Security Incident Response Task is in draft
"}, {label:"Ready", condition:"state=10^EQ", description:"Security Incident Response Task is ready to be assigned
"}, {label:"Assigned", condition:"state=16^EQ", description:"Security Incident Response Task is assigned
"}, {label:"Work in Progress", condition:"state=18^EQ", description:"Work has started on this Security Incident Response Task
"}, {label:"Closed", condition:"state=3^ORstate=4^ORstate=7^EQ", description:"Security Incident Response Task is complete
"}, ], Le tableau TASK_PF est une collection d'étiquettes, de conditions et de descriptions utilisées pour déterminer le texte affiché dans la barre du formateur de processus (y compris l'ordre et l'activité). Dans l'exemple, le texte \<\< Prêt \>\> est le deuxième élément affiché. Il est mis en surbrillance lorsque la tâche satisfait la condition \<\< state=10\^EQ \>\>. Lorsque le pointeur survole le texte, la description \<\< La tâche Réponse aux incidents de sécurité est prête à être affectée \>\> s'affiche. Remarque : Les états peuvent être combinés en un seul état de formateur. Dans l'exemple, les états \<\< Fermé terminé \>\> et \<\< Annulé \>\> s'affichent comme \<\< Fermé \>\> dans la barre supérieure. ###### Appels de méthodes Les méthodes suivantes doivent être présentes dans l'include de script tel qu'elles sont utilisées par sn_si. Définition de processus :{#process-definition-script-include__table_okr_g2j_54__entry__3} | Type de retour | Résumé de la méthode | Description | |-|-|-| | Chaîne | getInitialIncidentState : fonction() | Renvoyer la valeur numérique de l'état de l'incident initial | | Chaîne | getInitialTaskState : fonction() : | Renvoyer la valeur numérique de l'état de la tâche initiale | | Tableau de chaîne | getIncidentStates : fonction() : | Renvoyer le tableau de l'état de l'incident | | Tableau de chaîne | getTaskStates : fonction() : | Renvoyer le tableau de l'état de la tâche | | Tableau d'objets | getIncidentProcessFlows : fonction() : | Renvoyer le tableau de définition du flux de processus d'incident | | Tableau d'objets | getTaskProcessFlows : fonction() : | Renvoyer le tableau de définition du flux de processus de tâche | [ ] {#process-definition-script-include__table_okr_g2j_54} L'ensemble de méthodes suivant est appelé chaque fois qu'un incident ou une tâche est mis à jour et permet de prendre des mesures sur des transitions de changement spécifiques. {#process-definition-script-include__table_nbk_ktf_2w__entry__3} | Type de retour | Résumé de la méthode | Description | |-|-|-| | nul | performIncidentStateChange : fonction (actuelle, précédente) | Dans les exemples, cette méthode est utilisée pour définir les valeurs liées à SM et s'assurer qu'un incident sort de l'état \<\< Brouillon \>\> une fois qu'une personne lui est affectée. | | nul | performTaskStateChange : fonction (actuelle, précédente) | Dans l'exemple, cette méthode est utilisée pour mettre à jour les horodatages (lors de l'affectation et de la fermeture) et faire passer la tâche de \<\< Prêt \>\> à \<\< Affecté \>\> une fois le champ assigned_to renseigné. | [ ] {#process-definition-script-include__table_nbk_ktf_2w}Les mêmes actions effectuées par ces deux méthodes peuvent être accomplies à l'aide d'une règle métier. En les définissant dans l'include de script, le changement de définitions de processus est facilité. #### Corriger un incident de sécurité ou un état de tâche non valide avec la définition de processus {#ariaid-title8} Un administrateur peut corriger l'incident ou la tâche de sécurité pour rétablir des états valides, manuellement ou à l'aide d'un script. Les états disponibles varient en fonction de l'état actuel de l'incident. ##### Avant de commencer Rôle requis : admin ##### Pourquoi et quand exécuter cette tâche Une fois que vous avez changé les définitions de processus, il est possible que la nouvelle définition ne prenne plus en charge certains des anciens états. Pour corriger l'état de l'incident orphelin ou de la tâche, vous pouvez [changer votre définition de processus](https://servicenow-prod.fluidtopics.net/S5AIbLJsvT5~laVIsBR04Q#create-process-definition-sir "Vous pouvez créer une définition de processus pour définir la manière dont les incidents de sécurité passent d’un état au suivant. Les définitions de processus permettent aux centres de services et aux utilisateurs finaux de suivre le problème tout au long de son cycle de vie."), [modifier votre include de script](https://servicenow-prod.fluidtopics.net/S5AIbLJsvT5~laVIsBR04Q#process-definition-script-include "L’include de script Process Definition fournit des méthodes pour définir une définition de processus.") ou ouvrir manuellement chaque incident ou tâche pour mettre à jour l'état. Généralement, la mise à jour de l'état (qui peut être effectuée en bloc) est la solution la plus simple. Pour changer les états en bloc, procédez comme suit : ##### Procédure 1. Accédez à la TousIncident de sécuritéAdministrationSélection du processus. 