Erstellen Sie eine Vulnerability Response-CI-Suchregel

Das Modul „CI-Suchregeln“ enthält Regeln, die verwendet werden, um den übereinstimmenden Datensatz für Hostinformationen zu finden, die während der Importe von Drittanbieter-Schwachstellenintegrationen empfangen wurden. Die Hostinformationen werden mit den erkannten Elementen, nicht abgeglichenen Konfigurationselementklassen und Configuration Management Database (CMDB)abgeglichen.

Vorbereitungen

Persona-Rollen und granulare Rollen sind verfügbar, um Sie bei der Verwaltung der Informationen zu unterstützen, die Benutzer und Gruppen in der Anwendung Vulnerability Response anzeigen und tun können. Informationen zur erstmaligen Zuweisung der Persona-Rollen im Setup-Assistenten finden Sie unter Weisen Sie die Persona-Rollen Vulnerability Response mit dem Setup-Assistenten zu. Weitere Informationen zum Verwalten granularer Rollen finden Sie unter Verwalten Sie Personas und granulare Rollen für Vulnerability Response.

Erforderliche Rolle: sn_vul.vulnerability_admin

Warum und wann dieser Vorgang ausgeführt wird

Das Erstellen von CI-Suchregeln erfordert fortgeschrittene Kenntnisse von ServiceNow und Vulnerability Response. Anstatt eine der vorhandenen Suchregeln zu ändern, sollten Sie sie kopieren und die Kopie ändern. Wenn Sie zufrieden sind, dass die neue Regel das tut, was Sie wollen, deaktivieren Sie die ursprüngliche.

Hinweis:

Regeln können nach dem Entfernen nicht wiederhergestellt werden. Anstatt vorhandene Regeln zu entfernen, deaktivieren Sie sie, wenn Sie neue Regeln erstellen.

Prozedur

1. Navigieren zu Alle > Security Operations > CMDB > CI-Suchregeln.
2. Klicken Sie auf Neu.
3. Füllen Sie die Felder des Formulars aus.

   Tabelle : 1. Formular „CI-Suchregel“

   Feld	Beschreibung
   Name	Name der Regel.
   Suchmethode	Für den Abgleich verwendete Methode. Die Auswahlmöglichkeiten lauten wie folgt: Skript: Vorgefertigtes Skript (IP-Adresse, DNS-Name usw.) oder benutzerdefiniertes Skript. Feldabgleich: Durchsuchen Sie die Tabelle oder das Feld in der CMDB.
   Typ	Mit der Skriptsuchmethodeverwendeter Typ.
   Bestellung	Rangfolge für die Regel. Regeln mit der niedrigsten Reihenfolge werden zuerst ausgewertet.
   Aktiv	Checkbox, ob die Regel aktiv oder deaktiviert ist.
   Quelle	Quelle, die als Eingabe für diese Regel verwendet wird.
   Quellenfeld	Quellfeld, das als Eingabe für diese Regel verwendet wird. Wählen Sie ein beliebiges Feld aus, es wird jedoch als -Zeichenfolgenwert behandelt.
   Bedingung	Bedingung, auf deren Grundlage die CI-Suchregel angewendet wird. Diese Bedingung hängt vom Attribut des Drittanbieter-Scanners ab. Hinweis: Das Asset-Attribut ist Teil der Nutzlast. Sie wird vom Scanner einer Drittpartei empfangen. Beispiele für Nutzlasten finden Sie in der Tabelle „Erkannte Elemente“.
   Skript	Bearbeitbares Beispielskript, basierend auf dem Typ, wird angezeigt. Implementieren Sie das benutzerdefinierte Skript nach den Kommentaren, die in der Vorlage der Standardfunktion enthalten sind. Hinweis: Die Prozessfunktion hat drei Parameter: rule, sourceValueund sourcePayload.
   Tabelle durchsuchen	Tabelle, die in der CMDB durchsucht werden soll. Wird mit dem Feld verwendet, das der Suchmethodeentspricht.
   Feld durchsuchen	Feld, das Informationen enthält, die zum Suchen eines CI verwendet werden können. Wird mit der Suchmethodeverwendet, die dem Feld entspricht. Dieses Feld kann sich im CI-Datensatz oder in einem zugehörigen Datensatz befinden, z. B. ein Netzwerkadapter.

4. Klicken Sie auf Absenden.

   Weitere Informationen zur Implementierung von CI-Suchregeln finden Sie unter, Schritte zum Verhindern doppelter oder verwaister Datensätze nach dem Ausführen von Vulnerability Response CI-Suchregeln.

   Abbildung : 1. Beispiel für eine CI-Suchregel mit einem Bedingungsgenerator für V12.0

   

   Abbildung : 2. Beispiel für eine CI-Suchregel mit einem Skript vor V12.0

   

• CI-Klassen ignorieren
  Um beim Ausführen von CI-Suchregeln einige Configuration Item-Klassen (CI-Klassen) zu ignorieren, z. B. Load Balancer [cmdb_ci_lb], legen Sie die Systemeigenschaft ignoreCIClass [sn_sec_cmn.ignoreCIClass] fest.
• Filtern Sie stillgelegte CIs
  Filtern Sie stillgelegte Konfigurationselemente (CIs), während Sie die CI-Suchregeln ausführen. Um stillgelegte CIs beim Ausführen der CMDB-CI-Suchregeln für Security Operations zu filtern, legen Sie die Systemeigenschaft filterOutDecommissionedCI [sn_sec_cmn.filterOutDecommissionedCI] auf „true“ fest.
• CIs automatisch heraufstufen
  Bearbeiten Sie die JSON-Zeichenfolge in der Systemeigenschaft autoPromoteFields [sn_sec_cmn.autoPromoteFields], sodass Ihre Konfigurationselement-Suchregeln (Configuration Item, CI) alle CMDB-CIs von Security Operations automatisch zu übereinstimmenden Einträgen in der Tabelle [cmdb_ci] heraufstufen.

Zugehörige Verweise

• Vulnerability Response Formularfelder für angreifbare Elemente