Mapeamento de campo de infração

Como um usuário com a função sn_si.admin, use os campos da seção Infrações de amostra à esquerda e mapeie-os para os campos de incidente de segurança na coluna Mapeamento de campo de incidente SIR. Edite a configuração de mapeamento arrastando os campos de ofensa, evento ou fluxo do lado esquerdo e soltando-os na seção de mapeamento de incidente ServiceNow SIR à direita. O mapeamento à direita associa o campo de infração de entrada a um campo de incidente de segurança de saída.

1. Depois de buscar os dados de amostra, a próxima etapa é mapear os campos de infração, evento ou fluxo para o incidente de segurança. Para mapear um valor de campo do lado esquerdo do formulário para um campo no incidente de segurança no lado direito do formulário, clique e mantenha pressionado um nome de campo azul no lado esquerdo do formulário.
2. Arraste o nome do campo, por exemplo, descriçãoe solte-o em um campo na coluna Expressão de entrada ao lado de um nome de campo na coluna Incidente de segurança.
   O valor do campo é exibido na coluna Expressão de entrada. Na imagem a seguir, a descrição é mapeada para o campo Descrição no incidente de segurança.
   
   
   Nota:

   Se você inserir o nome do campo de evento ou fluxo manualmente na seção Expressão de entrada, deverá adicionar um prefixo como ${Event:eventfield}$ ou ${Flow:flowfield}$ antes do nome do campo que está sendo mapeado.
   
   
   

   Para ajudar a garantir que nenhum campo de ofensa, evento ou fluxo seja ignorado ou duplicado no processo de mapeamento, os campos são codificados por cores. A codificação por cores dos campos de infração ajuda a rastrear os valores de infração que você já mapeou conforme eles se tornam esmaecidos, enquanto todos os campos não mapeados restantes aparecem em azul. Isso ajuda a visualizar melhor quais valores de campo foram adicionados ao incidente de segurança e se alguma informação de infração importante restante permanece não mapeada.

   Os campos azul claro à esquerda indicam que um campo de infração ainda não foi selecionado e mapeado no incidente de segurança. Você pode preferir associar uma ofensa, um evento ou um campo de fluxo de entrada a mais de um campo em um incidente de segurança. Um campo cinza indica que um campo foi selecionado e mapeado para um campo no incidente de segurança. Essa codificação de cores ajuda a rastrear o mapeamento.

3. Para adicionar campos aos campos padrão exibidos no incidente de segurança no lado direito do formulário, siga estas etapas:
   1. À direita do formulário na seção Mapeamento de campo de incidente de SIR, na parte inferior da grade, clique no ícone de adição (+). Um novo campo é exibido.
   2. Na coluna Incidente de segurança, expanda a lista de seleção exibida e selecione um campo.
      Na lista de seleção expandida para o novo campo, alguns campos estão sombreados. Na figura a seguir, Categoria tem um plano de fundo cinza porque foi mapeada no incidente de segurança. Semelhante à codificação de cores dos campos de infração no lado esquerdo do formulário, essa codificação de cores para os campos de incidente de segurança à direita ajuda a rastrear os campos de incidente de SIR já mapeados.
      
      
      Nota:

      Como vários observáveis podem ser exibidos no mesmo incidente de segurança, o campo Observável pode ser mapeado várias vezes com valores diferentes. Da mesma forma, os campos Item de configuração e Anotações de trabalho oferecem suporte a vários valores. Se você tentar mapear dois valores para um campo que não pode oferecer suporte a vários valores, ao visualizar o incidente, será exibida uma mensagem de erro informando que não há nenhum valor para o campo. Da mesma forma, se um campo em um incidente de segurança tiver uma lista de seleção na qual você pode escolher várias opções e você tentar mapear uma opção para esse campo que não é exibido na lista de seleção, o campo não será preenchido no incidente de segurança.
   3. Como alternativa, digite um valor no campo Pesquisar da nova linha.
   4. No lado esquerdo do formulário, selecione o campo de infração e arraste e solte-o em um campo de incidente de segurança apropriado à direita.
4. Remova campos usando o ícone - ao lado do nome do campo na seção de mapeamento de campo de incidente SIR.
5. Continue mapeando adicionando ou removendo valores de campo para o mapeamento.

Campos de infração com vários valores

• Os campos de incidente de segurança, como os campos Categoria e Usuário (por exemplo, Usuário afetado, Atribuído a) disponíveis com o produto base não oferecem suporte a vários valores.
• Os seguintes campos IBM QRadar oferecem suporte a vários valores:
  • categorias
  • destino_redes
  • source_address_ids
  • local_destination_address_ids
  • remote_destination_ips
  • rules_contributing_to_offense
  • usuários

  Se você precisar mapear os campos acima para qualquer campo Security Incident Response além dos campos do tipo IC e Observável, deverá criar novos campos Security Incident Response do tipo Lista e usá-los para mapeamento.

  Nota:

  Por padrão, somente os campos do tipo Lista sem referência são compatíveis.

Formatar tradução de campo

Em determinados casos, os valores de campo de infração em IBM QRadar podem não ser traduzidos diretamente para os campos no incidente de segurança SIR. Para esses valores, você pode usar um editor de script para formatar valores de campo no incidente de segurança durante a etapa de mapeamento. Use o editor de script se quiser formatar valores semelhantes, mas não idênticos. Por exemplo, com o editor de script, um valor de categoria de Alerta de malware e Infecção de vírus pode ter valores de campo diferentes para a categoria de origem, mas ambos os valores podem ser convertidos em uma Atividade de código malicioso comum no campo Categoria no incidente de segurança SIR usando o formato Funcionalidade de tradução de campo.

Para usar o editor de script, clique no . O editor de script é exibido.

Insira as mudanças no script e clique em Atualizar para salvar as mudanças e retornar à página Mapeamento.

Condições de geração de incidentes

Critérios de agregação de infração para lidar com infrações semelhantes e evitar incidentes duplicados