Automatizar atualizações de infração e fechamento com base no status do incidente SIR

  • Versão de lançamento: Xanadu
  • Atualizado 1 de ago. de 2024
  • 2 min. de leitura

    • A integração IBM QRadar tem uma interface bidirecional que permite que ambas as infrações criem incidentes de segurança, bem como a capacidade de atualizar as infrações depois que o incidente de segurança é criado e/ou encerrado com detalhes relevantes do incidente, como número do incidente de segurança, atribuição grupo, URL do incidente de segurança e assim por diante.

    Antes de Iniciar

    Função necessária: sn_si.admin

    Procedimento

    1. Se a página Opções adicionais na barra de andamento não for exibida, selecione Opções adicionais.
    2. Siga as instruções abaixo para concluir a configuração para atualizar as infrações quando o incidente de segurança for criado.
      Opção ou campoDescrição
      Atualizar infrações após a criação do incidente de SIR Selecione esta opção se quiser atualizar o status da infração e adicionar comentários adicionais quando um incidente de segurança for criado a partir da infração. Isso pode ocorrer para as infrações de gatilho iniciais que criam o incidente de segurança, bem como para as infrações agregadas.
      Atualização do status de infração inicial Você pode selecionar:
      • Aberto: o status da infração é definido como Aberto e um comentário é adicionado indicando que um incidente de segurança foi criado para a infração.
      • Oculto: o status da infração está definido como Oculto e esta infração está oculta no painel IBM QRadar.
      Comentários iniciais retornados para a infração Com base na fase selecionada, os comentários iniciais definidos no console IBM QRadar são exibidos aqui.
      Encerrar infrações após o fechamento do incidente de SIR Selecione esta opção se quiser usar a opção de fechamento automatizado de infração. Quando o incidente de segurança é encerrado em ServiceNow com um código de encerramento relevante, o status da infração é atualizado em IBM QRadar para Encerrado com comentários de fechamento.
      Nota:
      O código de fechamento especificado para o incidente de segurança deve corresponder ao motivo de fechamento especificado no painel IBM QRadar. A infração será encerrada em IBM QRadar somente se um motivo de fechamento correspondente for encontrado. Se um motivo correspondente não for encontrado, a infração será encerrada com um código de encerramento padrão.
      Comentários de fechamento retornados para a infração Os comentários de fechamento definidos no painel IBM QRadar são exibidos aqui.
      Motivo de fechamento padrão quando o incidente de segurança é fechado O motivo padrão a ser usado quando um incidente de segurança é encerrado. Quando um incidente de segurança é encerrado, um código de encerramento (ou o motivo do encerramento) é especificado no registro do incidente de segurança. Se o código de encerramento não corresponder ao motivo de encerramento especificado em o painel IBM QRadar e você tentar fechar o incidente de segurança, uma mensagem de erro será exibida. Nesses casos, o motivo de fechamento padrão especificado aqui é usado quando o incidente de segurança é fechado.

      IBM QRadar: criar perfil: automatizar infração
    3. Clique em Concluir para concluir a configuração e mover o perfil para o estado Aguardando.
      Uma caixa de diálogo de confirmação é exibida. Você concluiu com sucesso a instalação e a configuração da integração. Ative este perfil para extrair infrações do console IBM QRadar com base em sua programação.