2. Mettez en surbrillance le champ État pour les incidents ou les tâches que vous souhaitez modifier. 3. Double-cliquez sur le champ État dans le premier enregistrement, sélectionnez le nouvel état, puis sélectionnez la coche verte ( coche ![verte]()) pour terminer la modification. 4. Sélectionnez Mettre à jour. {#correct-invalid-state__steps_zpc_ztz_3x} ## Créer un groupe d'incidents de sécurité {#ariaid-title9} Configurez un groupe d'incidents de sécurité et affectez-lui les rôles et les utilisateurs appropriés. ### Avant de commencer Rôles requis : * Si vous disposez du rôle user_admin, vous pouvez créer des groupes d'affectation d'incident de sécurité. * Si vous disposez du rôle sn_si.admin, vous pouvez créer et modifier des groupes d'affectation d'incident de sécurité. {#t_CreateSecurityIncidentAdminGroup__ul_hq4_2p5_jt} ### Pourquoi et quand exécuter cette tâche Les utilisateurs d'un groupe héritent les rôles du groupe. Il n'est donc pas nécessaire d'affecter des rôles à chaque utilisateur séparément. Il est recommandé de créer autant de groupes que nécessaire dans votre organisation. Il est également recommandé de créer un groupe pour les administrateurs et de n'affecter le rôle administrateur qu'à ce groupe. ### Procédure 1. Accédez à la TousAdministration utilisateursGroupes ou Incident de sécuritéConfigurationGroupes. 2. Sélectionnez Nouveau. 3. Remplissez les champs du formulaire. Remarque : Pour plus d'informations, voir [Créer un groupe d'utilisateurs](https://www.servicenow.com/docs/access?context=t_CreateAGroup&version=australia&pubname=australia-platform-administration&ft:locale=en-US). 4. Veillez à sélectionner le type d'incident de sécurité pour ce groupe. 1. Si le champ Type n'est pas visible, configurez le formulaire pour l'ajouter. 2. Sélectionnez l'icône de verrou en regard du champ Type . 3. Sélectionner l'icône de recherche de référence ( ![icône de recherche]()) 4. Recherchez et sélectionnez le type d'incident de sécurité . {#t_CreateSecurityIncidentAdminGroup__substeps_hwh_5q5_jt} 5. Sélectionnez et maintenez enfoncé (ou cliquez avec le bouton droit de la souris) l'en-tête du formulaire, puis sélectionnez Enregistrer. 6. Dans la liste connexe Rôles , ajoutez les rôles que chaque membre de ce groupe reçoit. Par exemple, si vous créez un groupe pour Réponse aux incidents de sécurité les membres de l'équipe, ajoutez sn_si.analyst. Si vous créez un groupe pour Réponse aux incidents de sécurité les administrateurs, ajoutez sn_si.admin. 7. Dans la liste connexe Membres du groupe , ajoutez des utilisateurs à ce groupe. 8. Sélectionnez Mettre à jour. {#t_CreateSecurityIncidentAdminGroup__steps_tl4_grx_kt} ## Créer un groupe de calculateurs d'incident de sécurité {#ariaid-title10} Les groupes de calculateurs d'incident de sécurité sont utilisés pour regrouper les calculateurs. ### Avant de commencer Rôle requis : sn_si.admin ### Procédure 1. Accédez à la TousIncident de sécuritéConfigurationGroupes de calculateurs d'incidents de sécurité. 2. Cliquez sur Nouveau. 3. Renseignez les champs du formulaire comme il convient. {#t_CreateSecIncCalcGroup__table_t4d_4bd_5s__entry__2} | Champ | Description | |-|-| | Nom | Le nom du calculateur d'incident de sécurité. | | Application | L'application qui contient cet enregistrement. | | Ordre | Ordre dans lequel le calculateur d'incident de sécurité est exécuté. Une calculatrice avec une entrée d'ordre de 100 s'exécute avant une calculatrice avec une entrée d'ordre de 200. | | Description | Description de ce groupe de calculateurs. | | Créé par | Entrez le nom de l'utilisateur qui a créé | [ ] {#t_CreateSecIncCalcGroup__table_t4d_4bd_5s} 4. Cliquez sur Envoyer. ### Créer un calculateur d'incident de sécurité {#ariaid-title11} Les calculateurs d'incident de sécurité vous permettent de calculer la gravité d'un incident de sécurité en fonction de formules prédéfinies. Vous pouvez définir vos propres calculateurs d'incident de sécurité, selon vos besoins. #### Avant de commencer Rôle requis : sn_si.admin #### Procédure 1. Accédez à la TousIncident de sécuritéConfigurationGroupes de calculateurs d'incidents de sécurité. 2. Cliquez sur le nom du groupe pour lequel vous souhaitez créer une calculatrice, ou vous pouvez [créer un groupe de calculatrices](https://servicenow-prod.fluidtopics.net/S5AIbLJsvT5~laVIsBR04Q#t_CreateSecIncCalcGroup "Les groupes de calculateurs d’incident de sécurité sont utilisés pour regrouper les calculateurs."). 