Die in diesem Release verfügbare Funktion für von Benutzern gemeldetes Phishing ist eine erweiterte Version der vorhandenen Funktion für von Benutzern gemeldetes Phishing, die im London-Release verfügbar ist. Weitere Informationen finden Sie im Thema Regeln zur Validierung von von Benutzern gemeldeten Phishing-Angriffen erstellen in der London-Dokumentation.

Wichtige Installationsanweisungen

Die folgende Abbildung zeigt die Unterschiede zwischen dem alten und dem neuen Design: Von

Die folgende Abbildung zeigt die Tabelle „Neue Phishing-E-Mails“ mit Verweisen auf die übereinstimmende URP-Regel und den Zieldatensatz für Security Incidents (sn_si_incident).

Phishing-E-Mail-Datensätze, die in der Tabelle sn_si_phishing_email gespeichert sind, werden in Security Incident-Datensätze konvertiert.

Um den Security Incident anzuzeigen, der dem Phishing-E-Mail-Datensatz zugeordnet ist, klicken Sie auf Sicherheitsvorfall > Phishing-E-Mail > Alle Phishing-E-Mails anzeigen.

Klicken Sie auf den Link in der Spalte „Security Incident“, der dem Phishing-E-Mail-Datensatz zugeordnet ist. Die Details des Security Incident werden angezeigt.

Zugehörige Listen

Scrollen Sie nach unten zum Abschnitt „Zugehörige Links“ des Security Incident, und klicken Sie auf Alle anzeigen zugehörige Liste. Zeigen Sie Details wie untergeordnete Security Incidents, betroffene Benutzer und zugehörige Phishing-E-Mails an.

Untergeordnete Security Incidents

Klicken Sie auf die Registerkarte Untergeordnete Security Incidents. Sie können eine Liste der untergeordneten Security Incidents anzeigen, die dem übergeordneten Security Incident basierend auf der angewendeten Zusammenfassungslogik zugeordnet sind. Für jeden hinzugefügten untergeordneten Datensatz wird dem übergeordneten Datensatz eine automatisierte Systemaktivität (im Abschnitt „Arbeitsnotiz“) hinzugefügt. Dadurch wird der Sicherheitsanalyst über den zusammengefassten untergeordneten Datensatz benachrichtigt.

Hinweis:

Sie können die untergeordneten Security Incidents hier nur anzeigen, wenn die Kennzeichnung Untergeordnete Incidents für zusammengefasste E-Mail-Übermittlungen erstellen auf der Seite „Anwender gemeldete Phishing-Eigenschaften“ auf Ja festgelegt ist. Details siehe Definieren Sie Eigenschaften für von Benutzern gemeldetes Phishing.

Zugehörige Phishing-E-Mails

Klicken Sie auf die Registerkarte Zugehörige Phishing-E-Mails. Sie sehen eine Liste der Phishing-E-Mail-Datensätze (doppelte Datensätze), die dem übergeordneten Phishing-E-Mail-Datensatz zugeordnet sind.

Zugehörige Phishing-E-Mail-Header

Klicken Sie auf die Registerkarte Zugehörige Phishing-E-Mails. Sie sehen die Headerdetails der Phishing-E-Mail, die im Rahmen des Security Incident erfasst wurden. Sie können die zusammengefassten Kopfzeilen aller untergeordneten Datensätze und Phishing-E-Mail-Datensätze anzeigen, die für den übergeordneten Security Incident zusammengefasst sind.

Nicht abgeglichene Benutzer werden erfasst

Einige E-Mail-IDs in der Liste „An“ und „CC“ der Phishing-E-Mail gehören möglicherweise nicht zu Benutzern in der Organisation. Diese E-Mail-IDs werden als nicht abgeglichene Benutzer kategorisiert und sind nicht in der zugehörigen Liste „Betroffene Benutzer“ enthalten. Es wird eine Arbeitsnotiz angezeigt, die angibt, dass es sich um nicht abgeglichene Benutzer handelt.

In diesem Abschnitt werden einige der häufig gestellten Fragen zur erweiterten Funktion für von Benutzern gemeldetes Phishing behandelt.

1. Ich habe die neue Security Incident Response-Spoke installiert, kann jedoch keine von Benutzern gemeldeten Phishing-Incidents anzeigen.

   Standardmäßig wurde die Funktion „Von Anwender gemeldetes Phishing“ deaktiviert.

   Um diese Funktion zu aktivieren, müssen Sie eine Kopie des schreibgeschützten Von Benutzern gemeldete Phishing-E-Mails in Security Incidents umwandeln -Flows erstellen und ihn vor der Verwendung aktivieren.

2. Welche Vorsichtsmaßnahmen werden bei der Erfassung von Phishing-E-Mails und deren Konvertierung in Security Incidents getroffen, um schädliche Links und Anhänge in den Phishing-E-Mails zu behandeln?

   Der Antivirenscanner ServiceNow scannt solche schädlichen Anhänge und Links. Um jedoch sicherzustellen, dass Sicherheitsanalysten die Incidents genau untersuchen können, erfasst die Anwendung Security Incident Response alle Artefakte, die Teil einer Phishing-E-Mail sind. Die Funktion „Von Anwender gemeldetes Phishing“ schaltet jedoch die schädlichen Links in der Phishing-E-Mail stumm, damit Sicherheitsanalysten nicht versehentlich auf diese Links klicken. In Bezug auf schädliche Anhänge müssen Sicherheitsanalysten beim Herunterladen dieser Anhänge vorsichtig sein.

3. Erfassen wir alle schädlichen Dateien, die Teil der Phishing-E-Mails sind, zur Ergänzung von Security Incidents?

   Ja, wir erfassen alle Dateien aus den Phishing-E-Mails. Sie können diese Details anzeigen, die als Teil der erkennbaren Security Incident-Elemente in Form eines Datei-Hashs verfügbar sind.

4. Senden wir schädliche Dateien und Links aus Phishing-E-Mails zur Untersuchung an eine Sandbox-Instanz?

   Derzeit unterstützen wir keine sofort einsatzbereiten Sandbox-Integrationen für die Untersuchung schädlicher Dateien und Links.

5. Gibt es ein Zeitfenster oder einen Auslöser, der die Dauer definiert, in der eingehende doppelte Phishing-E-Mail-Datensätze einem übergeordneten Security Incident zugeordnet werden?

   Doppelte Phishing-E-Mail-Datensätze werden nur für einen aktiven übergeordneten Security Incident zusammengefasst. Wenn der übergeordnete Incident geschlossen oder abgebrochen wird, wird die eingehende neue doppelte Phishing-E-Mail als neuer Security Incident erstellt. In diesem Szenario können Sie jedoch innerhalb des neuen Security Incident den geschlossenen oder abgebrochenen übergeordneten Security Incident in der zugehörigen Liste „ Ähnliche Security Incidents “ anzeigen.

   Hinweis:

   Dieses Verhalten kann mit dem Flow Designer konfiguriert werden.
6. Unterstützt die Phishing-Funktion für Benutzerberichte die Verwendung nur des Microsoft Outlook Wombat-Plugins zum Erfassen von E-Mail-Header-Details?

   Die Funktion „Anwender gemeldet“ wurde zum Analysieren von E-Mail-Kopfzeilen entwickelt und entspricht den RFC822-Standards. Daher werden ähnlich wie das Wombat-Plugin alle anderen Microsoft Outlook-Plugins unterstützt, die E-Mail-Kopfzeilen basierend auf RFC822-Standards erfassen.