Notes de publication Réponse aux incidents de sécurité
L’application ServiceNow® Réponse aux incidents de sécurité (SIR) aide votre organisation à connecter les équipes informatiques et de sécurité, à réagir plus rapidement et efficacement aux menaces et à obtenir un aperçu de la posture de sécurité de votre organisation. Réponse aux incidents de sécurité a été amélioré et mis à jour dans la Australie version.
Points forts d'Réponse aux incidents de sécurité pour la version Australie
- Activez les actions de réponse automatisées en intégrant CrowdStrike Next-Gen SIEM à la ServiceNow Réponse aux incidents de sécurité plateforme pour récupérer les détections et les convertir en incidents de sécurité.
- Extraire les infractions fermées de IBM QRadar dans Réponse aux incidents de sécurité.
- Créez rapidement des intégrations pour Réponse aux incidents de sécurité utiliser la génération de code automatique via le générateur d’intégration Now Assist alimenté par LLM.
- Ingérez les données MITRE D3FEND et visualisez les relations attaque-défense via un graphique interactif directement au sein d’un incident de sécurité.
Consultez Security Incident Response pour plus d'informations.
Important :
Réponse aux incidents de sécurité est disponible dans le ServiceNow Store. Pour en savoir plus, reportez-vous à la section « Informations sur l’activation » de ces notes de version.
Nouveautés de la version Australie
Australie Correctif 1
- Vous ServiceNow AI Platform offre désormais une nouvelle expérience d’IA avec trois niveaux de licence disponibles :
- Base : les bases de l’IA pour fournir des informations
- Avancé : l’IA pour stimuler la productivité dans les cas d’utilisation pertinents
- Prime : Agir de manière autonome avec tous les actifs IA et créer les vôtres
Selon votre licence, vous aurez accès à certaines fonctionnalités d’application, compétences d’IA générative, workflows agentiques et agents IA.
- CrowdStrike Next-Gen SIEM integration
- En tant qu’administrateur de profil :
- Découvrez CrowdStrike Next-Gen SIEM les détections qui sont candidates aux incidents de sécurité et automatisez la création de ces incidents de sécurité.
- Créer des profils de détection.
- Mappez CrowdStrike Next-Gen SIEM les champs de détection et d’événements aux champs d’incident SIR de sécurité.
- Défauts des filtres CrowdStrike Next-Gen SIEM .
- Agrégez les détections aux incidents de sécurité ouverts existants afin de ne pas avoir à créer des incidents de sécurité en double.
- Automatiser les CrowdStrike Next-Gen SIEM mises à jour de l’état de détection pour Réponse aux incidents de sécurité.
- Synchronisez les commentaires de détection avec SIR les CrowdStrike Next-Gen SIEM notes de travail.
- Components installed with Security Incident Response
- Un nouveau rôle d’administrateur de profil (sn_si.ingestion_profile_admin) permet de configurer des modules d’extension et de créer, modifier, supprimer et gérer des profils pour Splunk ES, Splunk Enterprise Event Ingestion ainsi Microsoft Azure Sentinel que l’intégration de Opérations de sécurité l’application.
- Add unmatched affected user for security incidents
- La nouvelle table « Utilisateurs sans correspondance d’incident de sécurité » capture les enregistrements d’utilisateurs affectés sans correspondance pour les incidents de sécurité, ce qui permet aux analystes d’identifier et de traiter les écarts lorsque les enregistrements utilisateur ne correspondent pas aux enregistrements système existants.
- LLM-powered SIR integration builder
- Avec les dernières intégrations alimentées par LLM sur le , vous pouvez créer rapidement une intégration prête à ServiceNow AI Platform l’emploi. Le générateur d’intégration alimenté par LLM dispose des options suivantes :
- Génère automatiquement du code d’intégration à partir d’une documentation d’API publique
- Fournit une configuration guidée basée sur des options existantes
- Permet de modifier et de gérer facilement le code automatique généré
- MITRE D3FEND framework
- Les administrateurs de sécurité peuvent désormais ingérer des données MITRE D3FEND. Les analystes de sécurité peuvent explorer les techniques MITRE ATT&CK et D3FEND grâce à une visualisation interactive basée sur des nœuds qui mappe les techniques d’attaque, les techniques de défense et les artefacts connexes dans un Réponse aux incidents de sécurité enregistrement.
