---
sourceDocument: Gestion de la sécurité Xanadu
sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/fr-FR/xanadu/security-management

 Release :

    - xanadu

ft:locale :

    - fr-FR

ft:publication_title :

    - Gestion de la sécurité Xanadu

ft:clusterId :

    - security

bundleId :

    - security

workflow :

    - Technology


---

# Enrichissement IOC automatisé

# Enrichissement IOC automatisé {#ariaid-title1}

* Rversion finale: Xanadu
* 
* Mis à jour 1 août 2024
* 
* ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 1 minute de lecture

Découvrez comment automatiser l'enrichissement des IOC à l'aide de flux lorsqu'ils répondent à un certain critère.

## Avant de commencer

Rôle requis :

* Administrateur système (afficher, créer ou modifier)
* sn_sec_tisc.admin (afficher)
{#tisc-ioc-enrichment__ul_hpp_fbn_bcc}

## Pourquoi et quand exécuter cette tâche

Automatiser l'enrichissement des déclencheurs d'IOC uniquement lorsque :

* le type de l'observable est un nom de domaine, une adresse IPv4 ou une adresse IPv6.
* L'observable est dans un état Traité.
* l'observable n'a pas les balises enrichies ou Ignorer l'enrichissement.
{#tisc-ioc-enrichment__ul_itn_ydn_bcc}

## Procédure

1. Accédez à la ToutThreat Intelligence Security CenterAdministration.
2. Sélectionner Flux automatisés.
3. Sélectionnez le lien de l'action d'enrichissement IOC automatisé pour afficher les détails de la règle respective dans le concepteur de flux.
4. Affichez l'action du Concepteur de flux pour le déclencheur suivant :  

       Observable Updated where (Type is Domain Name, or Type is IP address (V4), or Type is IP address (V6); and Processing Status is Processed; and TISC Tags does not contain Enriched, or TISC Tags does not contain Skip Enrichment, or TISC Tags does not contain Potential New Threat)

5. Si l'observable est une adresse IPv4 ou IPv6 et qu'il se trouve dans une plage CIDR autorisée, alors :
   1. Ajoutez l'observable à la liste d'autorisation.
   2. Mettez à jour les balises des observables pour ignorer l'enrichissement.
   3. Mettez fin au flux pour cet observable.
   {#tisc-ioc-enrichment__substeps_msj_lhn_bcc}
6. Sinon, enrichissez les données observables avec les options disponibles :
   1. Effectuer une recherche de menace et une recherche de perception pour recueillir des informations supplémentaires sur l'observable.
   2. Mettez à jour l'observable avec des données enrichies.
   3. Ajoutez une balise Enrichi pour indiquer que le CIO a été traité.
   {#tisc-ioc-enrichment__substeps_u2x_23n_bcc}
7. De plus, si la réputation des observables est irréprochable, alors :
   1. Marquez l'observable comme faux positif et inactif.
   {#tisc-ioc-enrichment__substeps_s1k_r3n_bcc}
8. Sinon, si la réputation de l'observable est inconnue
   1. Ajouter une balise Non menace potentielle et Enrichi pour indiquer qu'il ne s'agit pas d'une menace.

   {#tisc-ioc-enrichment__substeps_otl_1jn_bcc}