Mapeie o. AWS Security Hub campos de descoberta

Mapeie o indivíduo AWS Security Hub campos de descoberta para os campos no SIR incidente de segurança para que você possa criar incidentes com os dados mapeados.

Antes de Iniciar

Função necessária: sn_si.admin

Procedimento

1. Na página de mapeamento, em AWS Security Hub Seção Mapeamento, selecione um dos métodos de ingestão de amostra.

   Tabela 1. Métodos de ingestão de amostra

   Campo	Descrição
   Todos os campos de descoberta padrão	Use este método de ingestão para exibir a lista estática de todos os campos de descobertas. Este método contém somente nomes de campo padrão sem valores. Você pode usar essas informações para mapear com SIR campos.
   Recuperar recente AWS Security Hub descobertas	Use este método de ingestão para importar os dados das descobertas mais recentes. Você pode ingerir 5 descobertas de amostra por padrão e um máximo de 20 descobertas de amostra. Os valores do campo de descoberta de amostra são preenchidos quando o perfil ingere as descobertas de amostra. Você pode mapear essas descobertas para Campos de destino do incidente SIR . Os campos e valores de descoberta aparecem como guias individuais.
   Importar dados de amostra	Selecione Importar dados de amostra para importar descobertas de amostra AWS Security Hub. Este botão aparece quando você seleciona Recuperar recente AWS Security Hub método de ingestão de descobertas. Recuperando descobertas de amostra de AWS Security Hub o servidor leva alguns momentos. Mapeie essas descobertas para Campos de destino do incidente SIR . Os campos e valores de descoberta aparecem como guias individuais.

2. Para adicionar campos aos campos padrão exibidos no incidente de segurança, execute as seguintes ações:
   Na seção Campos de destino do incidente SIR, selecione botão. Mostra uma lista de SIR campos, a partir dos quais você pode selecionar para exibir um novo campo.
   1. Na coluna Incidente de segurança, expanda a lista exibida e selecione um campo.
      Nota:

      Vários observáveis podem ser exibidos no mesmo incidente de segurança. Por exemplo, o. Observável o campo pode ser mapeado várias vezes com valores diferentes. Da mesma forma, o Item de configuração e. Campos de anotações de trabalho suporte a vários valores. Se você tentar mapear dois valores para um campo que não pode oferecer suporte a vários valores, verá uma mensagem de erro informando que este campo não oferece suporte a vários valores. Da mesma forma, se um campo em um incidente de segurança tiver uma lista da qual você pode escolher várias opções e tentar mapear uma opção para esse campo que não seja exibida na lista, o campo não será preenchido no incidente de segurança.
   2. Em AWS Security Hub Seção Campos de origem, arraste o campo para mapeá-lo para o novo campo.
   3. Quando você marca a caixa de seleção que corresponde a um campo, todas as mudanças novas ou atualizadas feitas em AWS Security Hub São atualizados automaticamente no respectivo SIR com novos dados de incidente.
      Nota:

      No sistema de base, a propriedade do sistema sn_sec_security.finding_updates é definida por padrão como verdadeira para receber o. AWS Security Hub Atualizações relacionadas a novos alertas vinculados ao SIR.

      • Por padrão, os campos Usuários afetados, Itens de configuração e Observáveis são verificados. Sempre que houver novos observáveis ou itens de configuração associados, ou usuários afetados que são adicionados ao incidente, essas informações serão extraídas e preenchidas automaticamente nas respectivas listas relacionadas na Resposta a incidentes de segurança (SIR) durante esse intervalo de pesquisa.
      • Para quaisquer outros campos, você deve marcar a caixa de seleção que corresponde a um campo para todas as mudanças novas ou atualizadas feitas na descoberta em AWS Security Hub. Atualiza automaticamente os respectivos dados do incidente SIR com os novos dados do incidente.

      Importante:

      A due diligence deve ser feita antes de selecionar esta funcionalidade, pois a substituição dos dados existentes pode resultar em dados instáveis para o analista trabalhar e qualquer outra automação definida até mesmo pelos valores de campo do incidente de segurança também pode ser afetada. Portanto, é importante fazer a due diligence antes de selecionar qualquer funcionalidade de substituição.
3. Para remover um campo, use ( Remover item ) Ao lado do campo Expressão de entrada na seção Campos de destino do incidente SIR.
4. Para mapear um valor de campo do AWS Security Hub Para um campo na seção Campos de destino do incidente SIR, use uma das seguintes ações:
   1. Arraste o nome do campo (por exemplo, id) e solte-o ao lado de um nome de campo na coluna Campos de destino do incidente SIR.

