Referência do Assistente de configuração
O Assistente de configuração orienta você nas etapas necessárias para configurar o sistema de base Security Incident Response. Esta seção fornece informações adicionais sobre as etapas complicadas para as quais você pode precisar de mais explicações.
Criar uma definição de processo Security Incident Response
Você pode criar uma definição de processo para definir a maneira como os incidentes de segurança fazem a transição de um estado para o próximo. As definições de processo ajudam as centrais de serviços e os usuários finais a rastrear o problema durante todo o ciclo de vida.
Antes de Iniciar
Função necessária: sn.si_admin
Procedimento
Noções básicas sobre a definição de processo do Security Incident Response
Security Incident Response Definição de Processo substitui fluxos de estado e fornece aos usuários finais e centrais de serviços o status de um problema. Uma definição de processo ajuda a rastrear o problema durante seu ciclo de vida. Security Incident Response é uma aplicação Service Management (SM), que tem seu próprio conjunto de estados. Estados inválidos são relatados como parte de Seleção de processo.
Definição de processo do Security Incident Response
| Estado | Descrição |
|---|---|
| Rascunho | O iniciador da solicitação adiciona informações sobre o incidente de segurança, mas ainda não está pronto para ser trabalhado. |
| Análise | O incidente foi atribuído e o problema está sendo analisado. |
| Contém | O problema foi identificado e a equipe de segurança está trabalhando para contê-lo e executar o controle de danos. Essas ações podem incluir colocar os servidores off-line, desconectar equipamentos da Internet e verificar se existem backups. |
| Erradicar | O problema foi contido e a equipe de segurança está tomando medidas para corrigir o problema. |
| Recuperar | O problema foi resolvido e a prontidão operacional dos sistemas afetados está sendo verificada. |
| Revisar | O incidente de segurança foi concluído e todos os sistemas estão de volta à função normal. No entanto, uma revisão pós-incidente ainda é necessária. |
| Encerrado | O incidente está concluído, mas antes que um incidente de segurança possa ser encerrado, você deve preencher as informações na guia Informações de fechamento. |
Definições de processo de tarefa de Incidente de segurança
As definições de processo a seguir são usadas para tarefas de incidente de segurança.
| Estado | Descrição |
|---|---|
| Pronto | A tarefa está pronta para ser trabalhada depois de ser atribuída a um agente. |
| Atribuído em | A tarefa é atribuída a um agente. |
| Trabalho em andamento | O agente atribuído está trabalhando na tarefa. |
| Concluir | A tarefa está concluída. |
| Cancelado | A tarefa foi cancelada. |
O NIST oferece suporte aos dois modelos a seguir:
- NIST com estado
Esta definição de processo permite que os analistas passem de um estado para outro em uma ordem sequencial sem ignorar nenhuma etapa. Por exemplo, se o Analista iniciar com o estado Rascunho, a ordem sequencial desta definição de processo será Rascunho>Análise>Conter>Erradicar>Recuperar. Portanto, a definição do processo com estado do NIST é unidirecional e permite que os analistas avancem somente para os estados avançados.
Aqui está outro exemplo, se o Analista iniciar com o estado Análise, a ordem sequencial desta definição de processo será Análise>Conter>Erradicar>Recuperar.
- NIST em aberto
Esta definição de processo permite que os analistas passem de um estado para outro, seja para frente ou para trás. Por exemplo, se o Analista iniciar com o estado Análise, a ordem da definição do processo poderá ser Análise>Conter>Erradicar>Recuperar ou Análise>Rascunho. Portanto, a definição do processo NIST Open é bidirecional e permite que os analistas avancem ou retrocedam, dependendo dos requisitos.
Seleção de processo do Security Incident Response
Seleção de processo lista processos com estados inválidos para incidentes de segurança e tarefas de resposta.
