Configure um perfil para iniciar a verificação de malware

Depois de criar um perfil com o recurso Iniciar verificação de malware e qualquer outro McAfee ePO recursos que você deseja que o perfil execute, defina as configurações do perfil para que ele seja invocado sob as condições específicas que você definir.

Antes de Iniciar

Função necessária: sn_si.admin

Por Que e Quando Desempenhar Esta Tarefa

Como um usuário com a função sn_si.admin, configure o perfil para que ele programe uma verificação somente quando as condições especificadas forem atendidas em ServiceNow AI Platform Resposta a incidentes de segurança( SIR incidentes de segurança. Você define quais condições em incidentes de segurança acionam a verificação. Qualquer outro McAfee ePO as capacidades selecionadas para o perfil compartilham as condições de acionamento. As opções para selecionar um campo de entrada alternativo para o campo Item de configuração (IC) e definir condições de filtragem estão disponíveis. Você pode preferir definir a filtragem para que somente esses SIR os incidentes de segurança relacionados ao seu evento de gatilho invocam automaticamente o perfil.

Da mesma forma que ocorre com a ação Isolar host, você pode iniciar uma verificação sob demanda diretamente de um SIR incidente de segurança. Para obter mais informações sobre como iniciar uma verificação manualmente, consulte Gatilho McAfee ePO perfil manualmente a partir de um incidente de segurança.

Procedimento

1. Se a página Configuração não for exibida, clique em Configuração na barra de andamento.

   

   O formulário Configuração é exibido.
2. Preencha o formulário.

   Opção	Descrição
   Habilitar campo de gatilho de IC alternativo	Campo de gatilho de item de configuração alternativo (IC). O padrão é desabilitado. Para este exemplo, a caixa de seleção está desmarcada. Quando esta caixa de seleção está desmarcada e a opção de campo de gatilho de IC alternativo está desabilitada, uma alternativa para o campo de IC não é identificada. Se desabilitado, um valor para o campo IC deve ser preenchido em um SIR incidente de segurança e o valor no campo devem ser reconhecidos pelo McAfee ePO console antes da execução do perfil. Quando esta caixa de seleção é marcada e esta opção está habilitada, a lista de seleção do campo do gatilho de IC alternativo é exibida. Escolha qualquer campo desta lista como um campo alternativo para o IC. Para obter mais informações sobre o campo do gatilho de IC alternativo, consulte Definir condições de acionamento com um campo Item de configuração (IC) e. Crie um perfil de capacidade.
   Marcadores de exibição	Marcadores de segurança em incidentes de segurança. O padrão é desabilitado. Quando esta caixa de seleção está desmarcada e a opção de marcação está desabilitada, nenhum nome de marcador de segurança é exibido no incidente de segurança. Deixe esta caixa de seleção desmarcada se você não quiser que marcadores de segurança sejam exibidos em incidentes de segurança relacionados. Quando a caixa de seleção é marcada e a opção de marcação está habilitada, os nomes dos marcadores de segurança são exibidos no formulário de configuração. Estes são os nomes dos marcadores exibidos em incidentes de segurança relacionados. Verificações de malware podem ser programadas fora do horário comercial e levar tempo para serem concluídas. Na parte superior do incidente de segurança, quando a marcação está habilitada, um marcador de segurança é exibido indicando que a verificação está programada. Depois que a verificação é concluída com sucesso, o marcador programado é substituído automaticamente por um marcador que indica que a verificação foi concluída com sucesso. Nomes e cores de marcador podem ser editados. Para obter mais informações, consulte Edite marcadores de segurança no ServiceNow AI Platform para McAfee ePO integração.
   Gatilho automático com base no incidente	Condições de filtro. O padrão é desabilitado. Quando a caixa de seleção está desmarcada e a opção está desabilitada, o perfil não inicia automaticamente uma verificação de malware. O perfil deve ser iniciado manualmente a partir de um incidente de segurança. Quando a caixa de seleção está marcada e a opção de gatilho automático está habilitada, o Construtor de condição de filtro é exibido no formulário. Você deve definir as condições de filtragem para especificar quando o perfil será executado automaticamente após a criação do incidente. Para este exemplo, filtra para A categoria é uma atividade de código mal-intencionado e. O impacto nos negócios é 1 - Crítico são usados. Para obter mais informações sobre o construtor de condições de filtro, consulte Crie um perfil de capacidade.
   Requer Aprovação	Requer aprovação antes de iniciar a verificação. O padrão é desabilitado. Quando a caixa de seleção está desmarcada e a opção Aprovação está desabilitada, um usuário com a função sn_si.analyst inicia uma verificação de malware sem solicitar aprovação prévia. Marque esta caixa de seleção e habilite esta opção se quiser que um usuário com a função sn_si.analyst solicite aprovação antes de iniciar uma verificação de malware.

   Para este exemplo, as opções de aprovação e marcação estão habilitadas para o perfil. Para obter mais informações sobre como configurar o. Habilitar campo de gatilho de IC alternativo e o. Gatilho automático com base no incidente opções, consulte Configure perfis e incidentes de segurança para consultas de aprimoramento do sistema.

3. Escolha uma opção para continuar.

   Opção	Descrição
   Anterior	Retorne à etapa Nome se quiser editar o perfil.
   Salvar	Salve suas mudanças e permaneça nesta página. Para salvar suas mudanças, na faixa cinza na parte superior da tela, clique com o botão direito do mouse. No menu exibido, clique em Salvar .
   Continue ou selecione Testar incidente na barra de andamento	Prossiga para a etapa Testar incidente e visualização. Se você sair da página sem salvar suas mudanças antes, suas edições não serão salvas.
   Excluir	Exclua este perfil do McAfee ePO Lista de perfis de capacidade.

   Você configurou o perfil com sucesso para que uma verificação de malware seja acionada automaticamente após a criação do incidente. Um campo de IC alternativo é usado para preencher os resultados de IC correspondentes da verificação. A próxima etapa é visualizar e testar incidentes de segurança para este perfil.