Présentation de Microsoft Threat and Vulnerability Management Intégration de vulnérabilité
L’intégration Réponse aux vulnérabilités à l’application Microsoft Threat and Vulnerability Management (MS TVM) utilise des données importées à partir de MS TVM pour vous aider à classer par ordre de priorité et à corriger les vulnérabilités de vos actifs. L’application est disponible avec un abonnement distinct du ServiceNow Store.
Vous pouvez utiliser l’intégration de vulnérabilité MS TVM pour importer des données d’analyseurs tiers concernant vos actifs et vos vulnérabilités. Vous pouvez ensuite consulter les rapports sur les vulnérabilités et les éléments vulnérables sur les tableaux de Réponse aux vulnérabilités bord.
Versions disponibles
| Version | Notes de mise en production |
|---|---|
Réponse aux vulnérabilités Intégration avec MS TVM v2.2 |
Pour plus d’informations sur les versions publiées de l’application Vulnerability Response, la compatibilité et les changements de schéma, consultez l’article Matrice de compatibilité de réponse aux vulnérabilités et changements de schéma de mise en production [KB0856498] dans la base de connaissances HI. |
Séparation de domaine et MS TVM
Importez les données d’intégration de vulnérabilité dans un domaine spécifié en affectant un utilisateur dans ce domaine pour exécuter les intégrations. Pour créer des importations séparées par domaine pour l’intégration des vulnérabilités MS TVM, reportez-vous à la section Créer des importations séparées par domaine pour une intégration.
Termes et fonctionnalités clés des intégrations
- Éléments vulnérables et vulnérabilités
- Un élément vulnérable est créé dans votre ServiceNow AI Platform instance lorsque :
- Une vulnérabilité importée à partir d’un scanner tiers est mise en correspondance avec un actif existant (élément de configuration) dans votre CMDB). Le produit MS TVM qualifie ces correspondances de vulnérabilités.
- Une vulnérabilité importée à partir d’un scanner tiers ne correspond pas à un actif existant dans votre CMDB. Dans ce cas, un élément de configuration (CI) sans correspondance est également créé avec un élément vulnérable.
Utilisez le moteur Identification et rapprochement (IRE, Moteur d’identification et rapprochement) pour créer des CI dans deux nouvelles classes lorsqu’un CI existant ne peut pas correspondre à un hôte. Sinon, des CI sans correspondance sont créés dans les classes CI sans correspondance. Pour plus d'informations, consultez Création de CI à l’aide du moteur Identification et rapprochement.
- Entrées de vulnérabilité tierces
- Les entrées de vulnérabilité tierces sont importées à partir d’analyseurs tiers tels que MS TVM et sont répertoriées dans la table Entrées de vulnérabilité tierces de votre ServiceNow AI Platform instance. En outre, les entrées de la base de données de vulnérabilité nationale (CVE) sont importées de MS TVM. Les informations d’exploit associées à ces deux types d’entrées proviennent de MS TVM. Ces informations d’exploit peuvent être utilisées pour le calcul du risque.Remarque :Une vulnérabilité tierce est récupérée uniquement pour les vulnérabilités auxquelles aucune CVE n’a été affectée. MS TVM peut ajouter un nom temporaire pour la vulnérabilité, par exemple,
TVM-XXXX-XXXX.Ce nom est mis à jour après l’affectation d’un ID CVE. - Élément de configuration (CI)
- Les CI sont les actifs existants répertoriés dans votre CMDB.
- Élément détecté
- Les éléments détectés sont les actifs ingérés à partir de l’importation de machine MS TVM qui correspondent aux CI existants dans votre CMDB.
Si aucune correspondance n’est trouvée, un CI est créé dans la classe CI sans correspondance du CMDB. Activez le module d’extension Modèles de classe CI CMDB, le moteur Identification et rapprochement (IRE) crée des CI à l’aide de nouvelles classes. Pour plus d'informations, consultez Création de CI à l’aide du moteur Identification et rapprochement. Si le CI d’origine, sans correspondance, est reclassé, les enregistrements de l’élément détecté sont mis à jour pour refléter cet état. Les éléments détectés vous donnent une visibilité sur la façon dont les actifs sont identifiés et mappés aux CI dans le CMDB.