3. Cliquez sur Nouveau. 4. Renseignez les champs du formulaire comme il convient. {#t_CreateSecIncCalculator__table_t4d_4bd_5s__entry__2} | Champ | Description | |-|-| | Nom | Le nom du calculateur d'incident de sécurité. | | Groupe de calculateurs | Nom du groupe auquel ce calculateur appartient. Remarque : La création ou la modification du groupe de calculateurs devient disponible une fois que vous avez saisi un nom et une table. | | Table | Sélectionnez la table à utiliser pour ce calculateur. Lorsque vous ajoutez des calculateurs à des tables autres que Vulnérabilité \[sn_vul_vulnerability\] et Élément vulnérable \[sn_vul_vulnerable_item\], vous devez ajouter des règles métier et des actions d'interface utilisateur à ces tables. Pour voir des exemples : * Accédez à la Définition du systèmeRègles métieret localisez la règle métier Calculer la gravité dans la table Vulnerable Item (Élément vulnérable) \[sn_vul_vulnerable_item\]. * Accédez à la Interface utilisateur du systèmeActions d'interface utilisateuret localisez l'action d'interface utilisateur Calculer la gravité dans la table Vulnerable Item (Élément vulnérable) \[sn_vul_vulnerable_item\]. {#t_CreateSecIncCalculator__ul_ppy_nh1_4v} En outre, le rôle d'administrateur de vulnérabilité doit disposer des capacités complètes de lecture, d'écriture (ou de save_as_template) sur n'importe quelle table utilisée par une calculatrice pour voir correctement les valeurs à appliquer au modèle. | | Application | Application incluse dans le périmètre à laquelle le calculateur appartient. | | Ordre | Ordre dans lequel le calculateur d'incident de sécurité s'exécute. Une calculatrice avec une entrée d'ordre de 100 s'exécute avant une calculatrice avec une entrée d'ordre de 200. | | Actives | Allumez ou désactivez la calculatrice. | | Description | Description de ce calculateur. | [ ] {#t_CreateSecIncCalculator__table_t4d_4bd_5s} 5. Cliquez avec le bouton droit sur l'en-tête du formulaire, puis sélectionnez Enregistrer. Les onglets Conditions et Valeurs à appliquer s'affichent . 6. Renseignez les champs de l'onglet Conditions comme il convient. {#t_CreateSecIncCalculator__table_xl5_43j_tw__entry__2} | Champ | Description | |-|-| | Utiliser un groupe de filtres | Cochez cette case pour utiliser un groupe de filtres prédéfini ou [créez un nouveau groupe de filtres](https://servicenow-prod.fluidtopics.net/X8wIKNEpiRHQCGVf3I_NeQ "Créez et utilisez des groupes de filtres pour localiser les enregistrements à partir de n’importe quelle table de votre instance. Par exemple, vous pouvez créer un groupe de tous les ordinateurs du même fabricant. Vous pouvez également filtrer les éléments de configuration (CI) qui présentent des vulnérabilités similaires ou qui se trouvent dans une plage d’adresses IP de sous-réseau particulière.") pour définir les critères du calculateur. | | Groupe de filtres | Sélectionnez le groupe de filtres à utiliser pour définir un calculateur. Ce champ s'affiche uniquement si vous avez coché la case Utiliser des groupes de filtres . | | Utiliser une condition avancée | Cochez cette case pour indiquer qu'une condition de script est utilisée pour déterminer quand ce calculateur est appliqué. Lorsque vous cochez la case, un champ de scripting de condition avancée s'affiche. Si vous avez coché la case Utiliser un groupe de filtres , ce champ est masqué. Remarque : Avant de définir des conditions avancées et d'écrire des scripts pour déterminer quand les calculateurs d'incident de sécurité sont appliqués, revenez à la liste des calculateurs d'incident de sécurité. Explorez les enregistrements de calculateur fournis avec le système de base. | | Condition | Définit les conditions de filtre de base permettant de déterminer si le calculateur est utilisé. Si vous avez coché l'une des cases Utiliser un groupe de filtres ou Utiliser des conditions avancées , ce champ est masqué. | [ ] {#t_CreateSecIncCalculator__table_xl5_43j_tw} 7. Cliquez sur l'onglet Valeurs à appliquer et renseignez les champs du formulaire comme il convient. Vous avez le choix de créer un script pour définir les valeurs à appliquer au calcul ou de définir un modèle basé sur les champs de la table sélectionnée.