Soumettre des entrées de liste de blocs directement à partir de la table d’entrée de la liste de blocs
Pour les observables déterminés comme malveillants et non associés à un incident de sécurité Now Platform spécifique, soumettez des entrées de liste de blocs à partir de la liste de blocs.
Avant de commencer
Rôle requis : Administrateur des incidents de sécurité (sn_si.analyst)
Pourquoi et quand exécuter cette tâche
Lorsque vous souhaitez bloquer un observable que vous avez déterminé comme malveillant ou autoriser un observable que vous avez déterminé comme non malveillant et que l’observable n’est pas associé à un enregistrement d’incident de sécurité spécifique ServiceNow AI Platform , vous soumettez des entrées de liste de blocs directement à partir de la liste de blocs. Des exemples de ces types d’entrées de liste de blocs peuvent être des URL ou des domaines pour des sites spécifiques.
Procédure
-
Accédez à la .
-
Dans le champ Valeur d’entrée , saisissez une valeur pour votre observable.
Les deux résultats possibles de cette entrée :
- Les autres champs du formulaire sont renseignés automatiquement.
- Un observable correspondant est trouvé et un message s’affiche pour indiquer qu’un observable correspondant existe. Sélectionnez la liste de blocs à laquelle vous souhaitez joindre cette entrée, puis cliquez sur Soumettre. Sélectionnez la liste de blocs à laquelle vous souhaitez joindre cette entrée avant de définir la période d’expiration.
-
Si vous avez configuré l’approbation par e-mail dans votre workflow, une demande d’approbation par e-mail est envoyée.
Si un message s’affiche et vous demande de renseigner manuellement le reste des informations, renseignez les champs.
Champ Description Type d'observable Type d’observable pris en charge à partir de la boîte de dialogue. Nom de la liste de blocs Liste de blocs à laquelle vous souhaitez accéder à l’entrée. Remarque :Sélectionnez la liste de blocs à laquelle vous souhaitez joindre l’entrée avant de définir la période d’expiration.Activer le remplacement (sélectionné par défaut) Rechercher le résultat ou la source. Une fois configuré, il vous permet d’entrer un résultat de recherche et la source utilisée pour trouver les résultats. Ces champs sont généralement renseignés lors de la création d’un enregistrement d’incident de sécurité. Dans ce cas, il n’y a pas de résultat de recherche ni de source, et vous remplissez ces champs manuellement. Résultat de la recherche Sélectionnez Inconnu ou Malicieux. Source Source qui effectue une recherche de menaces sur l’entrée de la liste de blocage, par exemple, ThreatCrowd ou autres. Période d’expiration La période d’expiration héritée de la liste de blocs par défaut. Vous pouvez remplacer cette valeur, mais uniquement lors de la création de l’entrée. 0 indique que l’entrée de la liste de blocs n’expire jamais.
Si vous modifiez cette valeur, cette entrée est active pendant le nombre de jours que vous saisissez. Vous pouvez saisir une valeur minimale de 1, mais il n’y a pas de valeur maximale.
Par exemple, si vous entrez 30 jours à 14h01 le 1er mai, l’entrée Liste de blocs expirera à 14h01 le 31 mai. Cependant, le planificateur vérifie les entrées expirées à 00h00 tous les jours et modifie l’état de l’entrée en « expiré » à 00h00 le 1er juin.
-
Cliquez sur Envoyer.
Si vous avez modifié la période d’expiration par défaut de l’entrée de la liste de blocage, une boîte de dialogue de confirmation d’avertissement s’affiche indiquant que la période diffère de la liste de blocs sélectionnée.
Option Description Oui Confirme votre remplacement d’expiration, sauvegarde l’enregistrement et vous renvoie aux entrées de la liste de blocs Check Point. Si vous avez configuré l’approbation par e-mail dans votre workflow, une demande d’approbation par e-mail est envoyée. Non Annule le remplacement. À ce stade, vous pouvez modifier la valeur de la période d’expiration. Après avoir modifié la valeur, cliquez sur Envoyer pour revenir à la liste Entrées de blocs Check Point.
-
Si ce n’est pas le cas, accédez aux entrées de la liste de demandes de blocs Check Point et notez que l’état de l’entrée est En attente.
L’entrée est maintenant prête à être approuvée.