Security Command Center-Daten an ServiceNow senden

In diesem Dokument wird beschrieben, wie Sie Security Command Center-Daten automatisch an ServiceNow senden und wie Sie die exportierten Daten verwalten. Sie können die folgenden Datentypen exportieren:

ServiceNow bietet Unterstützung für das technische Management, einschließlich Helpdesk-Funktionen. Das Managementsystem hilft, arbeitsintensive IT-Prozesse und Ereignisse mithilfe von digitalen Workflows und Mitarbeiterserviceportalen zu automatisieren.

Unterstützte Versionen

Sie können Security Command Center-Informationen an ServiceNow ITSM (IT Service Management) oder ServiceNow SIR (Security Incident Response) senden.

Security Command Center unterstützt die Einbindung in die folgenden ServiceNow-Versionen:

  • Australien
  • Zürich
  • Yokohama

Wenn Sie eine ältere Version verwenden (z. B. Rome, San Diego oder Tokyo), sollten Sie zur neuesten unterstützten Version migrieren.

Informationen zu den ersten Schritten mit ServiceNow finden Sie auf der ServiceNow-Kontaktseite.

Beschränkungen

In diesem Abschnitt werden die Einschränkungen dieser Integration beschrieben.

  • Sie können pro API-Aufruf maximal 1.000 Assets, Ergebnisse, Quellen oder Audit-Logs abrufen.
  • Wenn die Antwort des Findings API-Aufrufs 429 oder 5xx ist, versucht die Anwendung es nach 60 Sekunden noch dreimal. Wenn der Vorgang weiterhin fehlschlägt, wird er abgebrochen. Informationen zum Ändern der Reaktionszeit finden Sie unter Anwendung kann nach drei Versuchen keine Verbindung wiederherstellen.

Hinweis

Bevor Sie die Integration mit ServiceNow vornehmen, führen Sie die Google Cloud Konfigurationsschritte im folgenden Abschnitt aus. Für einige Aufgaben in dieser Anleitung, z. B. die Schritte zum Erstellen von Nutzern, müssen Sie ServiceNow-Systemadministrator sein.

Google Cloud -Konfiguration

Bevor Sie eine Verbindung zu ServiceNow herstellen können, müssen Sie ein Dienstkonto für Identity and Access Management (IAM) erstellen und dem Konto die IAM-Rollen auf Organisations- und Projektebene zuweisen, die von der Google SCC SIR App oder der Google SCC ITSM App benötigt werden.

Weitere Informationen zu diesen Rollen finden Sie unter Dienstkonto erstellen und IAM-Rollen zuweisen.

Dienstkonto erstellen und IAM-Rollen zuweisen

In den folgenden Schritten wird die Google Cloud Console verwendet. Informationen zu anderen Methoden finden Sie unter den Links am Ende dieses Abschnitts.

Führen Sie diese Schritte für jede Google Cloud Organisation aus, aus der Sie Security Command Center-Daten importieren möchten.

  1. Verwenden Sie im selben Projekt, in dem Sie Ihre Pub/Sub-Themen erstellen, die Seite Dienstkonten in der Google Cloud Console, um ein Dienstkonto zu erstellen. Eine Anleitung dazu finden Sie unter Dienstkonten erstellen und verwalten.

  2. Weisen Sie dem Dienstkonto die folgende Rolle zu:

    • Pub/Sub-Bearbeiter (roles/pubsub.editor)

  3. Kopieren Sie den Namen des Dienstkontos, das Sie gerade erstellt haben.

  4. Verwenden Sie die Projektauswahl in der Google Cloud Console, um zur Organisationsebene zu wechseln.

  5. Öffnen Sie die Seite IAM für die Organisation:

    IAM aufrufen

  6. Klicken Sie auf der IAM-Seite auf Zugriff erlauben. Das Feld „Zugriff gewähren“ wird geöffnet.

  7. Führen Sie im Bereich Zugriff gewähren die folgenden Schritte aus:

    1. Fügen Sie im Abschnitt Hauptkonten hinzufügen im Feld Neue Hauptkonten den Namen des Dienstkontos ein.

    2. Weisen Sie dem Dienstkonto im Bereich Rollen zuweisen mit dem Feld Rolle die folgenden IAM-Rollen zu:

    3. Sicherheitscenter-Administratorbearbeiter (roles/securitycenter.adminEditor)
    4. Bearbeiter von Konfigurationen für Benachrichtigungen des Sicherheitscenters (roles/securitycenter.notificationConfigEditor)
    5. Organisationsbetrachter (roles/resourcemanager.organizationViewer)
    6. Cloud-Asset-Betrachter (roles/cloudasset.viewer)

    7. Klicken Sie auf Speichern. Das Dienstkonto wird auf der Seite IAM auf dem Tab Berechtigungen unter Nach Hauptkonten ansehen angezeigt.