{#t_CreateSecIncCalculator__table_p2z_4jj_tw__entry__2} | Champ | Description | |-|-| | Utiliser des valeurs de script | Cochez cette case pour définir des valeurs de champ avec un script. | | Valeurs de script | Définit les valeurs auxquelles appliquer les calculs. Ce champ s'affiche uniquement si vous avez coché la case Utiliser les valeurs de script . | | Modèle | Cliquez avec le bouton droit sur l'en-tête du formulaire, puis sélectionnez Enregistrer. Sélectionnez les champs et les valeurs que vous souhaitez utiliser pour le calculateur. | [ ] {#t_CreateSecIncCalculator__table_p2z_4jj_tw} 8. Lorsque vous avez terminé toutes les entrées, cliquez sur Envoyer. ### Présentation des calculateurs d'incidents de sécurité {#ariaid-title12} Les calculateurs d'incident de sécurité sont utilisés pour mettre à jour les valeurs d'enregistrement lorsque les conditions prédéfinies sont remplies. Les calculateurs sont regroupés en fonction des critères utilisés pour déterminer comment les enregistrements sont mis à jour. Le Réponse aux incidents de sécurité système de base comprend les groupes de calculateurs d'incident de sécurité et les calculateurs suivants. Au sein de chaque groupe, c'est le premier calculateur qui correspond aux conditions qui est exécuté. {#c_SecIncCalculators__table_wmy_bbn_2s__entry__3} | Nom du groupe de calculateurs d'incidents de sécurité | Calculatrices incluses dans le groupe | Description | |-|-|-| | Impact sur l'entreprise | Regrouper à partir des calculateurs de gravité | Ce calculateur délègue au calculateur de criticité de sécurité qui détermine la criticité en pondérant les valeurs d'autres champs. | | Gravité | Impact sur l'entreprise | Ce calculateur de gravité définit ses critères de sélection à l'aide d'un générateur de conditions simple. | | Gravité | Service critique affecté | Ce calculateur de gravité définit ses critères de sélection à l'aide d'une condition avancée. Si l'élément de configuration de l'incident de sécurité est associé à un service d'entreprise hautement critique, les champs Score de risque, Impact sur l'entreprise et Priorité sont élevés comme défini par le calculateur. | | Gravité | Changements de services critiques | Ce calculateur de gravité définit ses critères de sélection à l'aide d'une condition avancée. Si l'incident de sécurité remplit les conditions, un script s'exécute pour définir le niveau auquel les champs sont élevés. Si l'élément de configuration de l'incident de sécurité est associé à un service d'entreprise très critique ou relativement critique, les champs Score de risque, Impact sur l'entreprise et Priorité sont élevés comme défini par le calculateur. | | Gravité | Vecteurs d'attaques multiples | Ce calculateur de gravité définit ses critères de sélection à l'aide d'un générateur de conditions simple. Si l'élément de configuration de l'incident de sécurité est associé à des vecteurs d'attaque sur le Web, par e-mail et par emprunt d'identité, les champs Score de risque, Impact sur l'entreprise et Priorité sont élevés comme défini par le calculateur. | | Gravité | Définir la priorité avec la catégorie et les services | Ce calculateur de gravité définit ses critères de sélection à l'aide d'un générateur de conditions avancé. La priorité de l'incident de sécurité est définie sur 1 - Critique lorsque les conditions suivantes sont remplies : * L'incident de sécurité a associé des services affectés et l'un d'eux est critique. * La catégorie d'incident de sécurité est l'une des suivantes : * Déni de service * Harponnage * Activité du code malveillant {#c_SecIncCalculators__ul_lc3_mcm_wx} {#c_SecIncCalculators__ul_kc3_mcm_wx} Remarque : Ce calculateur est disponible dans le système de base lorsque vous disposez du niveau tarifaire Opération de sécurité de démarrage. | | Gravité | Définir la priorité avec les observables | Ce calculateur de gravité définit ses critères de sélection à l'aide d'un générateur de conditions avancé. La priorité de l'incident de sécurité est définie sur1 - Critique lorsque les conditions suivantes sont remplies : * L'incident de sécurité a associé des services affectés et l'un d'eux est critique. * La catégorie d'incident de sécurité est l'une des suivantes : * Déni de service * Harponnage * Activité du code malveillant {#c_SecIncCalculators__ul_ink_bcm_wx} * L'un des observables ou indicateurs associés a un nombre de perceptions qui dépasse deux perceptions avec des indicateurs actifs (c'est-à-dire que les observables ou les indicateurs sont confirmés comme étant mauvais à partir de plusieurs sources). {#c_SecIncCalculators__ul_osv_ybm_wx} Remarque : Ce calculateur est disponible dans le système de base lorsque vous disposez du niveau tarifaire Opération de sécurité avancée et que vous activez le module d'extension Flux de menaces. | | Criticité de l'utilisateur | Obtenir la criticité de l'utilisateur | Ce calculateur de gravité définit ses critères de sélection à l'aide d'un générateur de conditions simple. Ce calculateur de gravité entraîne le passage de la criticité opérationnelle de l'utilisateur à 1 - Critique lorsque le champ Département est changé en Finances. | | Criticité de l'utilisateur | Obtenir la criticité du groupe d'utilisateurs | Ce calculateur de gravité définit