen erfüllt sind:
Hinweis: Dieser Rechner ist im Basissystem verfügbar, wenn Sie die Preisstufe Starter Security Operations haben. |
|
| Priorität für erkennbare Elemente festlegen | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe eines erweiterten Bedingungsgenerators. Die Priorität des Security Incidents ist auf festgelegt 1: Kritisch Wenn die folgenden Bedingungen erfüllt sind:
Hinweis: Dieser Rechner ist im Basissystem verfügbar, wenn Sie die Preisstufe „Advanced Security Operations“ haben und das Plugin „Threat Feeds“ aktivieren. |
|
| Anwenderrelevanz | Anwenderrelevanz abrufen | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe eines einfachen Bedingungsgenerators. Dieser Schweregradrechner bewirkt, dass sich die Geschäftsrelevanz des Anwenders in ändert 1: Kritisch Wenn Abteilung Feld wird in geändert Finanzen . |
| Anwendergruppenrelevanz abrufen | Dieser Schweregradrechner definiert seine Auswahlkriterien mithilfe eines erweiterten Bedingungsgenerators. Dieser Schweregradrechner bietet ein Beispiel für einen Rechner, der für Daten in einer zugehörigen Liste ausgeführt wird. |
Schweregradrechner
Wenn Sie einen Security Incident erstellen, wird die Risikopunktzahl , Geschäftsauswirkung , Und Priorität Felder enthalten Standardwerte. Wenn Sie den Incident speichern, validiert eine Geschäftsregel die Informationen im Security Incident automatisch anhand der in jedem Ihrer aktiven Schweregradrechner definierten Bedingungen. Sie werden jeweils ein Sicherheitsrechner in der von definierten Reihenfolge validiert Reihenfolge Feld in jedem Rechner. Wenn die Informationen im Security Incident den in einem der Rechner definierten Bedingungen entsprechen, werden die Feldwerte für den Schweregrad entsprechend den im Rechner festgelegten Regeln aktualisiert.
Angenommen, Sie erstellen einen Security Incident für ein betroffenes CI, und das CI ist sehr kritisch. Wenn der Security Incident gespeichert wird, werden die CI-Informationen mit den in den Schweregradrechnern definierten Bedingungen verglichen. Wenn der Security Incident anhand von validiert wird Kritischer Service betroffen Schweregradrechner, die Schweregradfelder werden automatisch aktualisiert, und oben im Security Incident wird eine Meldung ähnlich der folgenden angezeigt.
- [Angriffsvektor] [enthält] [Web]
- [Angriffsvektor] [enthält] [E-Mail]
- [Geschäftsbereich] [enthält] [Finanzen]
Sie können die Schweregradwerte in einem vorhandenen Security Incident auch jederzeit aktualisieren, indem Sie den Datensatz öffnen und auf klicken Schweregrad Berechnen Zugehöriger Link.
Security Incident-Risikopunktzahlrechner
Die Legen Sie die Priorität mit Kategorie und Services fest Und Legen Sie die Priorität mit erkennbaren Elementen fest Rechner werden verwendet, um eine Risikopunktzahl für einen Security Incident zu berechnen.
Anwenderrelevanzrechner
Die beiden Rechner in Anwenderrelevanz Gruppe ( Anwenderrelevanz abrufen Und Anwendergruppenrelevanz abrufen ) Geben Sie Beispiele dafür an, wie Sie die Relevanz basierend auf Kriterien fördern können, die in einem Anwenderdatensatz definiert sind, oder basierend auf der Gruppe, zu der ein Anwender gehört.
Sie können nach Bedarf bearbeitet werden, oder es können neue Anwender-Relevanzrechner erstellt werden.
Die Anwenderrelevanz abrufen Der Rechner bewirkt, dass sich die Geschäftsrelevanz des Anwenders in ändert 1: Kritisch Wenn Abteilung Feld wird in geändert Finanzen .
VAR CRITICAL_GROUPS = [group1_sys_ID, group2_sys_ID, group3_sys_ID] .Berechnungen der Risikopunktzahl für Security Incidents
Die Risikopunktzahl wird als arithmetisches Mittel berechnet, das das Risiko basierend auf der Priorität eines Security Incidents, der Art des Security Incidents (Denial of Service, Spear Phishing oder böswillige Code-Aktivität) und der Anzahl der Quellen darstellt, die für einen Indikator eine fehlgeschlagene Reputationspunktzahl ausgelöst haben.
- Schweregrad berechnen
- Aktualisieren Sie die Risikopunktzahl
- SI-Risikopunktzahl aktualisieren
Beispiel: Wenn ein Security Incident einen hat Geschäftsauswirkung Auf festlegen 2 – Hoch Und ein Priorität Auf festlegen 3 – Mittel , Die jeweiligen Gewichtungen in der Tabelle mit Risikopunktzahlgewichtungen werden gesucht und so berechnet:
Security Incident – Geschäftsauswirkung Mit einem Wert von 2 = eine Gewichtung von 60.
