Die Funktion „Von Anwendern gemeldetes Phishing“ in diesem Release ist eine erweiterte Version der bestehenden Funktionalität von „Von Anwendern gemeldetes Phishing“, die im London-Release verfügbar war. Weitere Informationen finden Sie im Thema Regeln zur Validierung von von Anwendern gemeldeten Phishing-Angriffen erstellen in der London-Dokumentation.

Wichtige Installationsanweisungen

Die folgende Abbildung zeigt die Unterschiede zwischen dem alten und dem neuen Design: Von

Die folgende Abbildung zeigt die neue Phishing-E-Mail-Tabelle mit Verweisen auf die übereinstimmende URP-Regel und den Zieldatensatz für Security Incidents (sn_si_incident).

Phishing-E-Mail-Datensätze, die in der Tabelle „sn_si_phishing_email“ gespeichert sind, werden in Datensätze zu Security Incidents konvertiert.

Klicken Sie auf, um den Security Incident anzuzeigen, der dem Phishing-E-Mail-Datensatz zugeordnet ist Security Incident > Phishing-E-Mail > Alle Phishing-E-Mails anzeigenan.

Klicken Sie auf den Link in der Spalte „Security Incident“, die dem Phishing-E-Mail-Datensatz zugeordnet ist. Die Details des Security Incidents werden angezeigt.

Zugehörige Listen

Scrollen Sie nach unten zum Abschnitt „Zugehörige Links“ des Security Incidents, und klicken Sie auf die zugehörige Liste Alle anzeigen. Zeigen Sie Details wie untergeordnete Security Incidents, betroffene Anwender und zugehörige Phishing-E-Mails an.

Untergeordnete Security Incidents

Klicken Sie auf die Registerkarte Untergeordnete Security Incidents. Sie können eine Liste der untergeordneten Security Incidents anzeigen, die dem übergeordneten Security Incident zugeordnet sind, basierend auf der angewendeten Zusammenfassungslogik. Für jeden hinzugefügten untergeordneten Datensatz wird dem übergeordneten Datensatz eine automatisierte Systemaktivität hinzugefügt (im Abschnitt „Arbeitsnotiz“). Dadurch wird der Sicherheitsanalyst über den aggregierten untergeordneten Datensatz benachrichtigt.

Hinweis:

Sie können die untergeordneten Security Incidents hier nur anzeigen, wenn die Kennzeichnung Untergeordnete Incidents für zusammengefasste E-Mail-Übermittlungen erstellen auf der Seite „Eigenschaften von vom Anwender gemeldetem Phishing“ auf Ja gesetzt ist. Details siehe Definieren Sie Eigenschaften für vom Benutzer gemeldetes Phishing.

Zugehörige Phishing-E-Mails

Klicken Sie auf die Registerkarte Zugehörige Phishing-E-Mails. Sie sehen eine Liste der Phishing-E-Mail-Datensätze (doppelte Datensätze), die dem übergeordneten Phishing-E-Mail-Datensatz zugeordnet sind.

Zugehörige Phishing-E-Mail-Header

Klicken Sie auf die Registerkarte Zugehörige Phishing-E-Mails. Sie sehen die Headerdetails der Phishing-E-Mail, die als Teil des Security Incident erfasst wurden. Sie können die Rollup-Header aller untergeordneten Datensätze und Phishing-E-Mail-Datensätze anzeigen, die im übergeordneten Security Incident zusammengefasst sind.

Nicht abgeglichene Anwender werden erfasst

Einige E-Mail-IDs in der Liste „An“ und „CC“ der Phishing-E-Mail gehören möglicherweise nicht zu Anwendern in der Organisation. Diese E-Mail-IDs werden als nicht übereinstimmende Anwender kategorisiert und sind nicht in der zugehörigen Liste „Betroffene Anwender“ enthalten. Es wird eine Arbeitsnotiz angezeigt, die angibt, dass dies Benutzer ohne Übereinstimmung sind.

Dieser Abschnitt behandelt einige der häufig gestellten Fragen zur erweiterten Funktion „Von Benutzern gemeldetes Phishing“.

1. Ich habe die neue Security Incident Response-Spoke installiert, kann jedoch keine von Anwendern gemeldeten Phishing-Incidents anzeigen.

   Standardmäßig wurde die Funktion „Vom Anwender gemeldetes Phishing“ deaktiviert.

   Um diese Funktion zu aktivieren, müssen Sie eine Kopie des schreibgeschützten Wandeln Sie vom Anwender gemeldete Phishing-E-Mails in Security Incidents um -Flows erstellen und ihn vor der Verwendung aktivieren.

2. Welche Vorsichtsmaßnahmen werden bei der Erfassung von Phishing-E-Mails und deren Umwandlung in Security Incidents im Umgang mit schädlichen Links und Anhängen in Phishing-E-Mails verwendet?

   Der Antivirenscanner ServiceNow scannt diese schädlichen Anhänge und Links. Um jedoch sicherzustellen, dass Sicherheitsanalysten die Incidents genau untersuchen können, erfasst die Anwendung Security Incident Response alle Artefakte, die Teil einer Phishing-E-Mail sind. Die Funktion „Vom Anwender gemeldetes Phishing“ deaktiviert jedoch die schädlichen Links in Phishing-E-Mails, damit Sicherheitsanalysten nicht versehentlich auf diese Links klicken. Sicherheitsanalysten müssen beim Herunterladen schädlicher Anhänge vorsichtig sein.

3. Erfassen wir alle schädlichen Dateien, die Teil der Phishing-E-Mails sind, um die Ergänzung zu Security Incidents zu ermöglichen?

   Ja, wir erfassen alle Dateien aus den Phishing-E-Mails. Sie können diese Details als Teil von erkennbaren Elementen für Security Incidents in Form eines Datei-Hashs anzeigen.

4. Senden wir schädliche Dateien und Links aus Phishing-E-Mails zur Untersuchung an eine Sandbox-Instanz?

   Derzeit unterstützen wir keine sofort einsatzbereiten Sandbox-Integrationen für die Untersuchung schädlicher Dateien und Links.

5. Gibt es ein Zeitfenster oder einen Auslöser, das die Dauer definiert, in der eingehende doppelte Phishing-E-Mail-Datensätze einem übergeordneten Security Incident zugeordnet werden?

   Doppelte Phishing-E-Mail-Datensätze werden nur für einen aktiven übergeordneten Security Incident zusammengefasst. Wenn der übergeordnete Incident geschlossen oder abgebrochen wird, wird die eingehende neue doppelte Phishing-E-Mail als neuer Security Incident erstellt. In diesem Szenario können Sie jedoch innerhalb des neuen Security Incident den geschlossenen oder abgebrochenen übergeordneten Security Incident in der zugehörigen Liste „ Ähnliche Security Incidents “ anzeigen.

   Hinweis:

   Dieses Verhalten kann mit dem Flow Designer konfiguriert werden.
6. Unterstützt die Funktion „Phishing-Bericht für Anwenderberichte“ nur die Verwendung des Microsoft Outlook PhishAlarm- Plugins (früher bekannt als Wombat) zum Erfassen von E-Mail-Headerdetails?

   Die Funktion „Vom Anwender gemeldet“ wurde zum Analysieren von E-Mail-Headern entwickelt und entspricht den RFC822-Standards. Ähnlich wie das PhishAlarm- Plugin (früher als Wombat bezeichnet) werden alle anderen Microsoft Outlook-Plugins unterstützt, die E-Mail-Header basierend auf den RFC822-Standards erfassen.