ses critères de sélection à l'aide d'un générateur de conditions avancé. Ce calculateur de gravité fournit un exemple de calculateur qui s'exécute sur les données d'une liste connexe. | [Tableau 5. Calculateurs d'incidents de sécurité dans le système de base] {#c_SecIncCalculators__table_wmy_bbn_2s} #### Calculateurs de gravité Lorsque vous créez un incident de sécurité, les champs Score de risque, Impact sur l'entreprise et Priorité contiennent des valeurs par défaut. Lorsque vous enregistrez l'incident, une règle métier valide automatiquement les informations contenues dans l'incident de sécurité par rapport aux conditions définies dans chacun de vos calculateurs de gravité actifs. Ils sont validés un calculateur de sécurité à la fois, dans l'ordre défini par le champ Ordre de chaque calculateur. Si les informations contenues dans l'incident de sécurité correspondent aux conditions définies dans l'un des calculateurs, les valeurs des champs de gravité sont mises à jour en fonction des règles définies dans le calculateur. Par exemple, supposons que vous créez un incident de sécurité pour un CI affecté et que le CI est hautement critique. Lorsque l'incident de sécurité est enregistré, les informations de CI sont comparées aux conditions définies dans les calculateurs de gravité. Lorsque l'incident de sécurité est validé par rapport au calculateur de gravité affecté par le service critique , les champs de gravité sont automatiquement mis à jour et un message apparaît en haut de l'incident de sécurité. Vous pouvez utiliser ces calculateurs de gravité tels quels ou les modifier pour mieux répondre aux besoins de votre entreprise. Par exemple, si vous souhaitez identifier les menaces Web et de messagerie spécifiques à l'unité business Finance, vous pouvez modifier les conditions du calculateur de vecteurs d'attaques multiples : * \[Vecteur d'attaque\] \[contient\] \[Sur le Web\] * \[Vecteur d'attaque\] \[contient\] \[E-mail\] * \[Unité business\] \[contient\] \[Finances\] {#c_SecIncCalculators__ul_q1r_bww_tt} Vous pouvez également mettre à jour les valeurs de gravité d'un incident de sécurité existant à tout moment en ouvrant l'enregistrement et en cliquant sur le lien connexe Calculer la gravité . #### Calculateurs de score de risque d'incident de sécurité Les calculateurs Définir la priorité avec la catégorie et les services et Définir la priorité avec les observables sont utilisés pour calculer un score de risque pour un incident de sécurité. #### Calculateurs de criticité de l'utilisateur Les deux calculateurs du groupe de criticité de l'utilisateur (Obtenir la criticité de l'utilisateur et Obtenir la criticité du groupe d'utilisateurs) fournissent des exemples de la façon dont vous pouvez gérer la criticité en fonction des critères définis dans un enregistrement utilisateur ou en fonction du groupe auquel un utilisateur appartient. Ils peuvent être modifiés si nécessaire, ou de nouveaux calculateurs de criticité utilisateur peuvent être créés. Le calculateur Obtenir la criticité de l'utilisateur fait passer la criticité opérationnelle de l'utilisateur à 1 - Critique lorsque le champ Département est changé en Finances. Le calculateur Obtenir la criticité des groupes d'utilisateurs fait passer la criticité opérationnelle de l'utilisateur à 1 - Critique lorsque l'utilisateur est ajouté au groupe de base de données . Remarque : Obtenir la criticité du groupe d'utilisateurs est un exemple de calculateur qui s'exécute sur les données d'une liste connexe. Si vous souhaitez ajouter d'autres groupes pour initier un changement de criticité, ajoutez une liste de sys_ids de groupe séparés par des virgules à la première ligne du script. Exemple : `var CRITICAL_GROUPS = [group1_sys_id, group2_sys_id, group3_sys_id].` #### Calculs des scores de risque d'incidents de sécurité {#ariaid-title13} Le score de risque est calculé comme une moyenne arithmétique qui représente le risque en fonction de la priorité d'un incident de sécurité, du type d'incident de sécurité (déni de service, harponnage ou activité de code malveillant) et du nombre de sources qui ont déclenché un score de réputation échoué sur un indicateur. Le score des risques aide à hiérarchiser le travail d'incident de sécurité pour les analystes. Important : Si vous souhaitez utiliser le nouveau calculateur de score de risque, reportez-vous à .