Mapper les champs de AWS Security Hub résultat

  • Rversion finale: Australia
  • Mis à jour 12 mars 2026
  • 7 minutes de lecture

    • Mappez les champs de résultat individuels AWS Security Hub aux champs de l’incident SIR de sécurité afin de pouvoir créer des incidents avec les données mappées.

    Avant de commencer

    Rôle requis : sn_si.admin

    Procédure

    1. Sur la page de mappage, dans la AWS Security Hub section Mappage, sélectionnez l’une des méthodes d’intégration d’échantillons.
      Tableau 1. Méthodes d'intégration des exemples
      Champ Description
      Tous les champs de résultat par défaut Utilisez cette méthode d’ingestion pour afficher la liste statique de tous les champs de résultats. Cette méthode contient uniquement des noms de champs par défaut sans valeur.

      Vous pouvez utiliser ces informations pour mapper avec les SIR champs.
      Récupérer les résultats récents AWS Security Hub Utilisez cette méthode d’ingestion pour importer les données des résultats les plus récents.

      Vous pouvez ingérer 5 résultats d’échantillon par défaut et un maximum de 20 résultats d’échantillon.

      Les valeurs des champs de résultat d’échantillon sont renseignées lorsque le profil ingère les résultats d’échantillon. Vous pouvez mapper ces résultats aux champs cibles des incidents SIR. Les champs et les valeurs de résultat apparaissent sous forme d’onglets individuels.
      Importer des exemples de données Sélectionnez Importer les exemples de données pour importer les résultats d’échantillon à partir de AWS Security Hub.

      Ce bouton s’affiche lorsque vous sélectionnez la méthode d’ingestion Récupérer les résultats récents AWS Security Hub .

      La récupération des échantillons de résultats à partir du AWS Security Hub serveur prend quelques instants.

      Mappez ces résultats aux champs cibles des incidents SIR. Les champs et les valeurs de résultat apparaissent sous forme d’onglets individuels.
    2. Pour ajouter des champs aux champs par défaut qui sont affichés sur l’incident de sécurité, procédez comme suit :
      Dans la section Champs cibles des incidents SIR, sélectionnez le bouton Mapper un autre champ. Elle affiche une liste de champs, à partir desquels SIR vous pouvez choisir d’afficher un nouveau champ.
      1. Dans la colonne Incident de sécurité, développez la liste affichée, puis sélectionnez un champ.
        Remarque :
        Plusieurs observables peuvent être affichés sur le même incident de sécurité. Par exemple, le champ Observable peut être mappé plusieurs fois avec différentes valeurs. De même, les champs Configuration Item (Élément de configuration ) et Work notes (Notes de travail ) prennent en charge plusieurs valeurs. Si vous essayez de mapper deux valeurs à un champ qui ne peut pas prendre en charge plusieurs valeurs, un message d’erreur s’affiche indiquant que ce champ ne prend pas en charge plusieurs valeurs. De même, si un champ d’un incident de sécurité comporte une liste dans laquelle vous pouvez choisir plusieurs options, et que vous essayez de mapper à ce champ une option qui n’est pas affichée dans la liste, le champ n’est pas renseigné sur l’incident de sécurité.
      2. Dans la AWS Security Hub section Champs sources, faites glisser votre champ pour le mapper à votre nouveau champ.
      3. Lorsque vous cochez la case correspondant à un champ, toutes les modifications nouvelles ou mises à jour apportées sont AWS Security Hub automatiquement mises à jour dans le SIR respectif avec les nouvelles données d’incident.
        Remarque :
        Dans le système de base, la propriété système sn_sec_security.finding_updates est définie par défaut sur True pour recevoir les AWS Security Hub mises à jour associées aux nouvelles alertes liées à SIR.
        • Par défaut, les champs Utilisateurs affectés, Éléments de configuration et Observables sont cochés. Cela signifie que chaque fois que de nouveaux observables ou éléments de configuration associés, ou des utilisateurs affectés sont ajoutés à l’incident, ces informations sont automatiquement extraites et renseignées dans les listes connexes respectives de Réponse aux incidents de sécurité (SIR) pendant cet intervalle d’interrogation.
        • Pour tous les autres champs, vous devez cocher la case correspondant à un champ pour toutes les modifications nouvelles ou mises à jour apportées au résultat dans AWS Security Hub. Cela met automatiquement à jour les données d’incident SIR respectives avec les nouvelles données d’incident.
        Important :
        Une vérification raisonnable est requise avant de sélectionner cette fonctionnalité, car le remplacement des données existantes peut entraîner des données instables pour l’analyste et toute autre automatisation définie même par les valeurs de champ de l’incident de sécurité peut également être affectée. Il est donc important de faire preuve de diligence raisonnable avant de sélectionner une fonctionnalité de remplacement.
    3. Pour supprimer un champ, utilisez le bouton Supprimer(Supprimer l’élément) à côté du champ d’expression d’entrée dans la section Champs cibles des incidents SIR.
    4. Pour mapper une valeur de champ de la AWS Security Hub section Champs sources à un champ de la section Champs cibles d’incidents SIR, utilisez l’une des actions suivantes :
      1. Faites glisser le nom de champ (par exemple, l’ID) et déposez-le à côté d’un nom de champ dans la colonne Champs cibles des incidents SIR.

