Security Incident Response – 이벤트 관리 통합

애플리케이션의 이벤트 관리 기능이 지원 보안 인시던트 응답하도록 확장되었습니다. 지원 플러그인은 보안 인시던트 응답 이벤트 관리 보안 인시던트의 필드를 채우기 위해 이벤트 이벤트 관리 내용을 자동으로 구문 분석합니다.

보안 정보 및 이벤트 관리 (SIEM) 도구에서 시스템의 보안 이벤트 이벤트 관리 생성

• Event Management 기능 – 이벤트 상관 관계, 이벤트 규칙 및 경보 규칙
• 결과 보안 인시던트에 additional_information 값 자동 매핑

자원:

보안 인시던트 이벤트 관리 지원 설명서

이벤트 관리 설명서

Security Incident Response - 임포트 세트 API 통합

보안 관련 이벤트를 밀어넣는 데 사용하는 이벤트 관리 것 외에도 애플리케이션은 보안 인시던트 응답 보안 인시던트를 직접 생성할 수 있는 임포트 세트 API를 제공합니다. 보안 인시던트 임포트 세트의 REST 엔드포인트는 http://localhost:8080/api/now/import/sn_si_incident_import 입니다.

이 통합 기술은 a) 이벤트 관리 설치되어 있지 않거나 b) 사용할 이벤트 관리때 필요한 보안 인시던트 플로우> 이벤트 경보 > 보안 인시던트 플로우를 거치지 않고 단순히 보안 인시던트를 생성하려는 경우에 유용합니다.

SIEM 도구에서 직접 보안 인시던트 생성.

IP, NetBIOS 또는 정규화된 도메인 이름을 기반으로 보안 인시던트 생성 시 자동 CI 매칭

자원:

플랫폼 임포트 세트 API 설명서

Threat Intelligence - 조회 소스 통합

조회 소스는 데이터를 외부 조회 소스로 전송하여 해당 데이터가 악성인지 여부를 확인하는 기능을 제공합니다. 일반적으로 해당 데이터는 IP 주소, URL, 파일 또는 파일 해시입니다.

외부 조회 서비스를 사용하여 IP 주소, URL, 파일 또는 해시를 조회합니다.

제공되는 유용한 기능:

• 카탈로그 항목 및 보안 인시던트에서 조회를 요청하는 일관된 방법입니다.
• 코딩이 거의 없거나 전혀 없이 제공되는 속도 제한 및 제한 기능.
• 조회 소스에서 발견된 문제에 대한 영향 표시기(IoC) 옵저버블 항목이 자동으로 생성됩니다.

위협 인텔리전스 - 위협 소스 통합

위협 소스는 외부 위협 인텔리전스 리포지토리에서 데이터를 끌어오는 기능을 제공합니다. 그런 다음 이 데이터는 시스템 내에 있는 다양한 영향 표시기 테이블로 임포트됩니다. TAXII 컬렉션 및 단순 차단 목록은 기본적으로 지원됩니다. 새 TAXII 컬렉션(또는 검색 또는 컬렉션 관리 서비스를 기반으로 하는 프로파일)을 추가하려면 항목을 추가하는 것만으로 간단합니다. 마찬가지로 새로운 단순 단일 열 차단 목록을 추가하려면 새 기록을 입력하고 차단 목록의 URL을 제공해야 합니다. 더 복잡한 데이터 세트의 경우 URL을 호출하고 응답을 구문 분석하는 사용자 지정 통합을 제공할 수 있습니다.

위협 인텔리전스 소스에서 데이터를 검색하여 IoC 테이블에 로드합니다.

제공되는 유용한 기능:

• 코딩 없이 간단한 차단 목록 및 TAXII 컬렉션을 지원합니다.
• 데이터를 검색하기 위해 REST 메시지를 실행하는 간단한 메커니즘입니다.
• 통합 구성요소 재사용을 위한 분리된 데이터 검색/처리입니다.
• 데이터 소스(및 임포트 세트/변환 맵)로 반환되는 전달 데이터 처리에 대한 기본 지원입니다.
• 후속 호출에 컨텍스트를 전달하는 기능으로 통합당 여러 데이터 요청(페이지 매김된 호출의 경우)을 지원합니다.

자원:

위협 소스 정의

취약성 대응 - 스캐너 호출 통합

취약성 스캐너 호출은 인스턴스에서 취약성 스캔 호출을 지원하는 간단한 통합 엔트리포인트입니다. 타사 취약성 스캐너는 구성 항목 또는 IP 주소에 대한 검사를 예약하기 위해 비동기적으로 호출됩니다.

타사 스캐너에 CI(CI에서 파생된 호스트 정보 사용) 또는 IP 주소/IP 주소 스캔을 요청합니다.

제공되는 유용한 기능:

• 스캐너 구현을 정의하는 간단한 프레임워크입니다.
• 카탈로그 항목, 보안 인시던트 및 취약한 항목에서 검사를 요청하는 일관된 방법입니다.
• 스캔 호출의 결과로 작업을 자동으로 업데이트합니다.

취약성 대응 - 데이터 통합

취약성 데이터 통합은 외부 공급업체 취약성 시스템에서 취약성 데이터를 검색하기 위한 것입니다. 이러한 통합에서 예상되는 출력은 취약성 항목 및 취약한 항목입니다. 이러한 통합을 통해 외부 공급업체 취약성 스캐너가 독립적으로 작동할 수 있으며, 인스턴스 내에서 취약성을 작업하고 추적할 수 있습니다.

다루는 사용 사례:

• 취약성 라이브러리 검색
• 취약성/CI 쌍 검색
• 취약성 관리 시스템과 CI 동기화

• 통합 구성요소 재사용을 위한 분리된 데이터 검색/처리입니다.
• 데이터 소스(및 임포트 세트/변환 맵)로 반환되는 전달 데이터 처리에 대한 기본 지원입니다.
• 후속 호출에 컨텍스트를 전달하는 기능을 사용하여 통합당 여러 데이터 요청(페이지 매김된 호출의 경우)을 지원합니다.

자원:

취약성 데이터 통합 문서