セキュリティインシデントをプレビュー
マッピングステップを完了したら、ServiceNow AI Platform® セキュリティインシデントレスポンス (SIR) セキュリティインシデントでマッピングした値をプレビューします。このプレビューステップでは、セキュリティインシデントに表示するすべての注目フィールドがマッピングされていることを確認できます。
始める前に
必要なロール:sn_si.ingestion_profile_admin
このタスクについて
セキュリティインシデントをプレビューし、必要に応じてマッピングを再編集して、エラーのあるフィールドを修正するか、欠落しているデータを入力します。プレビューが正常に完了しない場合、スケジュール設定ステップに進むことはできません。SIR セキュリティインシデントのプレビューは、SIR 製品の実際のインシデントとして保存されません。
手順
-
[サンプル注目イベント ID] 選択リストから、アイテムを選択します。
セキュリティインシデントが表示されます。フィールドの情報は変更しないでください。このビューは読み取り専用であり、このセキュリティインシデントのレコードは保存されません。
-
セキュリティインシデントの注目イベント値のフィールドマッピングを確認します。
前の画像は、マッピングエラーのあるプレビューの例です。この例では、注目イベントのフィールド値に、SIR インシデントフォームの参照フィールドの許容値がありません。[ 優先度] フィールドの入力値が見つからなかったことを示すエラーメッセージが表示されます。その結果、このマップされたフィールド値は、さらに変更しないと SIR セキュリティインシデントフォームに表示されません。
-
マッピングを再度プレビューし、エラーメッセージに記載されているエラーの修正を続行します。
次の図は、すべてのエラーメッセージが解決された後の SIR セキュリティインシデントの下半分にある [インシデントの詳細] タブの例です。この例では、 [説明] および [作業メモ] フィールドがマッピングされ、これらのフィールドには Splunk Enterprise Security 注目イベントサンプルからプルされた値のペアの値が入力されます。最初の [作業メモ] フィールドには値がありません。マッピングステップで、このフィールドはマッピンググリッドで空のままになっていました。値を含む追加の [作業メモ] フィールドが、マッピングセクションに追加されました。
注:一致する CMDB レコードまたは ID レコードが見つからない場合、[プロファイルプレビュー] セクションに [ 一致しない影響を受けるユーザー] および [ 一致しない構成アイテム] の関連アイテムが表示されます。取り込み後、セキュリティインシデントレコードの [構成アイテム] 関連リストに [一致しない CI] が、[一致しない影響を受けるユーザー] が専用の関連リストに表示されるため、インシデントのライフサイクル全体を通じて影響を受けるエンティティが完全に可視化されます。
次のタスク
エラーメッセージが表示されず、セキュリティインシデントのフィールドマッピングに問題がない場合は、次のステップでは Splunk Enterprise Event Ingestion 統合でのアラートのスケジュールおよび取得 を行います。