McAfee ePO 統合のシステム拡張クエリに対するプロファイルとセキュリティインシデントの構成
設定した条件でのみプロファイルがトリガーされるように、プロファイル設定を構成します。
始める前に
必要なロール：Now Platform® セキュリティインシデントアドミン (sn_si_admin)
このタスクについて
プロファイルに対して選択した McAfee ePO 機能を自動的にトリガーする条件を定義します。[構成アイテム] (CI) フィールドの代替入力フィールドを選択することもできます。この代替フィールドでは、トリガーイベントに関連するセキュリティインシデントのみが自動的にプロファイルをトリガーするように、フィルタリング条件を設定できます。
手順
-
フォームの各フィールドに入力します。
オプション 説明 代替 CI トリガーフィールドを有効にする 代替構成アイテム (CI) トリガーフィールド。デフォルトはクリアされています。 このチェックボックスをオフにしてオプションを無効にすると、[CI] フィールドに対する代替のフィールドは識別されません。無効な場合は、SIR セキュリティインシデントで [CI] フィールドの値を入力する必要があります。このフィールドの値が McAfee ePO コンソールで認識されないと、プロファイルが拡張データを収集しません。
インシデントの作成時に [CI] フィールドが入力されなくても、セキュリティインシデントの別のフィールドに CI 情報が入力されると思われる場合は、このチェックボックスをオンにします。このオプションを有効にすると、[代替 CI トリガー] フィールド選択リストが表示されます。選択リストから代替フィールドを選択して、CI 検索条件を確認します。
代替 CI トリガーフィールドの詳細については、「McAfee ePO のプロファイルの構成アイテム (CI) フィールドを使用したトリガー条件の定義」を参照してください。
タグを表示 セキュリティタグはセキュリティインシデントに表示されます。デフォルトはクリアされています。 このチェックボックスをオフにしてタグ付けオプションを無効にすると、構成フォームにセキュリティタグ名が表示されず、関連のセキュリティインシデントにタグが表示されません。この例では、セキュリティタグのオプションが無効になっています。
インシデントに基づく自動トリガー フィルター条件。デフォルトはクリアされています。 チェックボックスをオフにしてオプションを無効にすると、プロファイルをセキュリティインシデントから手動で呼び出す必要があります。
このオプションを有効にすると、フィルター条件ビルダーが表示されます。フィルター条件を設定して、インシデントの作成時にプロファイルを自動的に実行するタイミングを指定する必要があります。
拡張クエリを実行するプロファイルのフィルターの例としては、[カテゴリ] が [悪意のあるコードアクティビティ] と [ビジネスインパクト] [次の値に等しい (is)] [1-重大] というものが一般的です。これらのフィルター条件によって、特定のタイプのセキュリティイベントに関連するインシデントを見つけやすくなり、レビューする必要があるセキュリティインシデントの数を制限しやすくなります。
設定したフィルター設定は変更しない限りは保存されたままになり、インシデントのプレビューとテストの構成手順で編集できます。承認が必要 承認要求オプション。デフォルトはクリアされています。 この承認オプションは任意のプロファイルで使用できます。通常、承認はホスト隔離やマルウェアスキャンなどのアクションを呼び出す機能に使用されます。
チェックボックスをオフにしてこのオプションを無効すると、承認要求は送信されません。この例では、システム拡張クエリに事前の権限は必要ありません。