Gerencie ameaças de segurança usando o. Espaço do analista de segurança

Resposta a incidentes de segurançainclui uma nova interface de usuário chamada Espaço do analista de segurançaque apresenta ferramentas avançadas para ajudar na análise, incluindo o playbook, a exibição de verificação e guias para trabalhar em vários incidentes de segurança.

Criado especificamente para analistas de segurança, as poderosas ferramentas no Espaço do analista de segurançapermite analisar o volume cada vez maior de dados associados a incidentes de segurança. E as ações automatizadas reduzem significativamente o tempo de investigação de incidentes de segurança, o que pode ser a diferença entre interromper um ataque e sofrer uma violação.

Antes de usar o. Espaço do analista de segurança

Antes de começar a usar o. Espaço do analista de segurança, Você deve garantir que sua instância tenha pelo menos o patch 3 de Londres instalado, que você tenha as funções corretas definidas e que tenha A aplicação de IU de Resposta a incidentes de segurança foi baixada do ServiceNow Store.

Nota:

Se a sua instância estiver executando uma versão anterior à London Patch 3, você deverá solicitar o plug-in de IU de Resposta a incidentes de segurança por meio do sistema de Atendimento ao cliente HI.

Como acessar o Espaço do analista de segurança

Para acessar este novo espaço, navegue até Incidente de segurança > Incidentes (Nova IU).

Figura 1. Incidente de segurança

O espaço é aberto em uma guia separada do navegador.

Figura 2. Incidentes de segurança

Localize os incidentes de segurança que você deseja analisar com os Filtros rápidos

. Espaço do analista de segurançao fornece várias ferramentas para filtrar a lista de incidentes de segurança para que você possa encontrar rapidamente os incidentes de segurança que deseja analisar. Os Filtros Rápidos permitem selecionar um subconjunto de incidentes de segurança com base nos critérios no filtro.

Figura 3. Filtros rápidos

Basta clicar no filtro rápido que você deseja usar.

Nota:

Você pode clicar em Editar botão para identificar quais filtros rápidos você deseja exibir na tela de lista. Um mínimo de um filtro deve ser selecionado, até um máximo de seis.

Você pode definir filtros rápidos adicionais, bem como filtros primários para Espaço do analista de segurança, usando o ambiente clássico. Para obter mais informações, consulte Configure filtros primário e secundário para Espaço do analista de segurança.

Personalize a lista de incidentes de segurança

Como em todas as listas em sua instância, o. Espaço do analista de segurançafornece ferramentas para personalizar a lista e classificar as informações exibidas para atender às suas necessidades de análise.

Figura 4. Personalize a lista de incidentes de segurança

Poupe tempo com a exibição de verificação

Antes de abrir um registro de incidente de segurança, você pode economizar tempo usando a exibição de verificação. Este recurso permite localizar rapidamente artefatos de segurança vitais sem precisar recarregar a página inteira. Basta clicar em > ícone à esquerda de um número de incidente de segurança para dar uma olhada.

Figura 5. Exibição de verificação

A exibição Peek fornece um snapshot de informações vitais em uma única exibição. Esta exibição pode economizar um tempo valioso quando você está trabalhando com vários incidentes. Você pode clicar nas setas para baixo em determinados campos para fazer atualizações dinâmicas, como atribuir um grupo de atribuição ou um analista específico.

Figura 6. Detalhes da exibição de verificação

Execute ações rápidas em um incidente de segurança

Depois de selecionar e abrir um incidente de segurança específico, você pode executar ações de economia de tempo no registro.