      Durch die Übernahme wird das Dienstkonto auch zu einem Hauptkonto in allen untergeordneten Projekten der Organisation. Die Rollen, die auf Projektebene anwendbar sind, werden als übernommene Rollen aufgeführt.

Weitere Informationen zum Erstellen von Dienstkonten und Zuweisen von Rollen finden Sie in den folgenden Themen:

Anmeldedaten für ServiceNow bereitstellen

Erstellen Sie einen Dienstkontoschlüssel, um ServiceNow IAM-Anmeldedaten bereitzustellen. Um diese Anleitung abzuschließen, benötigen Sie den Dienstkontoschlüssel im JSON-Format.

Wenn Sie mehrere Google Cloud Organisationen verwenden, fügen Sie dieses Dienstkonto den anderen Organisationen hinzu und weisen Sie ihm die erforderlichen IAM-Rollen zu, wie im vorherigen Abschnitt unter Dienstkonto erstellen und IAM-Rollen zuweisen beschrieben.

Benachrichtigungen konfigurieren

Führen Sie diese Schritte für jede Google Cloud Organisation aus, aus der Sie Security Command Center-Daten importieren möchten.

  1. So richten Sie Ergebnisbenachrichtigungen ein:

    1. Aktivieren Sie die Security Command Center API.
    2. Erstellen Sie einen Filter, um Ergebnisse und Assets zu exportieren.

  2. Aktivieren Sie die Cloud Asset API für Ihr Projekt.

  3. Erstellen Sie Feeds für Ihre Assets. Erstellen Sie zwei Feeds im selben Pub/Sub-Thema: einen für Ihre Ressourcen und einen für Ihre IAM-Richtlinien.

    • Verwenden Sie ein anderes Pub/Sub-Thema für Assets als für Ergebnisse.

    • Verwenden Sie für den Feed für Ihre Ressourcen den folgenden Filter:

      content-type=resource

    • Verwenden Sie für den IAM-Richtlinienfeed den folgenden Filter:

      content-type=iam-policy --asset-types="cloudresourcemanager.googleapis.com/Project"

  4. Zielsenke für die Audit-Logs erstellen Bei dieser Integration wird ein Pub/Sub-Thema als Ziel verwendet.

Zum Konfigurieren von ServiceNow benötigen Sie Ihre Organisations-IDs und die Namen der Pub/Sub-Abos.

ServiceNow einrichten

In diesem Abschnitt wird erläutert, wie Sie die App installieren, Nutzer erstellen, die Verbindung konfigurieren und ServiceNow so einrichten, dass Security Command Center-Daten abgerufen werden.

ServiceNow-App installieren

Sie müssen ServiceNow-Systemadministrator sein, um diese Aufgabe auszuführen.

  1. Rufen Sie den ServiceNow Store auf und suchen Sie nach einer der folgenden Apps:

    • Wenn Sie ServiceNow ITSM verwenden, suchen Sie nach Google SCC ITSM.

    • Wenn Sie ServiceNow SIR verwenden, suchen Sie nach Google SCC SIR.

  2. Klicken Sie auf die App und dann auf Herunterladen.

  3. Geben Sie Ihre ServiceNow-ID-Anmeldedaten ein und führen Sie den Authentifizierungsprozess durch.

  4. Suchen Sie in der ServiceNow-Konsole auf dem Tab Alle nach Systemanwendungen und klicken Sie auf Alle verfügbaren Anwendungen > Alle.

  5. Wählen Sie Nicht installiert aus. In der Console wird eine Liste von Anwendungen angezeigt.

  6. Wählen Sie die App Google SCC ITSM oder Google SCC SIR aus und klicken Sie auf Installieren.

Nutzer für die App erstellen

Erstellen Sie zwei Nutzer für die Google SCC ITSM- oder Google SCC SIR-App und weisen Sie ihnen die entsprechenden Rollen zu.