      Você pode corresponder a qualquer valor do AWS Security Hub Seção Campos de origem para um campo na seção Campos de destino do incidente SIR. Os campos são codificados por cores para que você não ignore ou duplique os campos de descoberta no processo de mapeamento. Campos azuis claros indicam que um campo de descoberta ainda não foi selecionado e mapeado no incidente de segurança. Você pode preferir associar um campo de descoberta de entrada a mais de um campo em um incidente de segurança. Um campo cinza indica que um campo de descoberta foi selecionado e mapeado para um campo no incidente de segurança. Dessa forma, você pode visualizar quais valores de campo foram adicionados ao incidente de segurança e se alguma informação de descoberta importante restante permanece não mapeada. No entanto, existem alguns campos no AWS Security Hub Seção Campos de origem que não são compatíveis com os campos na seção Campos de destino do incidente SIR. Se você mapear esses valores, eles não serão exibidos quando o SIR for criado.

   2. Você pode adicionar uma combinação de texto e campo.
      Por exemplo, O nome da descoberta é . Aqui, O nome da descoberta é pode ser inserido manualmente enquanto (nome) é mapeado a partir de AWS Security Hub Seção Campos de origem.
   3. Você pode inserir e mapear manualmente um campo de descoberta de origem para um campo de destino.
      Use o⁠formato "nome do campo" para mapear manualmente um campo de descoberta de origem. Por exemplo, para mapear a severidade de um campo de descoberta, o formato é ⁠(propriedades(severidade)) .
   Esta integração classifica determinados subtipos observáveis. Ao mapear um AWS Security Hub Campo de descoberta com o campo observável SIR, o. ServiceNow AI Platform classifica automaticamente o observável. Se você quiser mapear genericamente a entrada AWS Security Hub observável para o tipo de observável em SIR, em seguida, arraste e solte o. AWS Security Hub Campo no campo Observável. No entanto, se você estiver ciente do tipo de observável para a entrada AWS Security Hub observável em SIR, em seguida, mapeie especificamente para SIR Campo de tipo de observável. Alguns exemplos de tipos de observáveis específicos em SIR Incluir Observable (nome do domínio), Observable (endereço de e-mail), Observable (endereço IP (V4)) e Observable (nome do host).

   Às vezes, encontrar valores de campo em AWS Security Hub Não pode ser traduzido diretamente para os campos no incidente de segurança SIR. Para esses valores, você pode usar um editor de scripts para formatar valores de campo no incidente de segurança durante a etapa de mapeamento. Use o editor de scripts se quiser formatar valores semelhantes, mas não idênticos.

5. Para formatar uma tradução de campo para um novo campo de um AWS Security Hub Descoberta Para corresponder a um valor de campo em um Incidente de segurança, clique em Clique aqui link no Campos de destino do incidente SIR cabeçalho.
6. Para modificar os campos compatíveis com a tradução de campo, clique em ícone de tradução de campo de formato de script.
   Os campos compatíveis com a tradução de campo são Categoria , Item de configuração e Prioridade . Por exemplo, clique em Ícone ao lado da Categoria. . AWS Security Hub O editor de script Tradução de campo de descobertas é aberto.
7. Insira as mudanças no script e clique em Atualização Para salvar as mudanças e retornar à página Mapeamento.
   Por exemplo, para Categoria, defina o seguinte no editor de scripts:

   "<Incoming Security Hub finding Field Value>" : "<Category to assign to the Security Incident>".

   Este mapeamento garante que um perfil use somente categorias configuradas.
8. Continue seu mapeamento adicionando ou removendo valores de campo.
   Você pode usar os mesmos valores de campo no construtor Condições de geração de incidentes para definir critérios adicionais que uma descoberta de entrada deve atender para criar um incidente de segurança.
9. Para ir para a seção Filtragem e agregação, clique em Continuar .

O que Fazer Depois

Defina e defina condições de filtro para que você possa especificar quais descobertas criam incidentes de segurança. Você pode usar os mesmos valores de campo (definidos na seção Mapeamento) no construtor Condições de geração de incidentes (na seção Filtragem e agregação) para definir critérios adicionais que uma descoberta de entrada deve atender para criar um incidente de segurança.