Um administrador pode corrigir o incidente ou a tarefa para estados válidos manualmente ou usando um script. Uma lista relacionada vazia (sem incidentes; sem tarefas) indica que todas as tarefas ativas estão em um estado válido. Os estados disponíveis variam de acordo com o estado atual do incidente. Para obter mais informações, consulte Corrigir um incidente de segurança ou estado de tarefa inválido com a definição de processo.
Selecione uma definição de processo Security Incident Response
Você pode selecionar a definição de processo a ser usada para os estados apropriados para os incidentes de segurança e as tarefas de resposta da sua empresa.
Antes de Iniciar
Por Que e Quando Desempenhar Esta Tarefa
Procedimento
-
Clique no ícone de pesquisa para listar as definições de processo disponíveis.
Criar uma inclusão de script de definição de processo personalizada Security Incident Response
Crie um script de Definição de processo personalizado para os estados apropriados para os incidentes de segurança e as tarefas de resposta da sua empresa.
Antes de Iniciar
Por Que e Quando Desempenhar Esta Tarefa
Procedimento
-
Preencha os campos, se for o caso.
Tabela 4. Criando definições de processo Campo Descrição Nome Nome desta inclusão de script. Nome da API Criado com base no nome da inclusão de script. Cliente chamável Disponibiliza a inclusão de script para Client scripts, filtros de lista e relatório, qualificadores de referência ou, se especificado, como parte do URL. Aplicação Incidente de segurança Acessível de Escolha Somente este escopo da aplicação . Ativo Quando marcada, torna esta inclusão de script selecionável na página Definição de processo. Descrição Informações úteis sobre a inclusão de script. Script Define o script do lado do servidor a ser executado quando chamado de outros scripts. O script deve definir uma única classe JavaScript ou uma função global. O nome da classe ou da função deve corresponder ao campo Nome.
Para obter informações sobre o conteúdo do script, consulte Inclusão de script de definição de processo.
Inclusão de script de definição de processo
O script include de definição de processo fornece métodos para definir uma definição de processo.
Implemente as constantes, atributos, matrizes e chamadas de método descritas aqui para personalizar uma inclusão de script de definição de processo.
Onde usar
Use esta inclusão de script para criar uma definição de processo.
Corpo da inclusão de script
- Constantes: definições de estado inicial
- Security Incident and Response Task: matrizes de definição de processo
- Chamadas de método: recuperando informações
Constantes
As constantes são usadas para definir os estados iniciais de incidentes de segurança e tarefas de resposta.
INITIAL_INCIDENT_STATE: 10,
INITIAL_TASK_STATE: 1,
Que são usados posteriormente pelos seguintes métodos:
getInitialIncidentState: function() {
return this.INITIAL_INCIDENT_STATE;
},
getInitialTaskState: function() {
return this.INITIAL_TASK_STATE;
},O próximo conjunto de constantes define os estados dos incidentes de segurança e das tarefas de resposta.
Cada matriz também contém a definição de quais estados estão disponíveis quando o incidente ou a tarefa está em um estado específico.
TASK_STATES: [{state:1, label:"Draft", choice:[1, 10]},
{state:10, label:"Ready", choice:[10, 16]},
{state:16, label:"Assigned", choice:[16, 18]},
{state:18, label:"Work in Progress", choice:[18, 3]},
{state:3, label:"Close Complete", choice:[]},
{state:7, label:"Cancelled", choice:[]},
],O exemplo é uma matriz de objetos. Cada objeto define um estado e possíveis estados de transição.
A ordem do objeto do estado determina a ordem desejada para o fluxo.
Quando a tarefa está no estado "Rascunho" (valor 1), os estados possíveis são: 1 (Rascunho, que não é mudança) e 10 (Pronto, a próxima etapa no processo).
Não há limite para o número de transições de um estado. O estado "Encerrar concluído" e "Cancelado" são estados finais e, portanto, não têm transições de estado possíveis.
A ordem dos atributos no objeto não é importante. Se isso tornar a definição mais clara, coloque o rótulo primeiro.