[Définir les nouvelles règles du calculateur de score de risque](https://servicenow-prod.fluidtopics.net/7X_8uoWkcvIRmP7FyAeV0A "Utilisez le nouveau calculateur de score de risque pour définir et calculer le score de risque des incidents de sécurité en fonction des critères définis par l’utilisateur, qui fournissent un score d’intelligence transparent des incidents de sécurité. Le score de risque est calculé automatiquement pour les enregistrements d’incidents de sécurité.") Les [calculateurs d'incidents de sécurité](https://servicenow-prod.fluidtopics.net/S5AIbLJsvT5~laVIsBR04Q#c_SecIncCalculators "Les calculateurs d’incident de sécurité sont utilisés pour mettre à jour les valeurs d’enregistrement lorsque les conditions prédéfinies sont remplies. Les calculateurs sont regroupés en fonction des critères utilisés pour déterminer comment les enregistrements sont mis à jour.")Définir la priorité avec la catégorie et les services et Définir la priorité avec des observables sont utilisés pour calculer un score de risque pour un incident de sécurité. En outre, les règles métier suivantes déclenchent le calcul automatique des scores des risques : * Calculer la gravité * Mettre à jour le score des risques * Mettre à jour le score de risque SI {#si-risk-score-calculations__ul_ccz_5fw_1y} Remarque : Le calculateur de risque disponible dans le système de base dépend de votre niveau tarifaire Security Operations. Lorsque vous consultez une liste d'incidents de sécurité dans le système de base, notez la colonne Score de risque .Figure 1. Incidents de sécurité Le score de risque est calculé à l'aide de poids définis dans la configuration du score de risque.Figure 2. Configuration de score du risque Par exemple, si un incident de sécurité a un impact sur l'activité défini sur 2-Élevé et une priorité définie sur 3-Modéré, les poids respectifs dans la table des pondérations des scores de risque sont recherchés et calculés comme suit : Impact opérationnel de l'incident de sécurité avec une valeur de 2 = une pondération de 60. Priorité de l'incident de sécurité avec une valeur de 3 = un poids de 40. (60 + 40)/2 = un score de risque de 50. La position de l'incident de sécurité dans la liste des incidents de sécurité est ensuite réorganisée en fonction de son score de risque mis à jour. Si, dans l'exemple ci-dessus, l'impact sur l'activité ou la priorité de l'incident de sécurité sont modifiés, le score de risque est recalculé et les changements sont reflétés dans les notes de travail. Figure 3. Notes de travail Les notes de travail sont mises à jour lorsque les champs suivants sont modifiés (entraînant la mise à jour du score de risque) : * Impact sur l'activité sur le formulaire d'incident de sécurité * Priorité sur le formulaire d'incident de sécurité * Gravité sur le formulaire d'incident de sécurité (masquée par défaut) * Impact sur l'activité sur la liste connexe Utilisateurs affectés * Impact sur l'entreprise sur la liste connexe Services affectés * Impact sur l'activité des vulnérabilités de la liste connexe des éléments vulnérables {#si-risk-score-calculations__ul_slr_ksr_yx} En outre, les notes de travail sont mises à jour dans les situations suivantes : * Lorsqu'une association entre des utilisateurs affectés et un incident de sécurité est créée ou modifiée * Lorsqu'une association entre les services affectés et un incident de sécurité est créée ou modifiée * Lorsqu'une association entre des éléments vulnérables et un incident de sécurité est créée ou modifiée {#si-risk-score-calculations__ul_ywx_xgw_1y} Les notes de travail sont également mises à jour chaque fois que l'utilisateur clique sur Mettre à jour tous les scores des risques et Effacer tous les scores des risques sur le formulaire [de pondération des scores des risques](https://servicenow-prod.fluidtopics.net/S5AIbLJsvT5~laVIsBR04Q#maintain-risk-score-weights "Les poids de score de risque utilisés pour calculer les scores de risque dans les incidents de sécurité peuvent être supprimés ou mis à jour individuellement. Ils peuvent également être supprimés ou mis à jour pour tous les incidents de sécurité. La possibilité de les supprimer des incidents de sécurité est utile lors du changement des valeurs de poids.") . ##### Maintenir les pondérations des scores de risques {#ariaid-title14} Les poids de score de risque utilisés pour calculer les scores de risque dans les incidents de sécurité peuvent être supprimés ou mis à jour individuellement. Ils peuvent également être supprimés ou mis à jour pour tous les incidents de sécurité. La possibilité de les supprimer des incidents de sécurité est utile lors du changement des valeurs de poids. ###### Avant de commencer Rôle requis : sn_sec_cmn.admin Remarque : Les utilisateurs disposant du rôle sn_si.read peuvent afficher la configuration du score de risque dans Réponse aux incidents de sécurité. ###### Procédure 1. Accédez à la TousIncident de sécuritéConfigurationConfiguration du score du risque. Remarque : Les utilisateurs disposant du rôle sn_si.read peuvent afficher la configuration du score de risque en accédant à Incident de sécuritéAlertes et événementsConfiguration du score des risques. 