Crie uma lista de bloqueios para Check Point NGTP integração
Crie uma Lista de bloqueios no seu ServiceNow AI Platform instância. Uma vez aprovado e ativado, você pode criar entradas para essas Listas de bloqueio a partir de observáveis determinados como mal-intencionados em incidentes de Resposta de incidentes de segurança (SIR) da Now Platform e solicitar aprovação para bloqueá-los.
Antes de Iniciar
Função necessária: Administrador de incidentes de segurança (sn_si.admin)
Por Que e Quando Desempenhar Esta Tarefa
Procedimento
-
Localize Prevenção contra ameaças de última geração do Check Point e clique Configurar .
Nota:Conteúdo privilegiado e proprietário usado com permissão da Check Point Software Technologies, Ltd
-
Clique em Criar nova Lista de bloqueios .
-
No formulário, preencha os campos.
Campo Descrição Nome Nome da lista de solicitações de bloqueio do ponto de verificação. Inclua o tipo de observável (URL, IP, domínio) neste campo para que o analista de segurança possa reconhecer facilmente a intenção da Lista de bloqueios pelo nome. O nome também deve indicar claramente para qual política de firewall esses objetos da lista de bloqueios estão mapeados. Alguns exemplos de nomes da lista de bloqueios são IP de Malware de Saída ou URL de Phishing de Saída.
Ativo Esta caixa de seleção é desmarcada por padrão para indicar que a Lista de bloqueios está inativa. Quando inativa, a Lista de bloqueios não pode receber entradas adicionais.
Quando a caixa de seleção é marcada (quando a solicitação de mudança é fechada ou a solicitação de mudança não é gerada), a Lista de bloqueios é ativada e disponível para entradas da Lista de bloqueios.
Marcador de exibição A caixa de seleção é marcada por padrão para marcar automaticamente o observável e o registro de incidente de segurança associado se o observável estiver bloqueado na Lista de bloqueios. Quando selecionado, o campo "Marcador para observáveis" fica disponível no formulário. Nota:Um nome de marcador é criado por padrão a partir do valor inserido no campo Nome com um prefixo de Ponto de verificação, por exemplo, IP de saída de Malware de Ponto de verificação. Você pode mudar o nome e a cor do marcador. O nome do marcador é exibido no campo "Marcador para observáveis", depois que a Lista de bloqueios é salva.Quando a caixa de seleção está desmarcada, nenhum marcador é criado e o campo "Marcador para observáveis" não está disponível no formulário.
Tipo de Observável Selecione um tipo de observável que esta Lista de bloqueios aceita na lista: Endereço IP (incluindo CIDR para lista de permissões), URL ou domínio. Tipo de marcador Marcadores que estão disponíveis na lista. Uma lista de bloqueios é uma lista de observáveis que você deseja que o Check Point Next Generation Threat Prevention bloqueie.
Uma lista de permissões é uma lista de observáveis que você não deseja bloquear no Check Point Next Generation Threat Prevention.
Por padrão, a cor do marcador da lista de bloqueios é preta e a cor do marcador da lista de permissões é cinza. Você pode mudar a cor.
Criar solicitação de mudança Esta caixa de seleção é marcada por padrão para criar automaticamente uma solicitação de mudança e tarefas de mudança em seu ServiceNow AI Platform Que estão anexadas ao registro da Lista de bloqueios. A solicitação de mudança é usada para configurar o URL de recuperação da lista de bloqueios no gateway do firewall de última geração do Check Point.
Esta opção é recomendada se o administrador do firewall também estiver usando o. ServiceNow AI Platform para mudanças de regra ou política de firewall. Se você criar uma solicitação, depois que ela for fechada, a Lista de bloqueios será ativada automaticamente.
Desmarque a caixa de seleção para ativar manualmente a Lista de bloqueios depois de receber um aviso por e-mail do administrador do firewall de que o Feed de inteligência personalizada foi configurado em todos os gateways de Check Point.