- Règles de recherche de CI
- Lorsque des données sont importées à partir de MS TVM, Réponse aux vulnérabilités utilise automatiquement les données de l’ordinateur (actif) pour rechercher des correspondances dans le CMDB. Les règles de recherche de CI sont utilisées pour identifier les CI et les ajouter aux enregistrements de VI lors de leur création.
- Instance
- Une instance fait référence à plusieurs comptes de MS TVM. Chaque compte peut être une instance dans l’application MS TVM.
- Intégration
- Une intégration est un travail planifié qui récupère des informations à partir d’une source tierce, telle que l’intégration des machines MS TVM.
- Déploiement
- Lorsqu’une intégration prend en charge le multi-source, une seule existence d’intégration est appelée un déploiement de votre intégration. Un déploiement fait référence aux intégrations et aux produits dans votre environnement. Par exemple, vous pouvez avoir plusieurs déploiements de MS TVM dans votre environnement.
L’intégration de MS TVM comprend également les fonctionnalités clés suivantes :
- Vous pouvez identifier les actifs dans votre environnement et mettre à jour les CI de vos éléments détectés, éléments vulnérables et enregistrements de détection existants pour vous donner plus de détails sur vos vulnérabilités.
- Vous pouvez planifier le moment où vous souhaitez que les travaux s’exécutent pour toutes les intégrations MS TVM. Vous pouvez également exécuter des travaux planifiés sur demande.
- Vous pouvez regrouper les éléments vulnérables.
- Vous pouvez configurer des règles de recherche de CI pour définir la façon dont les données d’actifs de sources tierces sont utilisées pour identifier les CI dans votre CMDB.
Rôles ServiceNow AI Platform requis
Les tâches d’intégration nécessitent les rôles suivants dans votre ServiceNow AI Platform instance.
Des rôles de profil et granulaires sont disponibles pour vous aider à gérer ce que les utilisateurs et les groupes peuvent voir et faire dans l’application Réponse aux vulnérabilités . Pour une première affectation des rôles de profil dans l’Assistant de configuration, reportez-vous à la section Affecter les rôles du profil à l’aide de l’Assistant Réponse aux vulnérabilités de configuration. Pour plus d’informations sur la gestion des rôles granulaires, reportez-vous à la section Gérer les profils et les rôles granulaires pour Réponse aux vulnérabilités.
- administrateur
- L’administrateur système utilise l’Assistant de configuration pour installer l’application MS TVM. S’il n’est pas affecté, l’administrateur affecte l’administrateur de vulnérabilité (sn_vul.vulnerability_admin) et d’autres rôles dans l’Assistant de configuration.
- sn_vul.vulnerability_admin
- Une fois affecté, l’administrateur de vulnérabilité termine la configuration des intégrations MS TVM dans l’Assistant de configuration. Ce rôle dispose d’un accès complet à l’application Réponse aux vulnérabilités et à ses enregistrements. L’administrateur de vulnérabilité configure toutes les applications et règles pour les Réponse aux vulnérabilités intégrations tierces installées.
- sn_vul_msft_tvm.configure_integration
Ce rôle contient le rôle granulaire
sn_vul_msft_tvm.read_integration. Les utilisateurs disposant de ce rôle peuvent configurer l’intégration de Réponse aux vulnérabilités avec l’application Microsoft Threat and Vulnerability Management.- sn_vul_msft_tvm.read_integration
Les utilisateurs disposant de ce rôle ne peuvent afficher l’intégration de Réponse aux vulnérabilités qu’avec les enregistrements de l’application Microsoft Threat and Vulnerability Management.
- Groupe de réponse aux vulnérabilités
- Par défaut, le groupe Réponse aux vulnérabilités est disponible dans l’Assistant de configuration. Les utilisateurs affectés au groupe Réponse aux vulnérabilités héritent automatiquement des rôles sn_vul.read_all et sn_vul.remediation_owner.