Atributos
- estado: valor numérico do estado
- rótulo: texto legível associado ao estado
- opção: uma matriz de valores de estado para os quais o estado pode fazer a transição (determina o conteúdo do menu suspenso de estado)
- obrigatório: lista de IDs de campo que se tornam obrigatórios neste estado
- readonly: lista de IDs de campo que se tornam somente leitura neste estado
- visível: lista de IDs de campo que se tornam visíveis neste estado
- notmandatory: lista de IDs de campo que se tornaram não obrigatórios neste estado
- notvisible: lista de IDs de campo que não estariam mais visíveis neste estado
Se atributos opcionais forem usados, será responsabilidade do autor garantir que os campos fiquem visíveis/invisíveis, obrigatórios/não obrigatórios, visíveis/ocultos ou somente leitura adequadamente entre os estados.
Por exemplo, ocultar um campo em um estado não o torna visível em outro estado mais tarde, a menos que o atributo "visível" seja usado.
Matrizes de definição de fluxo de processo
Para definir as informações exibidas no formatador de fluxo do processo (a barra na parte superior dos formulários de tarefa de incidente e resposta de segurança), o sistema requer informações sobre o que exibir para cada estado.
TASK_PF: [{label:"Draft", condition:"state=1^EQ", description:"<p>Security Incident Response Task is in draft</p>"},
{label:"Ready", condition:"state=10^EQ", description:"<p>Security Incident Response Task is ready to be assigned</p>"},
{label:"Assigned", condition:"state=16^EQ", description:"<p>Security Incident Response Task is assigned</p>"},
{label:"Work in Progress", condition:"state=18^EQ", description:"<p>Work has started on this Security Incident Response Task</p>"},
{label:"Closed", condition:"state=3^ORstate=4^ORstate=7^EQ", description:"<p>Security Incident Response Task is complete</p>"},
],A matriz TASK_PF é uma coleção de rótulos, condições e descrições usadas para determinar o texto exibido na barra do formatador de processo (incluindo ordem e atividade).
No exemplo, o texto "Pronto" é o segundo item exibido. Ele é realçado quando a tarefa atende à condição 'state=10^EQ'.
Quando o ponteiro do mouse passa sobre o texto, a descrição "A tarefa do Security Incident Response está pronta para ser atribuída" é exibida.
Os estados podem ser combinados em um único estado de formatador.
No exemplo, os estados "Encerrado concluído" e "Cancelado" são exibidos como "Encerrado" na barra superior.
Chamadas de método
| Tipo de retorno | Resumo do método | Descrição |
|---|---|---|
| Cadeia de caracteres | getInitialIncidentState: função () | retornar o valor numérico do estado do incidente inicial |
| Cadeia de caracteres | getInitialTaskState: função(): | retornar o valor numérico do estado inicial da tarefa |
| Matriz de cadeia de caracteres | getIncidentStates: função (): | retornar a matriz do estado do incidente |
| Matriz de cadeia de caracteres | getTaskStates: função (): | retornar a matriz do estado da tarefa |
| Matriz de objetos | getIncidentProcessFlows: função (): | retornar a matriz de definição de fluxo do processo de incidente |
| Matriz de objetos | getTaskProcessFlows: função (): | retornar a matriz de definição de fluxo do processo de tarefa |
O próximo conjunto de métodos é chamado sempre que um incidente ou uma tarefa é atualizado e permite que ações sejam executadas em transições de mudança específicas.
| Tipo de retorno | Resumo do método | Descrição |
|---|---|---|
| vazio | performanceIncidentStateChange: função (atual, anterior) | Nos exemplos, este método é usado para definir valores relacionados ao SM e garantir que um incidente avance para fora de "Rascunho" quando alguém for atribuído a ele. |
| vazio | performanceTaskStateChange: função (atual, anterior) | No exemplo, este método é usado para atualizar carimbos de data/hora (na atribuição e no fechamento) e avançar a tarefa de "Pronto" para "Atribuído" depois que o campo assigned_to estiver preenchido. |
Corrigir um incidente de segurança ou estado de tarefa inválido com a definição de processo
Um administrador pode corrigir o incidente de segurança ou a tarefa para estados válidos, manualmente ou usando um script. Os estados disponíveis variam de acordo com o estado atual do incidente.