Sie müssen ServiceNow-Systemadministrator sein, um diese Aufgabe auszuführen.

Nutzerkonten erstellen

  1. Suchen Sie in der ServiceNow-Konsole nach Organization.

  2. Klicken Sie auf Organisation > Nutzer.

  3. Klicken Sie auf Neu.

  4. Geben Sie die Informationen für das Administratorkonto für die Google SCC ITSM-App oder die Google SCC SIR-App ein. Geben Sie beispielsweise im Feld User ID (Nutzer-ID) google_scc_itsm_admin für Google SCC ITSM oder google_scc_sir_admin für Google SCC SIR ein.

  5. Klicken Sie auf Senden.

  6. Wenn Sie ein Nutzerkonto für die Google SCC ITSM App oder die Google SCC SIR App erstellen möchten, wiederholen Sie die Schritte unter Nutzerkonten erstellen. Geben Sie beispielsweise im Feld User ID (Nutzer-ID) google_scc_itsm_user für Google SCC ITSM oder google_scc_sir_user für Google SCC SIR ein.

Konten Rollen zuweisen

  1. Klicken Sie in der Liste Nutzer auf den Namen eines der neuen Konten.

  2. Klicken Sie unter Rollen auf Bearbeiten.

  3. Fügen Sie die Rollen hinzu, die für das Konto gelten:

    NutzernameRollen
    Google SCC ITSM-Administrator (google_scc_itsm_admin)
    • x_goog_scc_itsm.Google_SCC_ITSM_Admin
    • itil
    • itil_admin
    • personalize_dictionary
    • oauth_admin
    Google SCC ITSM User (google_scc_itsm_user)
    • x_goog_scc_itsm.Google_SCC_ITSM_User
    • itil
    Google SCC SIR-Administrator (google_scc_sir_admin)
    • x_goog_scc_sir.Google_SCC_SIR_Admin
    • sn_si.admin
    • oauth_admin
    Google SCC SIR-Nutzer (google_scc_sir_user)
    • x_goog_scc_sir.Google_SCC_SIR_User
    • sn_si.analyst

  4. Klicken Sie auf Speichern.

  5. Wiederholen Sie die Schritte 1 bis 4, um dem anderen Konto Rollen zuzuweisen.

  6. Melden Sie sich ab und mit den neuen Konten an, um die Passwörter zu bestätigen.

Authentifizierung mit Security Command Center konfigurieren

Verbindung zwischen Security Command Center und ServiceNow einrichten Wenn Sie mehrere Organisationen unterstützen, führen Sie diese Schritte für jede Organisation aus.

Sie müssen ServiceNow-Systemadministrator sein, um diese Aufgabe auszuführen.

Java KeyStore-Zertifikat vorbereiten

  1. Erstellen Sie ein Java KeyStore-Zertifikat aus der JSON-Datei, die Ihren Dienstkontoschlüssel enthält. Eine Anleitung finden Sie unter Java KeyStore-Zertifikat erstellen.

  2. Suchen Sie in der ServiceNow-Konsole auf dem Tab All (Alle) nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Guided Setup (Geführte Einrichtung).

  3. Klicken Sie auf Jetzt starten.

  4. Klicken Sie unter Authentication Configuration (Authentifizierungskonfiguration) auf Get Started (Jetzt starten).

X.509-Zertifikat erstellen

  1. Klicken Sie auf der Seite „Aufgaben“ unter X.509-Zertifikat erstellen auf Konfigurieren.

  2. Geben Sie die folgenden Informationen ein:

    • Name: Ein eindeutiger Name für dieses Zertifikat.

    • Format: PEM

    • Typ: Java Key Store

  3. Klicken Sie auf das Symbol Anhänge verwalten und fügen Sie das Java KeyStore-Zertifikat (.jks-Format) hinzu, das Sie unter Java KeyStore-Zertifikat vorbereiten generiert haben.

