Os plug-ins Security Incident Response, Vulnerability Responsee Inteligência contra ameaças compartilham recursos comuns, para dados de relacionamento e regras de duplicação, usados para importar informações externas e internas para Security Operations.

Análise de E-mails, Regras de Duplicaçãoe Mapeamento de Campos obtêm dados de entrada (um e-mail, arquivo JSON ou XML ou um registro) e transformam esses dados no formato correto para criar um novo registro. Cada um desses recursos extrai dados à sua maneira, mas eles são transformados no novo registro usando muitos dos mesmos processos.

Dados de relacionamento

Ao adicionar informações a uma lista relacionada (como um observável associado em um incidente de segurança), você pode criar um registro de relacionamento que consiste em uma tabela m2m. Às vezes, há dados adicionais nesse registro de relacionamento a serem definidos. Por exemplo, um observável sendo um IP de origem (em oposição a um IP de destino). Essas informações vão para o campo de dados de relacionamento no formulário de transformação de campo usado pela análise de e-mail ou para uma lista relacionada de campos de mapeamento de campo no formulário de mapeamento de campo.

O campo Dados de relacionamento geralmente está vazio. É mais comumente usado para endereços IP em observáveis na Análise de e-mail.

Você pode transformar dados de qualquer registro ServiceNow em qualquer outro registro ServiceNow usando Campos de mapeamento de campo no recurso Mapeamento de campo. Por exemplo, para transformar dados de um incidente em um incidente de segurança ou um incidente de segurança em um PRB.

Regras de duplicação do Security Operations

Use Regras de Duplicação para lidar com registros duplicados de segurança, vulnerabilidade, IoCs e assim por diante.

As regras de duplicação têm duas finalidades. Eles impedem que muitos registros duplicados sejam criados e, quando uma duplicata é detectada, eles especificam quais campos no registro são atualizados. Somente duplicatas ativas são procuradas. Se o registro não estiver ativo, por exemplo, se o incidente for encerrado, qualquer novo problema idêntico se tornará um novo incidente.

As regras de duplicação são usadas por Análise de e-mail, Mapeamento de campoe Mapeamento de dados de aprimoramento.