Enviar entradas da lista de bloqueios diretamente da Tabela de entrada da lista de bloqueios
Para observáveis determinados como mal-intencionados e não associados a um incidente de segurança específico da Now Platform, você envia entradas da Lista de bloqueios da lista de bloqueios.
Antes de Iniciar
Função necessária: administrador de incidentes de segurança (sn_si.analyst)
Por Que e Quando Desempenhar Esta Tarefa
Quando você quiser bloquear um observável que você determinou ser mal-intencionado ou permitir que um observável que você determinou não seja mal-intencionado e o observável não estiver associado a um registro de incidente de segurança específico da Now Platform, envie entradas da Lista de bloqueios diretamente da lista de bloqueios. Exemplos desses tipos de entradas da Lista de bloqueios podem ser URLs ou domínios para sites específicos.
Procedimento
-
Navegar até .
-
No campo Valor de entrada, insira um valor para o observável.
Os dois resultados possíveis desta entrada:
- Os campos restantes no formulário são preenchidos automaticamente.
- Um observável correspondente é encontrado e uma mensagem é exibida informando que existe um observável correspondente. Selecione a Lista de Bloqueios à qual deseja anexar esta entrada e clique em Enviar. Selecione a lista de bloqueios à qual você deseja anexar esta entrada antes de definir o período de expiração.
-
Se você tiver a aprovação por e-mail configurada no fluxo de trabalho, uma solicitação de aprovação por e-mail será enviada.
Se for exibida uma mensagem solicitando que você preencha o restante das informações manualmente, preencha os campos.
Campo Descrição Tipo de observável Tipo de observável compatível com a caixa de diálogo. Nome da lista de bloqueios Lista de bloqueios para a qual você deseja a entrada. Nota:Selecione a lista de bloqueios à qual você deseja anexar a entrada antes de definir o período de expiração.Habilitar substituição (o padrão é selecionado) Resultado ou origem da pesquisa. Quando configurado, permite que você insira um resultado de pesquisa e a origem usada para encontrar os resultados. Esses campos são normalmente preenchidos quando um registro de incidente de segurança é criado. Nesse caso, não há resultado de pesquisa ou origem e você preenche esses campos manualmente. Resultado da pesquisa Selecione Desconhecido ou Mal-intencionado . Origem Origem que executa uma pesquisa de ameaças na entrada da Lista de bloqueios, por exemplo, ThreatCrowd etc. Período de expiração O período de expiração herdado da Lista de Bloqueios por padrão. Você pode substituir este valor, mas somente durante a criação da entrada. 0 indica que a entrada da Lista de bloqueios nunca expira.
Se você alterar este valor, esta entrada ficará ativa pelo número de dias inserido. Você pode inserir um valor mínimo de 1 e não há valor máximo.
Por exemplo, se você inserir 30 dias às 14h01 do dia 1º de maio, a entrada da Lista de bloqueios expirará às 14h do dia 31 de maio. No entanto, o programador verifica se há entradas expiradas às 00:00 todos os dias e muda o estado da entrada para "expirado" às 00:00 de 1º de junho.
-
Clique em Enviar.
Se você alterou o período de expiração padrão da entrada da Lista de bloqueios, uma caixa de diálogo de confirmação de aviso será exibida indicando que o período é diferente da Lista de bloqueios selecionada.
Opção Descrição Sim Confirma a substituição da expiração, salva o registro e retorna você para as Entradas da Lista de Bloqueios do Check Point. Se você tiver a aprovação por e-mail configurada no fluxo de trabalho, uma solicitação de aprovação por e-mail será enviada. Não Cancela a substituição. Neste ponto, você pode alterar o valor do Período de expiração. Depois de alterar o valor, clique em Enviar para retornar à lista Entradas de bloco do Check Point.
-
Se não for exibido, navegue até Check Point Solicitação de bloqueio Entradas da listae observe que o status da entrada é Pendente.
A entrada agora está pronta para aprovação.