  4. Klicken Sie auf das Symbol Schließen.

  5. Klicken Sie auf Senden.

  6. Klicken Sie auf der Seite „Aufgaben“ unter X.509-Zertifikat erstellen auf Als erledigt markieren.

JWT-Schlüssel erstellen

  1. Klicken Sie auf der Seite „Aufgaben“ unter JWT-Schlüssel erstellen auf Konfigurieren.

  2. Geben Sie die folgenden Informationen ein:

  3. Klicken Sie auf Senden.

  4. Klicken Sie auf der Seite „Aufgaben“ unter JWT-Schlüssel erstellen auf Als erledigt markieren.

JWT-Anbieter erstellen

  1. Klicken Sie auf der Seite „Aufgaben“ unter JWT-Anbieter erstellen auf Konfigurieren.

  2. Geben Sie die folgenden Informationen ein:

    • Name: Ein eindeutiger Name für diesen Anbieter.

    • Ablaufintervall (Sek.): 60

    • Signierungskonfiguration: Der in JWT-Schlüssel erstellen angegebene JWT-Schlüsselname

  3. Klicken Sie auf Senden.

  4. Klicken Sie auf der Seite „Aufgaben“ unter JWT-Anbieter erstellen auf Als erledigt markieren.

Authentifizierungskonfiguration erstellen

  1. Klicken Sie auf der Seite „Aufgaben“ unter Authentifizierungskonfiguration erstellen auf Konfigurieren.

  2. Geben Sie die folgenden Informationen ein:

  3. Klicken Sie auf Senden. Die Meldung Authentifizierung erfolgreich wird angezeigt.

  4. Schließen Sie das Fenster Authentifizierungskonfiguration erstellen.

  5. Klicken Sie auf der Seite „Aufgaben“ unter Authentifizierungskonfiguration erstellen auf Als erledigt markieren.

Vorfallmanagement für Security Command Center konfigurieren

Führen Sie die folgenden Schritte aus, um die Datenerhebung aus Security Command Center zu aktivieren. Wenn Sie mehrere Organisationen unterstützen, füllen Sie diesen Abschnitt für jede Organisation aus.

Sie müssen ServiceNow-Systemadministrator sein, um diese Aufgabe auszuführen.

CI-Suchregeln konfigurieren

  1. Suchen Sie in der ServiceNow-Konsole auf dem Tab All (Alle) nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Guided Setup (Geführte Einrichtung).

  2. Klicken Sie auf Jetzt starten.

  3. Klicken Sie unter Incident Configuration (Konfiguration von Vorfällen) auf Get Started (Jetzt starten).

  4. Mit CI-Suchregeln können Sie Konfigurationselemente (z. B. Assets) identifizieren, die Vorfällen hinzugefügt werden sollen, die aus Security Command Center-Ergebnissen erstellt wurden. Weitere Informationen finden Sie unter CI-Suchregeln.

    Gehen Sie folgendermaßen vor:

    1. Klicken Sie auf der Seite „Aufgaben“ unter CI-Suchregel auf Konfigurieren.

    2. Klicken Sie auf Neu.

    3. Geben Sie die folgenden Informationen ein:

      • Name: Ein eindeutiger Name für diese Suchregel.

      • Suchmethode: entweder Feldabgleich oder Skript

      • Reihenfolge: Die Reihenfolge, in der die App diese Regel im Verhältnis zu anderen Regeln auswertet.

      • Quellfeld: Das Feld in den Ergebnisdaten, das als Eingabe für diese Regel dient.

      • Search On Table (In Tabelle suchen): Wenn ein Feld abgeglichen wird, die Tabelle, in der das Feld gesucht werden soll

      • Feld für Suche: Wenn ein Abgleich mit einem Feld erfolgt, das Feld, das mit dem Quellfeld abgeglichen werden soll

      • Skript: Wenn Sie ein Skript verwenden, geben Sie es ein.

      • Aktiv: Wählen Sie diese Option aus, um die Lookup-Regel zu aktivieren.