Security Incident-Priorität Mit einem Wert von 3 = eine Gewichtung von 40.
(60 + 40)/2 = eine Risikopunktzahl von 50.
Die Position des Security Incidents in der Security Incident-Liste wird dann basierend auf der aktualisierten Risikopunktzahl neu angeordnet.
- Geschäftsauswirkung Im Formular „Security Incident“
- Priorität Im Formular „Security Incident“
- Schweregrad Im Formular „Security Incident“ (standardmäßig ausgeblendet)
- Geschäftsauswirkung Auf der Betroffene Anwender Zugehörige Liste
- Geschäftsauswirkung Auf der Betroffene Services Zugehörige Liste
- Geschäftsauswirkung Auf Schwachstellen in Angreifbare Elemente Zugehörige Liste
- Wenn eine Zuordnung zwischen betroffenen Anwendern und einem Security Incident erstellt oder geändert wird
- Wenn eine Zuordnung zwischen betroffenen Services und einem Security Incident erstellt oder geändert wird
- Wenn eine Zuordnung zwischen angreifbaren Elementen und einem Security Incident erstellt oder geändert wird
Arbeitsnotizen werden auch immer aktualisiert Aktualisieren Sie Alle Risikopunktzahlen Und Löschen Sie Alle Risikopunktzahlen Auf der Gewichtungen Der Risikopunktzahl Formular angeklickt.
Verwalten Sie Risikopunktzahlgewichtungen
Die Gewichtungen der Risikopunktzahl, die zur Berechnung der Risikopunktzahlen in Security Incidents verwendet werden, können einzeln entfernt oder aktualisiert werden. Sie können auch für alle Security Incidents entfernt oder aktualisiert werden. Die Möglichkeit, sie aus Security Incidents zu entfernen, ist nützlich, wenn Gewichtungswerte geändert werden.
Vorbereitungen
Prozedur
Erstellen Sie einen Security Incident Response SLA
Sie können eine Servicelevel-Vereinbarung (Service Level Agreement, SLA) für definieren Security Incident Response.
Vorbereitungen
Erforderliche Rolle: sn_si.admin
Prozedur
Reparieren Sie Security Incident-SLAs
Sie können SLA-Datensätze reparieren, um sicherzustellen, dass SLA-Timing- und -Dauerinformationen korrekt sind.
Vorbereitungen
Prozedur
-
Klicken Sie auf das Kontextmenü des Formularheaders, und wählen Sie aus Reparieren Sie SLAs :
Erstellen Sie ein Security Incident Response-Runbook
Ein Runbook ist eine Zuordnung zwischen einem veröffentlichten wissensartikel und einer bestimmten Aufgabe. Während Sie die Aufgabe ausführen, wird automatisch ein wissensartikel im Runbook geöffnet, der Informationen enthält, die für die Aufgabe relevant sind.
Vorbereitungen
Erforderliche Rolle: sn.si.Knowledge_admin
Warum und wann dieser Vorgang ausgeführt wird
Prozedur
Erstellen Sie Regeln, um von Anwendern gemeldete Phishing-Angriffe zu validieren
Wenn Ihre Mitarbeiter E-Mails erhalten, die Phishing-Angriffe zu sein scheinen, können sie sie Ihnen unter Verwendung einer Phishing-E-Mail-Adresse melden. Die verdächtige E-Mail wird anhand von Regeln validiert, die von Ihrer Organisation definiert wurden.
Vorbereitungen
- Definieren Sie eine E-Mail-Adresse wie acme+phishing@service-now.com . Die +Phishing Tag wird von SMTP unterstützt, um das Filtern zu ermöglichen, und Ihre Instanz kann E-Mails empfangen, die an sie gesendet werden.
- Definieren Sie eine E-Mail-Adresse, z. B. phishing@acme.com (Ihr Exchange-Postfach), das sie wiederum an weiterleitet acme+phishing@service-now.com (Ihr Instanz-Postfach, das durch eine E-Mail-Weiterleitungsregel definiert wurde).
Erforderliche Rolle: sn_sec_cmn.write
Warum und wann dieser Vorgang ausgeführt wird
Wenn ein Mitarbeiter auf eine verdächtige E-Mail-Adresse stößt, sollte er sie als Anhang an Ihre Phishing-E-Mail-Adresse weiterleiten. Wenn die angehängte E-Mail mit einer Regel übereinstimmt, die eine Bedrohung definiert, wird ein Security Incident erstellt.