Étape 7. Créer des configurations d’enregistrement de déploiement

  • Rversion finale: Washingtondc
  • Mis à jour 1 févr. 2024
  • 1 minute de lecture

    • Créez une configuration d’enregistrement de déploiement pour lier et dissocier des enregistrements supplémentaires à MSI.

    Avant de commencer

    Rôle requis : admin et sn_msi.workspace_admin
    Remarque :
    L’administrateur système peut créer l’enregistrement et l’administrateur de l’espace de travail MSI peut le mettre à jour.

    Pour déployer des informations telles que les éléments de configuration, les observables et l’indicateur de compromission liée à un ticket de sécurité, créez une configuration d’enregistrement de déploiement.

    Procédure

    1. Accédez à la Réponse aux incidents de sécurité majeurs > Configuration des enregistrements liés.
      La page Configurations d’enregistrements liés s’affiche.
    2. Sélectionnez ou créez un enregistrement lié et accédez à la section Configuration de l’enregistrement de déploiement à partir de la même page.
      Figure 1. Section Configuration d’enregistrement de déploiement
      Configuration de l’enregistrement de déploiement

    Que faire ensuite

    Écriture d’un script pour un ticket de sécurité

    Écriture d’un script pour un ticket de sécurité afin de déployer la configuration d’enregistrement.

    Avant de commencer

    Rôle requis : admin et sn_msi.workspace_admin
    Remarque :
    L’administrateur système peut créer l’enregistrement et l’administrateur de l’espace de travail MSI peut le mettre à jour.

    Procédure

    1. Recherchez les configurations d’enregistrements liés à l’aide du panneau de navigation de gauche.
    2. Accédez à la Administration MSI > Configuration d'enregistrement lié.
    3. Ouvrez l’enregistrement de configuration qui a été créé pour un ticket de sécurité.
    4. La configuration d’enregistrement de déploiement s’affiche dans la section Liste connexe.
    5. Cliquez sur Nouveau pour créer une configuration d’enregistrement de déploiement.
      Voici un exemple d’enregistrement créé pour déployer les données observables liées au ticket de sécurité que nous essayons de déployer avec les valeurs de champ comme suit :
      Nom Description
      Type de déploiement Relation
      Remarque :
      Les informations observables sont disponibles dans un format de liste connexe.
      Script de déploiement L’entrée sourceSysId contient l’ID système du ticket de sécurité et msiSysId contient l’ID système de l’incident de sécurité majeur.

      Script de déploiement

      • Line 2: As a first step, query for Glide Record for sourceSysId from Security Case(sn_ti_case) table.
      • Line 7: Next, query sn_ti_m2m_task_observable table using security case sys ID to figure out all the linked observables to a security case.
      • Line 10: Next, iterate over all the linked observables and link them to a Major Security Incident using the method:
        MSIMRollupEngine.linkToMSI(« entityGr », « sourceSysId », « fieldNameInLinkedRecordTable », « msiSysId », « isPrimaryRecord »)