この Playbook では、ServiceNow インスタンスのテーブルを介して実行される資格情報スニッフィングアクティビティに関連するインシデントを sys_installation_exit 調査するためのシステム修復手順について説明します。

資格情報スニッフィング Playbook には、テーブルのレコード sys_installation_exit を使用してデータベース (DB) ログイン、Single Sign-on (SSO)、および LDAP (ライトウェイトディレクトリアクセスプロトコル) を処理するためのスクリプトフィールドが用意されています。これらの特権スクリプトフィールドを使用すると、ログイン中にインスタンスに対するユーザー要求とパラメーター (ユーザー名やパスワードなどのユーザー資格情報など) をリッスンできます。

悪意のあるユーザーが、ユーザー要求をリッスンし、これらの要求をインスタンスに記録するスクリプトを作成する可能性があります。インスタンスのテーブルは sys_installation_exit 、そのインスタンス上のすべてのユーザーのログインおよびログアウトアクティビティを処理するルールを定義します。

資格情報スニッフィング Playbook の開始

1. sn_si.user および flow_designer ロールを持つユーザーとしてログインします。
2. 移動先 すべて > Flow Designer をクリックし、[ 資格情報スニッフィング Playbook] を選択します。
3. (オプション)資格情報スニッフィング Playbook フローのコピーを作成し、必要な変更を加えることができます。Playbook のフローのコピーを作成するには、[ アイコンをクリックし、[ フローのコピー] を選択します。このステップは、フローをカスタマイズまたは変更する場合にのみ実行します。

   

4. Playbook をアクティブ化します。
   • ベースシステムで利用可能な Playbook を使用するには、メインフローをアクティブ化します。
   • 必要な変更を行った後、コピーしたフローをアクティブ化します。

トリガー条件:この Playbook は、 カテゴリ が 悪意のあるコードアクティビティである場合にトリガーされ、セキュリティインシデントに関連付けられます。