---
sourceDocument: Gestão de segurança do Xanadu
sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/pt-BR/xanadu/security-management

 Release :

    - xanadu

ft:locale :

    - pt-BR

ft:publication_title :

    - Gestão de segurança do Xanadu

ft:clusterId :

    - security

bundleId :

    - security

workflow :

    - Technology


---

# Opções adicionais: automatizar atualizações e fechamento de eventos correlacionados com base no status do incidente SIR

# Opções adicionais: automatizar atualizações e fechamento de eventos correlacionados com base no status do incidente SIR {#ariaid-title1}

* Versão de lançamento: Xanadu
* 
* Atualizado 1 de ago. de 2024
* 
* ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 4 min. de leitura

A integração ArcSight ESM tem uma interface bidirecional que permite que ambos os eventos de correlação criem incidentes de segurança, bem como a capacidade de atualizar os eventos de correlação depois que o incidente de segurança é criado e/ou encerrado com detalhes relevantes do incidente, como o número do incidente de segurança , grupo de atribuição, SIR URL de incidente e assim por diante.

## Antes de Iniciar

Função necessária: sn_si.admin

## Procedimento

1. Se a página Opções adicionais na barra de andamento não for exibida, selecione Opções adicionais.
2. Siga as instruções abaixo para concluir a configuração para atualizar eventos correlacionados quando o incidente de segurança for criado.

   | Opção ou campo | Descrição |
   | Atualizar eventos correlacionados após a criação do incidente SIR | Selecione esta opção se quiser atualizar a fase do evento de correlação em ArcSight ESM e atualizar o evento com comentários adicionais quando um incidente de segurança for criado a partir do evento de correlação. Isso pode ocorrer para eventos de correlação que podem criar um novo incidente de segurança, bem como agregar incidentes de segurança existentes. Nota: Se esta opção não estiver selecionada, a fase do evento não será atualizada quando o incidente de segurança for criado. |
   | Atualização da fase do evento correlacionado | Selecione uma opção de fase na lista de seleção Atualização de fases de eventos correlacionados que exibe todas as fases disponíveis recuperadas do servidor ArcSight ESM. |
   |-|-|

   {#arcsight-esm-create-profile-additional__choicetable_bsh_yxn_kjb}  
   Fase de eventos correlacionados não configurada: se você não configurou nenhuma fase de eventos correlacionados em sua instância Now Platform, você verá somente Atribuir fase - Configuração inicial na lista de seleção Atualização de fase de eventos correlacionados. Para configurar a fase, siga estas etapas:
   * Insira um ID de recurso no campo Inserir ID de recurso da fase e clique em Enviar. O ID do recurso é validado no console ArcSight ESM e a tela a seguir é exibida.  

   * Clique em Salvar para salvar a nova fase (Monitoramento).
   * Clique na lista suspensa Selecionar fase de evento correlacionado.   

   * Você pode selecionar a fase recém-criada na lista.
   {#arcsight-esm-create-profile-additional__ul_e1p_pdn_xkb}  
   Fase de eventos correlacionados já configurada: se você já configurou a fase de eventos correlacionados, siga estas etapas:
   * Selecione Usar fase atribuída anteriormente na lista de seleção Atualização de fase de eventos correlacionados.
   * Selecione uma fase existente na lista de seleção Selecionar fase de evento correlacionada, conforme mostrado abaixo.   

   * Comentários iniciais retornados para o evento correlacionado: além de atualizar o valor da fase do evento de correlação, você também pode publicar comentários nas anotações da fase de correlação. Conforme indicado nas instruções, você pode editar o texto padrão exibido na seção de comentários, incluindo adicionar ou modificar as variáveis de substituição usando o formato $⁠{field name}$ para qualquer campo no formulário de incidente do Security Incident Response.
   {#arcsight-esm-create-profile-additional__ul_vkf_vhn_xkb}  
   Nota:  
   Você pode usar as fases padrão definidas no console ArcSight ESM ou criar suas próprias fases personalizadas. Para criar uma nova fase, siga estas etapas:
   * No console ArcSight ESM, selecione ArquivoNovoFase. A guia Inspecionar/editar é exibida.
   * Defina a nova fase e não marque a caixa de seleção Usuário obrigatório. Certifique-se de que a fase esteja definida corretamente e na posição correta no ciclo de vida do evento.
   {#arcsight-esm-create-profile-additional__ul_qvy_thn_xkb}
3. Na seção Automatização do fechamento de eventos correlacionados, você pode definir como atualizar o incidente de segurança quando ele for fechado.
4. No formulário, preencha os campos.

   | Opção ou campo | Descrição |
   | Atualizar eventos correlacionados após o fechamento do incidente SIR | Selecione esta opção se quiser atualizar o status do evento de correlação e adicionar comentários adicionais quando um incidente de segurança for encerrado a partir do evento correlacionado. Isso ocorrerá para os eventos notáveis de acionamento inicial que criam o incidente de segurança, bem como para os eventos agregados. Nota: Se esta opção não estiver selecionada, a fase do evento não será atualizada quando o incidente de segurança for encerrado. |
   | Atualização da fase do evento correlacionado | Selecione uma opção de fase no menu que exibe todas as fases disponíveis recuperadas do servidor ArcSight ESM. Selecione o valor de fase a ser definido para todos os eventos de correlação quando um incidente de segurança for encerrado. Nota: As fases exibidas aqui são baseadas nas fases configuradas na seção Atualizações iniciais do evento de correlação. |
   | Selecionar fase de evento correlacionado | Selecione um status apropriado aqui. |
   | Comentários de fechamento retornados para o evento correlacionado | Além de atualizar o valor do status do evento de correlação, você também pode publicar comentários de fechamento nas anotações do evento de correlação. Conforme indicado nas instruções, você pode editar o texto padrão exibido na seção de comentários, incluindo adicionar ou modificar as variáveis de substituição usando o formato $⁠{field name}$ para qualquer campo no formulário de incidente do Security Incident Response. |
   |-|-|

   {#arcsight-esm-create-profile-additional__choicetable_ybx_hds_nkb}  

   <br />

5. Clique em Concluir para concluir a configuração.  
   Uma caixa de diálogo de confirmação é exibida. Você concluiu com sucesso a instalação e a configuração da integração. Ative este perfil para extrair eventos de correlação do console ArcSight ESM com base em sua programação.
{#arcsight-esm-create-profile-additional__steps_njx_svr_nkb}