Prévisualiser l’incident de sécurité pour l’intégration de l’ingestion d’événements ArcSight ESM
Une fois l’étape de mappage terminée, affichez un aperçu des valeurs que vous avez mappées dans un Now Platform Réponse aux incidents de sécurité incident de sécurité (SIR). Cette étape d’aperçu vous permet de vérifier que vous avez mappé tous les champs de corrélation que vous souhaitez afficher sur l’incident de sécurité.
Avant de commencer
Rôle requis : sn_si.admin.
Pourquoi et quand exécuter cette tâche
En tant qu’utilisateur disposant du rôle sn_si.admin, affichez un aperçu d’un incident de sécurité et modifiez à nouveau le mappage selon les besoins pour corriger les champs comportant des erreurs ou pour renseigner les données manquantes. Si l’aperçu n’est pas terminé, vous ne pouvez pas passer à l’étape de planification. Les aperçus des incidents de sécurité ne sont pas enregistrés en tant qu’incidents réels dans le Réponse aux incidents de sécurité produit.
Procédure
-
Passez en revue le mappage de champs des valeurs d’événements de corrélation sur l’incident de sécurité.
L’image précédente est un exemple d’aperçu avec une erreur de mappage. Dans cet exemple, une valeur de champ de l’événement de corrélation n’a pas de valeur acceptable pour le champ de référence sur le formulaire d’incident SIR. Un message d’erreur s’affiche et indique qu’aucune valeur d’entrée est introuvable pour le champ Catégorie , qui est un champ de référence avec un ensemble spécifique de valeurs. Par conséquent, cette valeur de champ mappée n’apparaîtra pas sur le formulaire d’incident SIR de sécurité sans autre modification.
-
Prévisualisez à nouveau le mappage et continuez à corriger toutes les erreurs décrites dans les messages d’erreur.
La figure suivante est un exemple de l’onglet Détails de l’incident dans la moitié inférieure d’un incident de sécurité une fois que tous les messages d’erreur ont été résolus. Pour cet exemple, les champs Description et Notes de travail ont été mappés, et ces champs sont renseignés avec les valeurs des paires de valeurs extraites des exemples d’événements de ArcSight ESM corrélation.
Que faire ensuite
Si aucun message d’erreur n’est affiché et que vous êtes satisfait du mappage de champs sur l’incident de sécurité, l’étape suivante consiste à définir le calendrier.