Antes de Iniciar
Por Que e Quando Desempenhar Esta Tarefa
Para mudar os estados em massa, faça o seguinte:
Procedimento
-
Clique duas vezesno campo Estado no primeiro registro, selecione o novo Estado e clique na marca de seleção
) para concluir a mudança.
Criar um grupo de incidentes de segurança
Configure um grupo de incidentes de segurança e atribua as funções e os usuários apropriados ao grupo.
Antes de Iniciar
- Se você tiver a função user_admin, poderá criar grupos de atribuição de incidentes de segurança.
- Se você tiver a função sn_si.admin, poderá criar e editar grupos de atribuição de incidentes de segurança.
Por Que e Quando Desempenhar Esta Tarefa
É uma prática recomendada criar quantos grupos forem necessários em sua organização. Também é uma prática recomendada criar um grupo para administradores e atribuir a função de administrador somente a este grupo.
Procedimento
-
Certifique-se de selecionar o tipo de incidente de segurança para este grupo.
- Se o campo Tipo não estiver visível, configure o formulário para adicioná-lo.
- Clique no ícone de cadeado ao lado do campo Tipo.
-
Clique no ícone de pesquisa de referência (
)
- Pesquise e selecione o tipo de incidente de segurança.
Criar um grupo de calculadoras de incidentes de segurança
Grupos de calculadoras de incidentes de segurança são usados para agrupar calculadoras.
Antes de Iniciar
Procedimento
Criar uma calculadora de incidente de segurança
As calculadoras de incidente de segurança permitem calcular a gravidade de um incidente de segurança com base em fórmulas predefinidas. Você pode definir suas próprias calculadoras de incidente de segurança, conforme necessário.
Antes de Iniciar
Procedimento
Noções básicas sobre calculadoras de incidentes de segurança
Calculadoras de incidentes de segurança são usadas para atualizar valores de registro quando condições predefinidas são atendidas. As calculadoras são agrupadas com base nos critérios usados para determinar como os registros são atualizados.
O sistema de base Security Incident Response inclui os seguintes grupos de calculadoras de incidente de segurança e calculadoras. A primeira calculadora que corresponde às condições é executada em cada grupo.
| Nome do Grupo da Calculadora de Incidentes de Segurança | Calculadoras incluídas no grupo | Descrição |
|---|---|---|
| Impacto nos negócios | Agregar de calculadoras de severidade | Esta calculadora delega para a Calculadora de Criticidade de Segurança que determina a criticidade ponderando os valores de outros campos. |
| Gravidade | Negócios afetados | Esta calculadora de severidade define seus critérios de seleção usando um construtor de condição simples. |
| Serviço crítico afetado | Esta calculadora de severidade define seus critérios de seleção usando uma condição avançada. Se o item de configuração no incidente de segurança estiver associado a um serviço de negócios altamente crítico, os campos Pontuação de risco, Impacto nos negóciose Prioridade serão elevados conforme definido pela calculadora. |
|
| Mudanças críticas de serviço | Esta calculadora de severidade define seus critérios de seleção usando uma condição avançada. Se o incidente de segurança atender às condições, um script será executado para definir os níveis para os quais os campos serão elevados. Se o item de configuração no incidente de segurança estiver associado a um serviço de negócios mais crítico ou um pouco crítico, os campos Pontuação de risco, Impacto nos negóciose Prioridade serão elevados conforme definido pela calculadora. |
|
| Vetores de ataque múltiplo | Esta calculadora de severidade define seus critérios de seleção usando um construtor de condição simples. Se o item de configuração no incidente de segurança estiver associado a vetores de ataque da Web, e-mail e representação, os campos Pontuação de risco, Impacto nos negóciose Prioridade serão elevados conforme definido pela calculadora. |
|
| Definir prioridade com categoria e serviços | Esta calculadora de severidade define seus critérios de seleção usando um construtor de condição avançado. A prioridade do incidente de segurança é definida como 1 - Crítica quando as seguintes condições são atendidas:
Nota: Esta calculadora está disponível no sistema de base quando você tem o tipo de preço da Operação de segurança inicial. |
|
| Definir prioridade com observáveis | Esta calculadora de severidade define seus critérios de seleção usando um construtor de condição avançado. A prioridade do incidente de segurança é definida como 1 - Crítica quando as seguintes condições são atendidas:
Nota: Esta calculadora está disponível no sistema de base quando você tem o tipo de preço Advanced Security Operation e ativa o plug-in Threat Feeds. |
|
| Criticidade do usuário | Obter criticalidade do usuário | Esta calculadora de severidade define seus critérios de seleção usando um construtor de condição simples. Esta calculadora de severidade faz com que a criticalidade dos negócios do usuário seja alterada para 1 - Crítica quando o campo Departamento é alterado para Finanças. |
| Obter criticidade do grupo de usuários | Esta calculadora de severidade define seus critérios de seleção usando um construtor de condição avançado. Esta calculadora de severidade fornece um exemplo de uma calculadora que é executada em dados em uma lista relacionada. |
Calculadoras de severidade
Quando você cria um incidente de segurança, os campos Pontuação de risco, Impacto nos negóciose Prioridade contêm valores padrão. Quando você salva o incidente, uma regra de negócios valida automaticamente as informações no incidente de segurança em relação às condições definidas em cada uma das calculadoras de severidade ativas. Eles são validados em uma calculadora de segurança de cada vez, na ordem definida pelo campo Ordem em cada calculadora. Se as informações no incidente de segurança corresponderem às condições definidas em uma das calculadoras, os valores do campo de severidade serão atualizados de acordo com as regras configuradas na calculadora.
Por exemplo, suponha que você crie um incidente de segurança para um IC afetado e o IC seja altamente crítico. Quando o incidente de segurança é salvo, as informações do IC são comparadas com as condições definidas nas calculadoras de severidade. Quando o incidente de segurança é validado em relação à calculadora de severidade do serviço crítico afetado, os campos de severidade são atualizados automaticamente e uma mensagem semelhante à seguinte aparece na parte superior do incidente de segurança.
- [Vetor de ataque] [contém] [Web]
- [Vetor de ataque] [contém] [E-mail]
- [Unidade de negócios] [contém] [Finanças]
Você também pode atualizar os valores de severidade em um incidente de segurança existente a qualquer momento, abrindo o registro e clicando no link relacionado Calcular severidade.
Calculadoras de pontuação de risco de incidente de segurança
As calculadoras Definir prioridade com categoria e serviços e Definir prioridade com observáveis são usadas para calcular uma pontuação de risco para um incidente de segurança.
Calculadoras de criticalidade do usuário
As duas calculadoras no grupo de criticalidade do usuário (Obter criticalidade do usuário e Obter criticalidade de grupo de usuários) fornecem exemplos de como você pode direcionar a criticalidade com base em critérios definidos em um registro de usuário ou com base no grupo ao qual um usuário pertence.
Eles podem ser editados conforme necessário ou novas calculadoras de criticidade do usuário podem ser criadas.
A calculadora Obter criticidade do usuário faz com que a criticalidade dos negócios do usuário seja alterada para 1 - Crítica quando o campo Departamento é alterado para Finanças.
var CRITICAL_GROUPS = [group1_sys_id, group2_sys_id, group3_sys_id].Cálculos de pontuação de risco de incidente de segurança
A pontuação de risco é calculada como uma média aritmética que representa o risco com base na prioridade de um incidente de segurança, no tipo de incidente de segurança (Negação de serviço, Spear Phishing ou atividade de código malicioso) e no número de origens que acionaram uma falha pontuação de reputação em um indicador.