Quando a caixa de seleção Criar solicitação de mudança está desmarcada, o campo Solicitação de mudança fica indisponível.
Solicitar Aprovação Esta caixa de seleção é marcada por padrão para solicitar aprovações para ativar/remover entradas da lista de bloqueios das listas de bloqueios. A aprovação é solicitada dos usuários com a função Administrador de incidentes de segurança (sn_si.admin). A solicitação de aprovação será enviada por e-mail para os aprovadores. Quando a aprovação for aceita, a entrada será ativada nessa Lista de bloqueios.
Quando a caixa de seleção não estiver marcada, as entradas dessa Lista de bloqueios não seguirão o fluxo de trabalho de aprovação e serão ativadas diretamente na lista de bloqueios.
Marcador para observável Este campo será exibido somente se a caixa de seleção Exibir marcador estiver marcada. O campo é preenchido automaticamente depois que a Lista de bloqueios é salva com um valor padrão do campo Nome. Se a Lista de bloqueios for criada com o nome "URL do malware", o nome do marcador derivado será "Lista de bloqueios - URL do malware" Solicitação de Mudança Quando a caixa de seleção Criar solicitação de mudança é marcada, o número da solicitação de mudança é exibido na instância da Now Platform depois que a Lista de bloqueios é salva. Quando a caixa de seleção Criar solicitação de mudança está desmarcada, este campo não é exibido.
Descrição Lista de bloqueios de ponto de verificação. Geralmente, o nome contém os tipos de sites e observáveis que você espera estar nesta Lista de bloqueios e você pode usar este campo para obter mais detalhes. Período de Expiração (dias) Período de expiração da Lista de bloqueios. 0 (o padrão) indica que a entrada da Lista de bloqueios nunca expira.
Se você mudar este valor, esta entrada ficará ativa para o número de dias que você inserir. Você pode inserir um valor mínimo de 1, que é 24 horas, e não há valor máximo.
URL de recuperação A URL de recuperação será gerada automaticamente, assim que a Lista de bloqueios for salva. Para configurar esta Lista de bloqueios em gateways de ponto de verificação, você deve usar esta URL. Quando este URL é configurado, o Check Point busca observáveis a serem bloqueados no formato csv. -
Se a Lista de solicitações de bloqueio de ponto de verificação não for exibida, navegue até .
A nova Lista de bloqueios é exibida. O status da Lista de bloqueios ainda é inativo (falso), o que significa que a Lista de bloqueios não está disponível para aceitar entradas. Se Criar solicitação de mudança tiver sido configurado, uma mensagem será exibida indicando que uma solicitação de mudança e tarefas foram criadas em seu ServiceNow AI Platform instância.
-
Em Nome , clique em um item para abrir o registro.
O registro da Lista de bloqueios é exibido. Este exemplo mostra uma Lista de bloqueios de IP de saída de malware. Os seguintes campos, opções e links são exibidos no novo registro após o envio e descritos na tabela a seguir.
Campo Descrição URL de recuperação de e-mail E-mail com um aviso informando que o link de bloqueio está disponível para configuração para o administrador do firewall do Check Point. URL de recuperação Este URL é usado para configurar o Feed de Inteligência personalizada em gateways de Check Point. Nota:Se você tiver suas Configurações do sistema definidas como Formulários com guias, este link será exibido na guia Informações de recuperação da lista de bloqueios na parte inferior do registro.ServiceNow AI Platform solicitação de mudança Um link para o registro de solicitação de mudança é exibido na seção Solicitações de mudança quando configurado e o número da solicitação é exibido no campo Solicitação de mudança. Atualizar Modifique os dados e atualize os campos editáveis. Excluir Exclua o registro.
O que Fazer Depois
Ativar a Lista de solicitações de bloqueio manualmente ou com um ServiceNow AI Platform solicitação de mudança.