Bericht zur Überprüfung nach Incident
Mit der Funktion zur Überprüfung nach Incidents (PIR) können Sie die Berichte zur Überprüfung nach Incidents über die Registerkarte Überprüfung nach Incidents einrichten und herunterladen.
Der Sicherheitsadministrator kann die Berichtsvorlagen erstellen und konfigurieren und diese Vorlagen mithilfe der Berichtskonfiguration dem Security Incident zuordnen. Ein Sicherheitsanalyst kann den Bericht dann anzeigen oder herunterladen, nachdem der Security Incident gelöst und der Status in den Status Überprüfen geändert wurde.
- Berichtsvorlagen: Sie können die folgenden Berichtsvorlagenfunktionen anpassen und konfigurieren, um dem Bericht zusätzliche Informationen hinzuzufügen:
- Zeitleiste
- Branding
- Vorlagenskripts
- Berichtkonfiguration
In diesem Abschnitt wird das Konfigurationsverfahren beschrieben:
Berichtsvorlagen
Verwenden Sie den Abschnitt Berichtsvorlagen, um primäre und zusätzliche Berichtsvorlagen zu erstellen, die auf die Security Incidents angewendet werden, um den Bericht zur Überprüfung nach Incident zu generieren. Sie können den Bericht entsprechend Ihren Anforderungen formatieren und konfigurieren. Die Vorlagen helfen Ihnen auch, die Bewertungsdetails in die Vorlage aufzunehmen.
- Konfigurieren der Branding-Informationen.
- Seitengröße und Seitenrand einrichten.
- Hinzufügen von Feldern im Zusammenhang mit Security Incidents (sowohl anwenderdefiniert als auch standardmäßig).
- Mit den folgenden vordefinierten anwenderdefinierten Token:
- $sessionUser: gibt den angemeldeten Anwendernamen zurück
- $date: gibt das aktuelle Datum zurück
- $if_not_null_start & $if_not_null_end: Wenn diese Tags für Felder verwendet werden, werden die Tags nur angezeigt, wenn der Wert vorhanden ist. Beispiel:
- ${if_not_null_start:problem}
- Problem Category: ${problem.category}
- ${if_not_null_end:problem}
- Einschließen der zugehörigen Listendaten mithilfe der Vorlagenskripts. Weitere Informationen finden Sie im Abschnitt weiter unten unter Vorlagenskripts.
- Einbeziehen der Zeitleisteninformationen mithilfe der Zeitleistenfilter. Weitere Informationen finden Sie im Abschnitt weiter unten unter Zeitleiste.
- Vorlageninhalte wie Anhänge, Tabellen und Bilder verwalten und formatieren.
- Die an die Berichtsvorlage angehängten Bilder werden nur dann im Bericht zur Überprüfung nach Incident angezeigt, wenn sie in der Tabelle „sys_attachment“ enthalten sind.Hinweis:Bilder, die in der Tabelle „db_image“ ausgewählt wurden, werden nicht im Bericht zur Überprüfung nach Incident angezeigt.
- Videos werden im Bericht zur Überprüfung nach Incident nicht unterstützt.
- Die URLs in der PDF-Datei können nicht angeklickt werden. Um die nicht anklickbaren URLs zu aktivieren, wird (.) mit (Punkt) gekennzeichnet.
- Der Bericht wird nicht generiert, wenn die Größe der Berichtsvorlage 50 MB überschreitet.
- Die für den Inhalt der Berichtsvorlage ausgewählte Schriftartfamilie wird nicht auf die PDF-Datei angewendet, wenn sie vom PDF-Generator nicht unterstützt wird. Hinweis:Wenn die entsprechende Schriftart nicht vorhanden ist, identifiziert der PDF-Generator die alternative, am nächsten liegende Schriftart und generiert dann die PDF-Datei.
- Wenn Sie höhere Seitenrandwerte angeben, schlägt das Generieren des Berichts zur Überprüfung nach Incident fehl. Beispiel: Oberer und unterer Rand > 450 und linker und rechter Rand > 450.
- Wenn die Berichtsvorlage einen großen Text ohne Leerzeichen enthält, wird der Text möglicherweise gekürzt. Zeigen Sie eine Vorschau des Texts an, und ändern Sie ihn entsprechend.
