Cómo configurar el ANS

Compatible con:

Google SecOps SOAR

Un Acuerdo de Nivel de Servicio (ANS) representa un compromiso del SOC para realizar tareas específicas, como investigar o solucionar un caso dentro de un período determinado. Puedes configurar ANS para alertas, casos o ambos.

Información sobre los tipos de ANS

• ANS de alerta: Es el tiempo máximo para cerrar una alerta. Un ANS de alerta se basa principalmente en los atributos de la alerta (por ejemplo, Tipo de alerta o Prioridad de la alerta), pero también puede basarse en los atributos del caso. La hora de inicio comienza cuando se crea la alerta.
• ANS del caso: Es el tiempo máximo para cerrar un caso. Un ANS del caso se basa principalmente en los atributos del caso (por ejemplo, Case Stage o Case Priority), pero también puede basarse en los atributos de la alerta. La hora de inicio comienza cuando se crea el caso, a menos que el ANS se configure por Case Stage, en cuyo caso comienza cuando se inicia la etapa.
  • Cuando un ANS del caso se basa en una etapa específica del caso, el temporizador del ANS se inicia la primera vez que el caso ingresa a esa etapa y solo está activo mientras el caso se encuentra en ella. Cuando el caso pasa a una etapa diferente, el ANS del caso activo cambia al ANS de la nueva etapa. Si el caso regresa a la etapa anterior más adelante, el temporizador del ANS de esa etapa continúa desde donde se detuvo y no se restablece.
  • Del mismo modo, si un ANS del caso se basa en la prioridad del caso, el ANS se restablece si se cambia la prioridad del caso.
  • No se pierden los datos históricos del ANS de las etapas o prioridades anteriores. Puedes revisar toda la información histórica del estado del ANS en la sección Paneles y informes.

Puedes configurar un ANS en Configuración o automáticamente con una acción de guía.

Cómo administrar los ANS

En esta sección, se explica cómo administrar los ANS en tu entorno, incluido cómo crear reglas nuevas y cómo pausarlas y reanudarlas durante una investigación.

Cómo establecer prioridades del ANS

Si se establecen varias reglas del ANS, el sistema sigue un orden de prioridad claro:

• ANS del caso: Acción de guía > Etapa del caso > Prioridad del caso
• ANS de alerta: Acción de guía > Tipo de alerta > Prioridad de la alerta

Cómo agregar un ANS

Para agregar un ANS, sigue estos pasos:

1. Ve a Configuración > Entornos > ANS.
2. Haz clic en add Agregar.
3. Selecciona si el ANS se basa en atributos de alerta (tipo o prioridad) o atributos del caso (etapa o prioridad).
4. Define los períodos para el Período del ANS (el tiempo antes de que se incumpla un ANS) y el Tiempo del ANS hasta el período crítico (el tiempo antes de que el ANS ingrese en una fase crítica). Por ejemplo, un Período del ANS de 10 minutos y un Tiempo del ANS hasta el período crítico de 6 minutos dan como resultado un período crítico de 4 minutos.
5. Haz clic en Agregar.

Nota: Cuando creas una nueva regla del ANS de prioridad del caso, el sistema aplica la regla a los casos existentes solo si cambia su prioridad. El sistema no aplica la regla nueva cuando cambian otros atributos del caso, como la etapa.

Cómo interpretar el estado de un ANS

El estado de un ANS se indica con un reloj de arena hourglass. Una "C" junto al ícono de reloj de arena hourglass hourglass indica un ANS del caso, mientras que una A indica un ANS de alerta. El color del ícono muestra su estado de la siguiente manera:

• Verde: El ANS está activo.
• Gris: El ANS está en pausa.

En la pestaña Casos, un temporizador de cuenta regresiva verde indica un ANS del caso activo en la parte superior. En el caso de los casos con varias alertas, el ícono Alertas del encabezado muestra todos los ANS de alerta. Se puede hacer clic en cada ANS de alerta para ver la alerta individual.

Cómo pausar y reanudar un ANS

Puedes pausar los ANS para brindar flexibilidad durante las investigaciones. Pausar un ANS del caso no afecta un ANS de alerta, y viceversa. Todos los eventos de pausa y reanudación se registran en el Muro del caso.

Cómo pausar un ANS de alerta

Para pausar un ANS de alerta, haz lo siguiente:

1. En la página Casos, selecciona el caso con la alerta correspondiente.
2. En la pestaña de alerta, haz clic en more_vert Más > Opciones de alerta.
3. Selecciona Pausar el ANS de la alerta.
4. Opcional: En el diálogo Pausar el ANS de la alerta, ingresa un motivo para pausar el ANS.
5. Haz clic en Pausar.

Un reloj de arena hourglass hourglass gris en la Alerta pestaña indica que el ANS está en pausa, y un cuadro de información también indica el estado en pausa.

Cómo reanudar un ANS de alerta

Para reanudar el ANS de alerta, haz lo siguiente:

1. Haz clic en more_vert Más > Opciones de alerta.
2. Selecciona Reanudar el ANS de la alerta.

El reloj de arena verde en la pestaña Alerta indica que el ANS se está ejecutando de nuevo. El ícono de alertas en la barra superior del caso también muestra un temporizador de cuenta regresiva que se reanudó para el ANS de alerta reanudado.

Cómo pausar un ANS del caso

Para pausar un ANS del caso, haz lo siguiente:

1. En la página Casos, selecciona el caso correspondiente.
2. Haz clic en format_list_bulleted Menú > Acciones del caso.
3. Selecciona Pausar el ANS del caso.
4. Opcional: En el diálogo Pausar el ANS del caso, ingresa un motivo para pausar el ANS.
5. Haz clic en Pausar.

El temporizador del ANS del caso en el encabezado se vuelve gris y se detiene. Un cuadro de información también indica el estado en pausa.

Cómo reanudar un ANS del caso

Para reanudar un ANS del caso en pausa, haz lo siguiente:

1. En la barra superior del caso, haz clic en format_list_bulleted Acciones del caso.
2. Selecciona Reanudar el ANS del caso.

El temporizador se vuelve verde y reanuda la cuenta regresiva.

Nota: El ANS del caso se pausa automáticamente cuando se cierra un caso y se reanuda automáticamente cuando se vuelve a abrir.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.