A pontuação de risco ajuda a priorizar o trabalho de incidente de segurança para os analistas.
- Calcular Gravidade
- Atualizar pontuação de risco
- Atualizar pontuação de risco de SI
Por exemplo, se um incidente de segurança tiver um Impacto nos negócios definido como 2-Alto e uma Prioridade definida como 3-Moderado, os respectivos pesos na tabela Ponderações de pontuação de risco serão pesquisados e calculados da seguinte forma:
Impacto do incidente de segurança nos negócios com um valor de 2 = um peso de 60.
Prioridade de incidente de segurança com um valor de 3 = um peso de 40.
(60 + 40)/2 = uma pontuação de risco de 50.
A posição do incidente de segurança na lista de incidentes de segurança é reordenada com base em sua pontuação de risco atualizada.
- Impacto nos negócios no formulário de Incidente de segurança
- Prioridade no formulário de Incidente de segurança
- Severidade no formulário de Incidente de segurança (oculta por padrão)
- Impacto nos negócios na lista relacionada de Usuários afetados
- Impacto nos negócios na lista relacionada de Serviços afetados
- Impacto nos negócios sobre vulnerabilidades na lista relacionada de itens vulneráveis
- Quando uma associação entre usuários afetados e um incidente de segurança é criada ou modificada
- Quando uma associação entre serviços afetados e um incidente de segurança é criada ou modificada
- Quando uma associação entre itens vulneráveis e um incidente de segurança é criada ou modificada
As anotações de trabalho também são atualizadas sempre que Atualizar todas as pontuações de risco e Limpar todas as pontuações de risco no formulário Ponderações de pontuação de risco são clicados.
Manter pesos de pontuação de risco
Os pesos de pontuação de risco usados para calcular pontuações de risco em incidentes de segurança podem ser removidos ou atualizados individualmente. Eles também podem ser removidos ou atualizados para todos os incidentes de segurança. A capacidade de removê-los de incidentes de segurança é útil ao alterar valores de peso.
Antes de Iniciar
Procedimento
Criar um Security Incident Response ANS
Você pode definir um Acordo de nível de serviço (ANS) para Security Incident Response.
Antes de Iniciar
Função necessária: sn_si.admin
Procedimento
Reparar ANS de incidente de segurança
Você pode reparar registros de SLA para garantir que as informações de tempo e duração do SLA sejam precisas.
Antes de Iniciar
Procedimento
-
Clique no menu de contexto do cabeçalho do formulário e selecione Reparar ANS:
Criar um runbook do Security Incident Response
Um runbook é uma associação entre um artigo de conhecimento publicado e uma tarefa específica. Enquanto você está executando a tarefa, um artigo de conhecimento no runbook é aberto automaticamente, fornecendo informações pertinentes à tarefa.
Antes de Iniciar
Função necessária: sn.si.knowledge_admin
Por Que e Quando Desempenhar Esta Tarefa
Procedimento
Criar regras para validar ataques de phishing relatados pelo usuário
Quando seus funcionários recebem e-mails que parecem ser ataques de phishing, eles podem relatá-los para você usando um endereço de e-mail de phishing. O e-mail suspeito é validado usando regras definidas pela sua organização.
Antes de Iniciar
- Defina um endereço de e-mail como acme+phishing@service-now.com. O marcador +phishing é compatível com o SMTP para habilitar a filtragem e sua instância pode receber e-mails enviados para ela.
- Defina um endereço de e-mail, como phishing@acme.com (sua caixa de correio do Exchange), que por sua vez o encaminha para acme+phishing@service-now.com (sua caixa de correio de instância definida por meio de uma regra de encaminhamento de e-mail).
Função necessária: sn_sec_cmn.write
Por Que e Quando Desempenhar Esta Tarefa
Quando um funcionário encontra um e-mail suspeito, ele deve encaminhá-lo como um anexo para o seu endereço de e-mail de phishing. Se o e-mail anexado corresponder a uma regra que define uma ameaça, um incidente de segurança será criado.