        Vous pouvez faire correspondre n’importe quelle valeur de la AWS Security Hub section Champs sources à un champ de la section Champs cibles des incidents SIR. Les champs sont codés par couleur afin que vous ne négligez pas ou ne dupliquiez pas les champs de recherche dans le processus de mappage. Les champs bleu clair indiquent qu’aucun champ de résultat n’est pas encore sélectionné et mappé sur l’incident de sécurité. Vous préférez peut-être associer un champ de résultat entrant à plusieurs champs sur un incident de sécurité. Un champ gris indique qu’un champ de résultat a été sélectionné et mappé à un champ sur l’incident de sécurité. De cette façon, vous pouvez visualiser quelles valeurs de champ ont été ajoutées à l’incident de sécurité et si des informations de résultat importantes restantes restent non mappées. Toutefois, certains champs de la AWS Security Hub section Champs sources ne sont pas compatibles avec les champs de la section Champs cibles des incidents SIR. Si vous mappez ces valeurs, elles ne s’affichent pas lorsque le SIR est créé.

      2. Vous pouvez ajouter une combinaison de texte et de champ.
        Par exemple, le nom de la recherche est ${name}$. Ici, le nom du résultat peut être saisi manuellement tandis que ${name}$ est mappé à partir de la AWS Security Hub section Champs sources.
      3. Vous pouvez saisir manuellement et mapper un champ de recherche source à un champ cible.
        Utilisez le format ${nom de champ}$ pour mapper manuellement un champ de recherche source. Par exemple, pour mapper la gravité d’un champ de résultat, le format est ${properties(severity)}$.
      Cette intégration classe certains sous-types d’observables. Lorsque vous mappez un champ de AWS Security Hub recherche avec le champ observable SIR, l’observable ServiceNow AI Platform est classé automatiquement. Si vous souhaitez mapper de manière générique l’observable entrant AWS Security Hub au type d’observable dans SIR, puis glissez-déplacez le AWS Security Hub champ dans le champ Observable. Toutefois, si vous connaissez le type d’observable pour l’observable entrant AWS Security Hub dans SIR, effectuez un mappage spécifique au champ Type d’observable SIR . Parmi les exemples de types SIR d’observables spécifiques, citons Observable (nom de domaine), Observable (adresse e-mail), Observable (adresse IP (V4)) et Observable (nom d’hôte).

      Parfois, la recherche de valeurs de champ dans AWS Security Hub peut ne pas se traduire directement dans les champs de l’incident de sécurité SIR. Pour ces valeurs, vous pouvez utiliser un éditeur de script pour formater les valeurs de champ sur l’incident de sécurité pendant l’étape de mappage. Utilisez l’éditeur de script si vous souhaitez formater des valeurs similaires, mais pas identiques.

    5. Pour formater une traduction de champ pour un nouveau champ à partir d’un AWS Security Hub résultat afin qu’il corresponde à une valeur de champ sur un incident de sécurité, cliquez sur le lien Cliquez ici dans l’en-tête des champs cibles d’incidents SIR .
    6. Pour modifier les champs qui prennent en charge la traduction de champ, cliquez sur l’icône Traduction de champ de bouton de format de champ.
      Les champs qui prennent en charge la traduction des champs sont Catégorie, Élément de configuration et Priorité. Par exemple, cliquez sur l’icône du bouton Format de champ à côté de la catégorie. L’éditeur AWS Security Hub de script de traduction de champ résultats s’ouvre.
    7. Entrez les modifications apportées au script, cliquez sur Mettre à jour pour les enregistrer et revenir à la page de mappage.
      Par exemple, pour Catégorie, définissez les éléments suivants dans l’éditeur de script :
      "<Incoming Security Hub finding Field Value>" : "<Category to assign to the Security Incident>".
      Ce mappage garantit qu’un profil n’utilise que des catégories configurées.
    8. Poursuivez votre mappage en ajoutant ou en supprimant des valeurs de champ.
      Vous pouvez utiliser les mêmes valeurs de champ dans le générateur de conditions de génération d’incidents pour définir des critères supplémentaires qu’un résultat entrant doit satisfaire pour créer un incident de sécurité.
    9. Pour passer à la section Filtrage et agrégation, cliquez sur Continuer.

    Que faire ensuite

    Définissez et définissez des conditions de filtre afin de pouvoir spécifier les résultats qui créent des incidents de sécurité. Vous pouvez utiliser les mêmes valeurs de champ (définies dans la section Mappage) dans le générateur de conditions de génération d’incident (dans la section Filtrage et agrégation) pour définir des critères supplémentaires qu’un résultat entrant doit satisfaire pour créer un incident de sécurité.