    4. Klicken Sie auf Senden.

    5. Wiederholen Sie diesen Schritt nach Bedarf für weitere Konfigurationselemente.

    6. Klicken Sie auf der Seite „Aufgaben“ unter CI-Suchregel auf Als erledigt markieren.

Aufnahmekonfiguration erstellen

  1. Klicken Sie auf der Seite „Aufgaben“ unter Aufnahmekonfiguration auf Konfigurieren.

  2. Klicken Sie auf Neu.

  3. Geben Sie die folgenden Informationen ein:

    Feld Beschreibung
    Name Einen eindeutigen Namen für diesen Datensatz
    Google SCC-Konfiguration Die Authentifizierungskonfiguration, die Sie unter Authentifizierung mit Security Command Center konfigurieren erstellt haben. Sie benötigen eine Erfassungskonfiguration für jede konfigurierte Authentifizierung.
    Wiederkehrende Datenerhebung Regelmäßige Datenerfassung aus Security Command Center zulassen
    Intervall(Sekunde) Das Zeitintervall zwischen Datenaktualisierungen aus Security Command Center
    Einmalige Datenerhebung Wählen Sie diese Option aus, um die Aufnahme von Daten aus Security Command Center zuzulassen. Bei der einmaligen Datenerhebung werden keine Audit-Logs unterstützt.
    Beginn der Erfassung Das Datum, an dem die Datenaufnahme aus Security Command Center beginnen soll

    Wählen Sie Aktiv erst aus, wenn Sie die übrigen Schritte in diesem Abschnitt abgeschlossen haben.

  4. So fügen Sie Ergebnisse hinzu:

    1. Wählen Sie auf dem Tab Ergebnisse die Option Aktiviert aus. Wenn Sie Erkenntnisse aktivieren, werden auch Assets und Quellen automatisch aktiviert.

    2. Geben Sie die folgenden Informationen ein:

    Feld Beschreibung
    Abo-ID für Ergebnisse Bei wiederkehrenden Datenerhebungen: der Name des Pub/Sub-Abos für Ergebnisse
    Name des Google SCC-Befunds Der Name des Vorfallsfelds, das mit dem Namen des Ergebnisses gefüllt werden soll (z. B. „Beschreibung“)
    Google SCC Finding State Der Name des Vorfallsfelds, das mit dem Status des Ergebnisses gefüllt werden soll (z. B. „Beschreibung“)
    Google SCC Finding Indicator Der Name des Vorfallfelds, das mit dem Indikator für den Befund gefüllt werden soll (z. B. „Beschreibung“)
    Google SCC Finding Resource Name Der Name des Vorfallsfelds, das mit dem Ressourcennamen für den Befund gefüllt werden soll (z. B. „Description“)
    Ergebnis der externen URI für Google-Standardvertragsklauseln Der Name des Vorfallfelds, das mit der URL einer externen Webseite mit weiteren Informationen zum Ergebnis gefüllt werden soll, falls verfügbar.
    Filter anwenden Für die einmalige Datenerhebung verfügbar. Wählen Sie diese Option aus, um anzugeben, welche Projekte, welcher Status, welcher Schweregrad oder welche Kategorien einbezogen werden sollen.
    Projektname Der Name des Projekts, aus dem Ergebnisse abgerufen werden sollen, wenn Filter anwenden ausgewählt ist.
    Bundesland Ob die Ergebnisse aktiv oder inaktiv sind, wenn Filter anwenden ausgewählt ist
    Schweregrad Der Schweregrad der Ergebnisse, wenn Filter anwenden ausgewählt ist
    Kategorie Die Kategorie, aus der Sie Ergebnisse abrufen möchten, wenn Filter anwenden ausgewählt ist

  5. So fügen Sie Assets hinzu:

    1. Wählen Sie auf dem Tab Assets die Option Aktiviert aus.

    2. Geben Sie im Feld Asset Subscription Id (Abo-ID des Assets) für wiederkehrende Datenerhebungen den Namen des Pub/Sub-Abos für Assets ein.

  6. Wenn Sie Sicherheitsquellen hinzufügen möchten, wählen Sie auf dem Tab Quellen die Option Aktiviert aus.

  7. So fügen Sie Audit-Logs hinzu:

    1. Wählen Sie auf dem Tab Audit-Logs die Option Aktiviert aus.

    2. Geben Sie im Feld Audit-Log-Abo-ID für wiederkehrende Datenerhebungen den Namen des Pub/Sub-Abos für Audit-Logs ein.

  8. Klicken Sie auf Senden.

  9. Wenn Sie die Meldung erhalten, dass die Konfiguration inaktiv ist, klicken Sie auf OK. Sie aktivieren die Konfiguration unter Aufnahmekonfiguration aktivieren.

