Prévisualiser l’incident de sécurité
Une fois l’étape de mappage terminée, prévisualisez les valeurs que vous avez mappées dans un ServiceNow AI Platform® Réponse aux incidents de sécurité incident de sécurité (SIR). Cette étape d’aperçu vous permet de vérifier que vous avez mappé tous les champs notables que vous souhaitez afficher sur l’incident de sécurité.
Avant de commencer
Rôle requis : sn_si.ingestion_profile_admin
Pourquoi et quand exécuter cette tâche
Prévisualisez un incident de sécurité et modifiez à nouveau le mappage si nécessaire pour corriger les champs comportant des erreurs ou pour renseigner les données manquantes. Si l’aperçu n’est pas terminé, vous ne pouvez pas passer à l’étape de planification. Les aperçus des incidents de SIR sécurité ne sont pas enregistrés en tant qu’incidents réels dans le SIR produit.
Procédure
-
Dans la liste de choix Exemples d’ID d’événements notables, sélectionnez un élément.
L’incident de sécurité s’affiche. Ne modifiez pas les informations contenues dans les champs. Cette vue est en lecture seule et aucun enregistrement de cet incident de sécurité n’est enregistré.
-
Passez en revue le mappage de champs des valeurs d’événements notables sur l’incident de sécurité.
L’image précédente est un exemple d’aperçu avec une erreur de mappage. Dans cet exemple, une valeur de champ de l’événement notable n’a pas de valeur acceptable pour le champ de référence sur le formulaire d’incident SIR. Un message d’erreur s’affiche indiquant qu’une valeur d’entrée n’a pas été trouvée pour le champ Priorité . Par conséquent, cette valeur de champ mappée n’apparaîtra pas sur le formulaire d’incident de sécurité SIR sans autre modification.
-
Prévisualisez à nouveau le mappage et continuez à corriger les erreurs décrites dans les messages d’erreur.
La figure suivante est un exemple d’onglet Détails de l’incident dans la moitié inférieure d’un SIR incident de sécurité après la résolution de tous les messages d’erreur. Pour cet exemple, les champs Description et Notes de travail ont été mappés, et ces champs sont renseignés avec les valeurs des paires de valeurs extraites des échantillons d’événements Splunk Enterprise Security notables. Le premier champ Notes de travail n’a pas de valeur. Ce champ a été laissé vide sur la grille de mappage au cours de l’étape de mappage. Les champs Note de travail supplémentaires qui ont des valeurs ont été ajoutés à la section de mappage.
Remarque :La section Aperçu du profil affiche les éléments connexes pour l’utilisateur affecté sans correspondance et l’élément de configuration sans correspondance lorsqu’aucun enregistrement CMDB ou d’identité correspondant n’est trouvé. Après l’ingestion, les enregistrements d’incidents de sécurité affichent le CI sans correspondance dans la liste connexe Éléments de configuration et les utilisateurs affectés sans correspondance dans une liste connexe dédiée, ce qui garantit une visibilité complète des entités affectées tout au long du cycle de vie de l’incident.
Que faire ensuite
Si aucun message d’erreur n’est affiché et que vous êtes satisfait du mappage de champ sur l’incident de sécurité, l’étape suivante consiste à Planifier et récupérer des alertes pour l’intégration Splunk Enterprise Event Ingestion.