- Conserver les balises de sécurité manuelles et restreindre leur suppression
- Les balises de sécurité manuelles appliquées par les analystes sont conservées lorsque les règles de balisage automatique s’exécutent sur des incidents de sécurité, évitant ainsi la suppression par inadvertance des balises au cours des processus automatisés. Les analystes ne peuvent plus supprimer manuellement les balises de sécurité une fois appliquées à un incident, ce qui garantit la cohérence des balises tout au long du cycle de vie de l’incident.
- Affecter des relations parentes à des incidents de sécurité similaires
- Sélectionnez plusieurs incidents de sécurité similaires dans la liste connexe Incidents de sécurité similaires et liez-les en tant qu’enfants à l’incident de sécurité actuel à l’aide du bouton Lier en tant qu’enfants .
- View and update Security Incident Response system properties
- Affichez et mettez à jour les propriétés système spécifiques à l’espace de travail directement à partir de l’interface des paramètres d’administration de l’espace Réponse aux incidents de sécurité de travail.
- Create quick filters for Security Incidents and Response Tasks lists
- Activez le filtrage rapide des listes d’incidents de sécurité en fonction de critères prédéfinis en créant et en gérant des filtres rapides pour les tables Incident de sécurité [sn.si.incident] et Tâches de réponse [sn_si_task] dans le SIR Workspace. Les filtres sont stockés dans la table Filtres rapides [sn_si_aw_quick_filters].
- Configure auto refresh interval for security incident lists
- Configurez l’actualisation de la liste des incidents de sécurité à des intervalles spécifiés à l’aide de la propriété système
sn_si_incident.auto_refresh_interval. Le taux d’actualisation par défaut est de cinq minutes. - Contrôler l’accès des utilisateurs externes à l’incident de sécurité
- Les utilisateurs SOC peuvent accorder un accès en lecture seule à des incidents de sécurité spécifiques pour des utilisateurs externes définis via le champ Accès à l’incident de sécurité de l’espace de travail SIR.
- Configure default landing tab for security analysts
- Personnalisez l’onglet de destination par défaut pour les analystes et les gestionnaires de sécurité lorsqu’ils ouvrent un incident de sécurité.
- Composer des e-mails à partir des onglets Tâches de réponse et Enquête
- Envoyez des e-mails sans avoir à changer d’onglet en les composant directement à partir des onglets Tâches de réponse et Enquête d’un incident de sécurité.
- Configure default view for contextual menu
- Déterminez si le panneau de menu contextuel d’un incident de sécurité est développé ou réduit par défaut lorsqu’un analyste de sécurité ouvre un incident de sécurité.
Changements apportés à cette version
- Affecter des groupes dans PIR Règles d’affectation d’utilisateur
- Les règles d’affectation d’utilisateur pour les évaluations de revue post-incident (PIR) dans le module SIR prennent désormais en charge l’affectation basée sur les groupes en plus de la sélection d’utilisateurs individuels. Vous pouvez configurer des règles d’affectation à l’aide de groupes. Le PIR reflète automatiquement les mises à jour des adhésions aux groupes sans nécessiter de modifications manuelles de la configuration des règles d’affectation.
Informations sur l'activation
Installer Réponse aux incidents de sécurité en le demandant à partir de ServiceNow Store. Visitez le ServiceNow Store pour afficher toutes les applications disponibles et pour obtenir des informations sur la soumission de demandes à la boutique. Pour obtenir des informations sur les notes de publication cumulatives pour toutes les applications publiées, consultez les ServiceNow Store notes de publication relatives à l'historique des versions.
- Security Operations common functionality
- Le module d’extension Security Support Common est activé lorsque l’un des modules d’extension des applications principales Opérations de sécurité (Réponse aux incidents de sécurité, Réponse aux vulnérabilités, Renseignements sur les menaces ou Conformité de la configuration) est activé.
Informations sur le module d’extension
- Module d’extension déconseillé
-
Le module d’extension suivant est obsolète dans Australie:
Réponse aux incidents de sécurité UI (sn_app_secops_ui) : ce module d’extension est remplacé par Espace de travail de la Réponse aux incidents de sécurité (sn_si_aw).