マッピングされた LogRhythm アラーム値を使用したセキュリティインシデントのプレビュー
マッピングステップを完了したら、セキュリティインシデントのフィールドにマッピングした値をプレビューします。このプレビューステップでは、セキュリティインシデントに表示する重大な LogRhythm アラートフィールドがすべてマッピングされていることを確認できます。
必要なロール：sn_si.admin
セキュリティインシデント
セキュリティインシデントのプレビューが表示されない場合は、進捗状況バーの [プレビュー] をクリックします。
Now Platform セキュリティインシデント全体のプレビューの例を次の 2 つの図に示します。このセキュリティインシデントのプレビューの例では、サンプルアラーム「13663」からマッピングされた LogRhythm アラームフィールドが入力されています。
次の図では、セキュリティインシデントの「Configuration item」、「Affected user」、「Priority」、「Assignment Group」、および「Short description」のフィールドが入力されています。
セキュリティインシデントフォームの下半分に「Description」のフィールドが設定されます。[関連アイテム] セクションの「Configuration item」、「Observable」、および「Work note」のフィールドに値が入力されます。これらのフィールドの複数の値がマッピングされている場合、これらのフィールドは複数の値を受け入れることができるため、各値がセキュリティインシデントに表示されます。
プレビューのエラー条件
セキュリティインシデントをプレビューすると、次の警告メッセージが表示される場合があります。サンプルアラームがフィルタリング基準を満たしていない場合、セキュリティインシデントは一部設定されません。
入力値が非検出
アラーム ID がフィルタリング条件内に含まれている場合でも、マッピングされた特定のフィールドで特定の入力値が見つからないと、警告メッセージが表示されることがあります。次の例では、レコードのプレビューで、マッピングされているにもかかわらず「Assigned to」のフィールドに値がないと仮定します。
このタイプのメッセージの場合は、[マッピング] レコードで入力値が正しいことを確認します。この場合は、セキュリティインシデントの「Assigned to」のフィールドのユーザーが Now Platform インスタンスで正しくありません。このアラームが取り込まれ、この条件でセキュリティインシデントが作成されると、この入力値 (Abel Tuter) を持つフィールドはセキュリティインシデントで空白のままになります。
残りの青色のメッセージは情報であり、これらのフィールドにはプレビューに表示する値がないことを示しています。このプレビューにより、アラームプロファイルを設定するセキュリティインシデントアドミニストレーターは、初期作成段階ではこれらのフィールドに値がないことを確認できるようになります。これは、セキュリティインシデントフィールドが後で自動的に入力される場合があるためです。他のマッピングエラーも表示されます。
マッピングとセキュリティインシデントのプレビューに問題がない場合は、いずれかを選択して構成を続行します。
| オプション | 説明 |
|---|---|
| 進捗状況バーで [続行] または [スケジューリング] をクリックします。 | [スケジューリングおよびアラームの取得] フォームに進みます。 進捗状況バーで [スケジューリングおよびアラームの取得] が選択されていることを確認します。次のステップでは、アラームの取得をスケジュールします。 |
| [前へ] をクリックします。 | アラームプロファイルに戻り、マッピングを続行します。 |
| プレビューフォームの上部にある [サンプルアラーム ID] 選択リストに別のアラーム ID を入力します。 | 入力したアラーム ID ごとに [サンプルアラーム ID] 選択リストが表示されます。最大 5 つのアラームを選択できます。 このオプションを使用すると、セキュリティインシデントに関する別の LogRhythm アラーム ID をプレビューできます。 |
セキュリティインシデントをプレビューし、結果に問題がない場合は、次のステップは「LogRhythm アラームのスケジュールおよび取得」です。