Der -Sicherheitsadministrator kann den Bericht über die Schaltfläche Vorschaubericht anzeigen, die auf der Seite mit den Berichtsvorlagen verfügbar ist.
Wählen Sie einen Security Incident aus, um eine Vorschau eines Berichts mit dieser Vorlagenoption anzuzeigen, und klicken Sie auf Vorschaubericht.
Branding
Sie können den Namen der Branding-Vorlage, das Kopf- und Fußzeilenbild sowie den Kopf- und Fußzeilentext hinzufügen, Seitenzahlen generieren und den Branding-Datensatz nach der Erstellung in die Berichtsvorlage aufnehmen.
Im Folgenden finden Sie ein Beispiel für ein Branding-Berichtsformat:
- Die maximal zulässige Größe für das Header- und Footerbild beträgt 5 MB. Wenn die Größe den angegebenen Grenzwert überschreitet, wird im Security Incident die Fehlermeldung „Bildformat kann nicht erkannt werden“ angezeigt.
- Die Länge des Fußzeilentexts ist auf 100 Zeichen beschränkt.
- Wenn sich der Text des Fußzeilenbilds und der Berichtsinhalt während der Vorschau überschneiden, müssen Sie Änderungen am Branding-Datensatz vornehmen.
- Wenn der Fußzeilentext einen URL-Link enthält, kann er sich mit dem Fußzeilenbild überlappen. Zeigen Sie eine Vorschau an, und korrigieren Sie sie nach Bedarf.
Zeitleiste
Die Konfiguration der Zeitleiste ermöglicht Ihnen das Erstellen und Ändern der Zeitleistenfilter nach Bedarf. Sie können die Aktivitätstypen filtern, die in den Bericht aufgenommen werden sollen, konfigurieren, ob die untergeordneten Aufgaben in den Bericht aufgenommen oder ausgeschlossen werden sollen, und konfigurieren, ob die Bilder in den Bericht aufgenommen oder ausgeschlossen werden sollen.
Wenn Sie eine Zeitleistenkonfiguration verwenden und ausfüllen möchten, müssen Sie das Tag wie unten erwähnt hinzufügen: ${timeline:timeline name}. Im Setup werden zwei Beispiel-Zeitleistenkonfigurationen bereitgestellt, die in der Phishing-Berichtsvorlage und der Standardberichtsvorlage verwendet werden. Sie können die -Konfigurationen ändern und wiederverwenden.
Vorlagenskripts
Verwenden Sie die Vorlagenskripts, um die Daten der zugehörigen Listen, Datums- und Zeitstempel und andere Daten einzubeziehen, die nicht direkt Dot-Walk-fähig sind. Es folgt ein Beispiel:
- Um die Daten der zugehörigen Liste vorzubereiten, rufen Sie die Methode PostIncidentReportUtils.fetchRelatedListDataForReport auf.
- Um die step1-Daten im Tabellenformat und -stil darzustellen, rufen Sie die ReportTemplateUtil.constructTablefunction-Methode auf.
Wenn Sie ein Vorlagenskript verwenden und ausfüllen möchten, müssen Sie das Tag-Vorlagenskript-Tag als ${template_script:script name}hinzufügen.
| Skriptname | Beschreibung |
|---|---|
| format_current_date | Gibt das aktuelle lokale Datum und die aktuelle Uhrzeit im Format TTMMJJJJ 00.00 AM oder PM zurück. Beispiel: 21. Januar 2021 15:51 PST. |
| si_affected_users | Gibt die betroffenen Anwender aus der zugehörigen Liste in Tabellenform zurück. |
| si_assessments | Gibt die Ergebnisse der Bewertung nach Incident in Tabellenform zurück. |
| si_associated_phish_emails | Gibt die zugeordneten Phishing-E-Mails aus der zugehörigen Liste in Tabellenform zurück. |
| si_associated_phish_headers | Gibt die zugeordneten Phishing-Header aus der zugehörigen Liste in Tabellenform zurück. |
| si_business_criticality | Gibt einen farbcodierten Wert für die Geschäftskritikalität zurück. |
| si_malicius_observables | Gibt die schädlichen erkennbaren Elemente aus der zugehörigen Liste in Tabellenform zurück. |
| si_observables | Gibt die erkennbaren Elemente aus der zugehörigen Liste in Tabellenform zurück. |
| si_priority | Gibt einen farbcodierten Prioritätswert zurück. |
| si_response_tasks | Gibt die Antwortaufgaben aus der zugehörigen Liste in Tabellenform zurück. |
| si_time_to_identify | Gibt die Dauer zurück, die im Status Entwurf und Analyse verbracht wurde. |
| si_time_to_resolve | Gibt die Zeit bis zur Lösung des incident zurück. |
- Wenn eine zugehörige Liste mit mehr als 5 Spalten hinzugefügt wird, werden die Tabellendaten während der PDF-Generierung gekürzt. Die Mindestbreite jeder Spalte ist auf 124 px festgelegt.