Intégrations MS TVM
Le multisource est pris en charge pour toutes les intégrations MS TVM. Vous pouvez ajouter et déployer plusieurs instances des intégrations suivantes dans votre environnement à partir de l’Assistant de configuration dans Réponse aux vulnérabilités. Vous pouvez également installer et configurer l’intégration avec l’application Réponse aux vulnérabilités MS TVM à partir de l’Assistant de configuration.
Pour afficher les intégrations MS TVM, accédez à . Réponse aux vulnérabilités fournit des intégrations avec les points de terminaison MS TVM pour importer les données en fonction des intervalles de temps planifiés. Les intégrations suivantes sont incluses dans le système de base.
| Séquence d’exécution | Calendrier | Intégration | Description |
|---|---|---|---|
| 1 | Quotidien | Intégration de Microsoft TVM Recommendations | Récupère une liste de toutes les recommandations de sécurité activables pour corriger les vulnérabilités. |
| 2 | Quotidien | Intégration de la vulnérabilité Microsoft TVM (CVE) | Récupère une liste des entrées de base de données de vulnérabilité nationale et des entrées de vulnérabilité tierces, ainsi que leurs informations d’exploitation. |
| 3 | Quotidien | Intégration des machines Microsoft TVM | Récupère toutes les données d’actif (ordinateur), y compris les balises d’ordinateur, à partir de Microsoft TVM et les traite dans votre instance. |
| 4 | Hebdomadaire Remarque : Après l’installation, cette intégration est exécutée automatiquement après l’importation des machines. |
Intégration des vulnérabilités des machines Microsoft TVM (importation complète) | Récupère toutes les vulnérabilités ouvertes sur tous les actifs. |
| 5 | Quotidien | Intégration des vulnérabilités des machines Microsoft TVM (importation Delta) | Récupère toutes les informations qui ont changé dans l’importation complète des vulnérabilités de l’organisation, y compris les vulnérabilités nouvelles, corrigées et mises à jour. |
Les éléments vulnérables sont regroupés en tâches de rattrapage en fonction des règles de groupe que vous définissez et sont affectés au rattrapage en fonction de vos règles d’affectation. Pour plus d'informations, consultez Réponse aux vulnérabilités Vue d’ensemble des tâches de rattrapage et des règles de tâche de rattrapage et .
Règles de recherche de CI
- MAC_ADDRESS
- FQDN
- Adresse IP
Éléments détectés
Balises d’ordinateur
Les balises d’ordinateur, également appelées balises d’hôte, sont utilisées pour organiser et suivre les actifs de votre organisation. Vous attribuez des balises à vos machines.
- Le stockage des balises n’est pas sensible à la casse. Si une balise Paris est créée, une balise PARIS ne peut pas être stockée dans la table des balises Machine. Paris et PARIS sont considérés comme la même balise machine par le système. La balise importée en premier est la balise qui est stockée et reconnue.
- L’utilisation de balises d’ordinateur comme clé de groupe dans une règle de tâche de rattrapage peut avoir des résultats inattendus. Les clés de groupe sont des colonnes dans la table des tâches de remédiation, tandis que les balises machine sont destinées à être utilisées uniquement dans le générateur de conditions.
- Les balises d’ordinateur sont contrôlées par la propriété système globale sn_vul.import_host_tags. Par défaut, cette propriété est définie sur vrai . La désactivation des balises les désactive dans toutes les ServiceNow AI Platform® instances.
Étapes suivantes
Après avoir téléchargé l’intégration à Microsoft Threat and Vulnerability Management à partir du , l’installation et la Réponse aux vulnérabilitésServiceNow® Store configuration sont prises en charge par l’Assistant de configuration dans Réponse aux vulnérabilités. Pour plus d'informations, consultez Installez et configurez l’intégration de Réponse aux vulnérabilités avec l’application MS TVM à l’aide de l’Assistant de configuration.