• Se o incidente de segurança estiver aberto, clique em Editar registro para fazer mudanças rápidas em qualquer um de seus campos. Se o registro estiver fechado, você poderá mudar somente seu marcador.
• Clique em Gerenciar anexos para anexar arquivos ao incidente de segurança. Você também pode baixar ou remover arquivos anexados e editar a criptografia aplicada aos anexos.
• Clique em Redigir e-mail para enviar um e-mail rápido a um colega. Os e-mails podem ser de formato livre ou você pode enviar e-mails predefinidos selecionados em uma lista de modelos. Os e-mails enviados e as respostas recebidas são capturados na Linha do tempo do incidente.
  Nota:

  Você pode criar modelos personalizados que contenham conteúdo reutilizável para e-mails e notificações por e-mail. As variáveis podem ser usadas para inserir informações específicas do incidente ou alerta de segurança, como linha de assunto, prioridade ou categoria de ameaça. Use a tabela Incidente de segurança [sn_si_incident] para e-mails e notificações por e-mail relacionadas a. Resposta a incidentes de segurança. Para obter mais informações, consulte Modelos de e-mail
• Clique em Mais para exibir um snapshot rápido do incidente de segurança, como a descrição, o impacto nos negócios e a prioridade. Você também pode clicar na seta para baixo no Grupo de atribuição e. Atribuído a. campos para fazer mudanças dinâmicas nesses campos.

Figura 7. Grupo de atribuição

Trabalhar com vários incidentes de segurança

A interface com guias permite que você mantenha vários incidentes de segurança abertos simultaneamente para que você possa alternar entre eles com um único clique. Isso pode economizar tempo e permitir que você veja o panorama geral quando ameaças de várias fontes são identificadas.

Figura 8. Trabalhar com vários incidentes de segurança

Exiba informações de análise nas guias de incidentes de segurança

Quando você abre um registro de incidente de segurança, três guias são mostradas:

• Visão geral
• Explorar
• Linha do tempo do incidente

Guia Visão Geral

Use o. Visão geral para exibir informações em um incidente de segurança em um único local. Não é necessário abrir outra aplicação ou console.

Figura 9. Visão geral

Os blocos exibidos no Visão geral as guias são personalizáveis. Você pode recolhê-los e expandi-los conforme necessário e pode movê-los arrastando Garra ícone. Clique em Mais opções ícone para excluir um bloco ou mudar o texto do título.

Figura 10. Guia Visão Geral

Guia Explorar

Configure os blocos exibidos no Visão geral usando Explorar . Basta selecionar os blocos que você deseja exibir no painel esquerdo e clicar em PIN ícone. Os blocos fixados aparecem automaticamente em Visão geral .

Figura 11. Guia Expore

O painel esquerdo do Explorar a guia inclui uma ampla variedade de informações que você pode exibir no Visão geral . Por exemplo, expandir Observáveis para exibir essas listas relacionadas.

• Observáveis
• Resultados da Pesquisa de ameaças
• Resultados da verificação de segurança
• Pesquisas de domínio
• Aprimoramento de Observável

Listas relacionadas adicionais estão disponíveis em Usuários , Itens de configuração e. Incidentes .

Linha do tempo do incidente

Use o. Linha do tempo do incidente durante sua investigação para fins de acompanhamento. Sempre que uma ação é executada em um incidente de segurança, o sistema a registra na Linha do tempo do incidente.

• Você também pode adicionar anotações de trabalho manualmente à linha do tempo digitando-as em Adicione anotações de trabalho e clicando Publicação .
• Você pode pesquisar uma atividade específica da linha do tempo usando a caixa Pesquisar.
• . Filtrar atividade o ícone permite exibir somente os tipos de atividade da linha do tempo que você deseja ver (por exemplo, somente incidentes criados por um analista específico).
• Você pode adicionar ou remover a Linha do tempo do incidente do Visão geral usando Fixar/Desfixar ícone.

Figura 12. Linha do tempo do incidente

Trate incidentes de segurança usando o playbook

Resolva determinados tipos de ameaças de segurança de maneira passo a passo usando os playbooks integrados do analista de segurança. Por exemplo, um analista pode usar o playbook para resolver ataques de phishing e ameaças causados por atividades de código mal-intencionado. Para obter mais informações, consulte Resolva ameaças de segurança com o playbook.