2. Pour ajouter un nouveau poids de score de risque, cliquez sur Nouveau et saisissez les informations dans les champs. {#maintain-risk-score-weights__table_t4d_4bd_5s__entry__2} | Champ | Description | |-|-| | Type | Sélectionnez le type de score de risque que vous définissez. | | Valeur | Spécifiez la valeur associée au type sélectionné. Si plusieurs valeurs sont disponibles pour le type, vous pouvez définir plusieurs enregistrements de pondération de score de risque. Exemple : Priorité de l'incident de sécurité avec une valeur de 1, Priorité de l'incident de sécurité avec une valeur de 2, et ainsi de suite. | | Poids | Poids associé à la paire type/valeur sélectionnée. Les entrées valides sont comprises entre 0 et 100, 0 étant le poids le plus bas et 100 le plus élevé. | [ ] {#maintain-risk-score-weights__table_t4d_4bd_5s} 3. Cliquez sur Envoyer. 4. Effectuez l'une de ces étapes, selon les besoins. * Pour effacer un enregistrement de pondération de score de risque, ouvrez-le dans la liste et cliquez sur Supprimer. * Pour effacer tous les enregistrements de poids de score de risque, cliquez sur Effacer tous les scores de risque. * Pour mettre à jour tous les enregistrements de pondération de score de risque, cliquez sur Mettre à jour tous les scores de risque. {#maintain-risk-score-weights__ul_yh4_x4h_xx} ## Créer un Réponse aux incidents de sécurité SLA {#ariaid-title15} Vous pouvez définir un accord sur les niveaux de service (SLA) pour Réponse aux incidents de sécurité. ### Avant de commencer Rôle requis : sn_si.admin ### Procédure 1. Accédez à la TousIncident de sécuritéConfigurationSLA. 2. Cliquez sur Nouveau. Pour obtenir une description des champs et des instructions détaillées, reportez-vous à la section [Create an SLA definition](https://www.servicenow.com/docs/access?context=t_CreateAnSLADefinition&version=australia&pubname=australia-it-service-management&ft:locale=en-US). {#t_CreateSecurityIncidentSLA__steps_jdj_pnj_ks} ### Réparer les SLA d'incidents de sécurité {#ariaid-title16} Vous pouvez réparer les enregistrements SLA pour vous assurer que les informations de calendrier et de durée des SLA sont exactes. #### Avant de commencer Rôle requis : sn_si.basic #### Procédure 1. S'il n'est pas déjà ouvert, ouvrez l'incident de sécurité pour lequel vous souhaitez réparer des SLA. 2. Sélectionnez le menu contextuel de l'en-tête du formulaire, puis sélectionnez Réparer les SLA : 3. Sélectionnez OK dans la zone de confirmation d'avertissement. Pour plus d'informations, consultez [Réparer les SLA](https://www.servicenow.com/docs/access?context=c_RepairSLAs&version=australia&pubname=australia-it-service-management&ft:locale=en-US). {#repair-si-slas__steps_sg1_nfk_wz} ## Créer un Runbook de réponse aux incidents de sécurité {#ariaid-title17} Un guide d'exploitation est une association entre un article de la base de connaissances publié et une tâche spécifique. Pendant que vous effectuez la tâche, un article de la base de connaissances dans le runbook s'ouvre automatiquement, fournissant des informations pertinentes pour la tâche. ### Avant de commencer Il doit y avoir des articles de la base de connaissances existants dans la base de Réponse aux incidents de sécurité connaissances Runbook. Lorsque vous [créez un article de la base de connaissances sur les incidents de sécurité](https://servicenow-prod.fluidtopics.net/OWHrKB5diD05rpcvKhEdwQ "Lorsque vous travaillez sur des incidents de sécurité et des tâches de réponse, les articles de la base de connaissances s’affichent automatiquement pour fournir des informations pertinentes sur la tâche que vous effectuez. Votre organisation peut créer et gérer des articles dans la base de connaissances des incidents de sécurité."), veillez à sélectionner Runbook de réponse aux incidents de sécurité dans le champ Base de connaissances . Après avoir publié l'article, vous pouvez sélectionner le bouton Create Runbook (Créer un runbook ). Rôle requis : sn_si.knowledge_admin ### Pourquoi et quand exécuter cette tâche Vous pouvez utiliser des runbooks pendant les processus de création d'incidents de sécurité ou de tâches de réponse, ou vous pouvez associer les articles de la base de connaissances d'un runbook aux tâches du playbook. ### Procédure 1. Accédez à la TousIncident de sécuritéRunbook manuelCréer un nouveau Runbook. 