- Wenn ein Vorlagenskript den Inhalt aufgrund technischer Probleme nicht in der Berichtsvorlage laden kann, wird im Bericht die Fehlermeldung „Fehler beim Auswerten des Vorlagenskripts“ angezeigt, und der Sicherheitsadministrator muss die Richtigkeit des Skripts bewerten, um das zu beheben Problem.
- si_assessments: Standardmäßig werden alle Bewertungskategorien einem Bericht hinzugefügt. Der Sicherheitsadministrator kann die Daten filtern, indem er das Vorlagenskript nach Bedarf ändert. Fügen Sie den Parameter categories: sys_id1, sys_id2; hinzu, um die Daten zu filtern.
- Zeit für Lösung und Zeit für Identifizierung von Skripts: Verwenden Sie die Definitionsdatensätze, die Teil der zugehörigen Liste der Metriken sind. Wenn die Definitionsdatensätze für den Security Incident nicht verfügbar sind, erstellen oder fügen Sie sie hinzu, um die Werte für die beiden Felder auszufüllen.
Standardmäßig hat der -Sicherheitsadministrator keinen Zugriff zum Anzeigen der Versionsdatensätze einer Tabelle. Sie müssen die Administratorrolle hinzufügen, um auf die Versionsdatensätze zuzugreifen und zur vorherigen Version zurückzukehren.
Berichtkonfiguration
Verwenden Sie den Abschnitt „Berichtskonfiguration“, um die Bedingungen einzurichten und die Berichtsvorlagen auf die Security Incidents anzuwenden. Sie können derselben Bedingung einen primären Bericht und mindestens eine zusätzliche Berichtsvorlage hinzufügen.
Im Folgenden finden Sie eine Beispielbedingung zum Anwenden der Phishing-Berichtsvorlage auf Incidents der Phishing-Kategorie und eine weitere Bedingung zum Anwenden der Standardberichtsvorlage auf alle Security Incidents. Die Standardberichtsvorlage wird auf die Security Incidents angewendet, wenn die Bedingungen nicht erfüllt sind.
Verfahren zum Deaktivieren der neuen Implementierung
- Deaktivieren Sie die folgenden Geschäftsregeln:
- PIR-PDF generieren
- Wissen über Abschluss neu erstellen
- Aktivieren Sie die folgenden Geschäftsregeln:
- In „Überprüfen und schließen“ PIR generieren
- Wissen über Abschluss erstellen
- [PIR bei Abschluss/Abbrechen/Löschen erneut generieren]
- Aktivieren Sie die UI-Regel Hide PIR field when empty.
- Wechseln Sie zum Formularlayout im Formular „Security Incident“. Im Abschnitt „Überprüfung nach Incident“ :
- Entfernen Sie die PIR-Berichtsauswahl aus dem PIR-Abschnitt
- Fügen Sie dem PIR-Abschnitt das Feld „Nachfolgebericht zum Incident“ hinzu
Konfigurieren Sie die Eigenschaften des PIR-Berichts (Post Incident Review) für untergeordnete Security Incidents
- sn_si.generate_vir_report_for_child_si
- sn_si.include_child_si_timeline_in_vir
| Eigenschaft | Monatlich |
|---|---|
| sn_si.generate_vir_report_for_child_si | Mit dieser Option wird die Generierung von PIR-Berichten (Post Incident Review) für untergeordnete Security Incidents aktiviert.
|
| sn_si.include_child_si_timeline_in_vir | Option, um die Zeitleiste der untergeordneten Security Incidents in den PIR-Bericht des übergeordneten Security Incident aufzunehmen.
|