2. Renseignez les champs comme il convient. {#create-runbook__table_qfl_nwk_cp__entry__2} | Champ | Description | |-|-| | Article de la base de connaissances | Sélectionnez un article de la base de connaissances à inclure dans le runbook. | | Actives | Cochez la case pour rendre le runbook disponible dans le navigateur de filtre. | | Utiliser un groupe de filtres | Cochez cette case pour utiliser un groupe de filtres prédéfini ou [créez un nouveau groupe de filtres](https://servicenow-prod.fluidtopics.net/X8wIKNEpiRHQCGVf3I_NeQ "Créez et utilisez des groupes de filtres pour localiser les enregistrements à partir de n’importe quelle table de votre instance. Par exemple, vous pouvez créer un groupe de tous les ordinateurs du même fabricant. Vous pouvez également filtrer les éléments de configuration (CI) qui présentent des vulnérabilités similaires ou qui se trouvent dans une plage d’adresses IP de sous-réseau particulière.") pour définir les critères du runbook. | | Groupe de filtres | Sélectionnez le groupe de filtres à utiliser pour définir un runbook. Ce champ s'affiche uniquement si la case Utiliser des groupes de filtres est cochée. | | Table | Sélectionnez Incident de sécurité \[sn_si_incident\] ou Réponse aux incidents de sécurité Tâche \[sn_si_task\]. Si vous avez coché la case Utiliser un groupe de filtres et sélectionné un groupe de filtres, ce champ est par défaut la table associée au groupe de filtres sélectionné. | | Condition | Définissez les conditions qui connectent ce Runbook à l'incident ou à la tâche. Si vous avez coché la case Utiliser un groupe de filtres et sélectionné un groupe de filtres, les champs Condition ne s'affichent pas. | [ ] {#create-runbook__table_qfl_nwk_cp} 3. Cliquez avec le bouton droit sur l'en-tête du formulaire, puis sélectionnez Enregistrer. L'onglet Détails de l'article de la base de connaissances et une série de boutons s'affichent. 4. Pour afficher les détails du runbook, cliquez sur l'onglet Détails de la base de connaissances . 5. Pour afficher l'article de la base de connaissances tel qu'il apparaît à l'utilisateur, cliquez sur Afficher l'article. 6. À [Pour modifier les détails de l'article de la base de connaissances](https://www.servicenow.com/docs/access?context=create-knowledge-article&version=australia&pubname=australia-servicenow-platform&ft:locale=en-US), cliquez sur Modifier l'article. {#create-runbook__steps_irt_3yj_fw} ## Créer des règles pour valider les attaques par hameçonnage signalées par les utilisateurs {#ariaid-title18} Lorsque vos employés reçoivent des e-mails qui semblent être des attaques de phishing, ils peuvent vous les signaler à l'aide d'une adresse e-mail de phishing. L'e-mail suspect est validé à l'aide de règles définies par votre organisation. ### Avant de commencer Avant de pouvoir utiliser les règles de correspondance des e-mails pour identifier les attaques d'hameçonnage potentielles, définissez une adresse e-mail vers laquelle les e-mails transférés par vos employés seront envoyés pour traitement. Vous disposez des options suivantes pour définir cette adresse e-mail (en supposant que le domaine de messagerie de votre entreprise est acme.com) : * Définissez une adresse e-mail telle que acme+phishing@service-now.com. La balise +phishing est prise en charge par SMTP pour activer le filtrage et votre instance peut recevoir les e-mails qui lui sont envoyés. * Définissez une adresse e-mail, telle que phishing@acme.com (votre boîte aux lettres Exchange), qui à son tour la transfère à acme+phishing@service-now.com (votre boîte aux lettres d'instance définie par une règle de transfert de courrier). {#create-email-matching-rules__ul_vwj_nwn_2db} Rôle requis : sn_sec_cmn.write ### Pourquoi et quand exécuter cette tâche Lorsqu'un employé rencontre un e-mail suspect, il doit le transférer en pièce jointe à votre adresse e-mail d'hameçonnage. Si l'e-mail en pièce jointe correspond à une règle définissant une menace, un incident de sécurité est créé. ### Procédure 1. Accédez à la TousOpérations de sécuritéTraitement des e-mailsHameçonnage signalé par un utilisateur. 2. Sélectionnez Nouveau. 3. Renseignez les champs selon vos besoins. {#create-email-matching-rules__table_uwz_yvn_2db__entry__2} | Champ | Description | |-|-| | Nom | Nom de cette règle de correspondance des e-mails. Par exemple, hameçonnage signalé par l'utilisateur. | | Conditions | Utiliser le [Créateur de conditions](https://www.servicenow.com/docs/access?context=c_ConditionBuilder&version=australia&pubname=australia-platform-user-interface&ft:locale=en-US) permettant de valider si un e-mail envoyé à l'adresse e-mail d'hameçonnage de votre entreprise est une attaque d'hameçonnage. Consultez l'exemple suivant. | [Tableau 6. Formulaire Règles de correspondance des e-mails] {#create-email-matching-rules__table_uwz_yvn_2db} 4. Sélectionnez Envoyer. ### Exemple Cet exemple montre une règle de correspondance pour le traitement du hameçonnage signalé par les utilisateurs.Figure 4. Exemple de règle de correspondance d'e-mail