  10. Klicken Sie auf der Seite „Aufgaben“ unter Konfiguration für die Aufnahme auf Als abgeschlossen markieren.

Kriterien für die Erstellung von Vorfällen definieren

So erstellen Sie Vorfälle aus Ergebnissen:

  1. Klicken Sie auf der Seite „Aufgaben“ unter Kriterien für die Erstellung von Vorfällen (für Google SCC für ITSM) oder Kriterien für die Erstellung von Sicherheitsvorfällen (für Google SCC für SIR) auf Konfigurieren.

  2. Klicken Sie auf den Namen der von Ihnen erstellten Vorfallkonfiguration.

  3. Klicken Sie auf der Seite Ingestion Configuration (Aufnahmekonfiguration) auf den Tab Incident Creation Criteria List (Liste der Kriterien für die Erstellung von Vorfällen) (für Google SCC für ITSM) oder Security Incident Creation Criteria (Kriterien für die Erstellung von Sicherheitsvorfällen) (für Google SCC für SIR).

  4. Klicken Sie auf Neu.

  5. Geben Sie die folgenden Informationen ein:

    • Bedingung: Die dynamische Bedingung, unter der ein Vorfall basierend auf dem Feld erstellt wird. Sie können beispielsweise Vorfälle für Ergebnisse erstellen, bei denen das Feld Severity auf High festgelegt ist.

    • Reihenfolge: Die Reihenfolge für diese Bedingung im Verhältnis zu anderen Bedingungen.

  6. Klicken Sie auf Senden.

  7. Wiederholen Sie die Schritte 4 bis 6 für jede Bedingung, die das Erstellen eines Vorfalls auslöst.

  8. Schließen Sie die Seite Ingestion Configuration (Konfiguration für die Aufnahme).

  9. Klicken Sie auf der Seite „Aufgaben“ unter Kriterien für die Erstellung von Vorfällen (für Google SCC für ITSM) oder Kriterien für die Erstellung von Sicherheitsvorfällen (für Google SCC für SIR) auf Als erledigt markieren.

Kriterien für die Zuweisungsgruppe definieren

So weisen Sie einer Gruppe Vorfälle zu:

  1. Klicken Sie auf der Seite „Aufgaben“ unter Kriterien für Zuweisungsgruppe auf Konfigurieren.

  2. Klicken Sie auf den Namen der von Ihnen erstellten Vorfallkonfiguration.

  3. Klicken Sie auf der Seite Ingestion Configuration (Konfiguration für die Aufnahme) auf den Tab Assignment Group Criteria List (Liste der Zuweisungsgruppenkriterien).

  4. Klicken Sie auf Neu.

  5. Geben Sie die folgenden Informationen ein:

    • Zuweisungsgruppe: Die Gruppe, der die Vorfälle zugewiesen werden.

    • Bedingung: Die dynamische Bedingung, die die Zuweisung von Vorfällen basierend auf einem angegebenen Feld auslöst. Sie können beispielsweise Vorfälle für Ergebnisse zuweisen, bei denen das Feld Ergebnisklasse auf Fehlkonfiguration festgelegt ist.

    • Reihenfolge: Die Reihenfolge für diese Bedingung im Verhältnis zu anderen Bedingungen.

  6. Klicken Sie auf Senden.

  7. Wiederholen Sie die Schritte 4 bis 6 für jede Gruppe, der Sie Vorfälle zuweisen möchten.

  8. Schließen Sie die Seite Ingestion Configuration (Konfiguration für die Aufnahme).

  9. Klicken Sie auf der Seite „Aufgaben“ unter Kriterien für Zuweisungsgruppe auf Als erledigt markieren.

Aufnahmekonfiguration aktivieren

  1. Klicken Sie auf der Seite „Aufgaben“ unter Aufnahmekonfiguration aktivieren auf Konfigurieren.

  2. Klicken Sie auf den Namen der von Ihnen erstellten Vorfallkonfiguration.

  3. Wählen Sie Aktiv aus.

  4. Klicken Sie auf Daten erheben, um mit der Datenerhebung zu beginnen.

  5. Klicken Sie auf Aktualisieren.

  6. Klicken Sie auf der Seite „Aufgaben“ unter Aufnahmekonfiguration aktivieren auf Als abgeschlossen markieren.

Datenabruf prüfen

So prüfen Sie, ob ServiceNow Daten aus Security Command Center abruft:

Sie müssen ServiceNow-Systemadministrator sein, um diese Aufgabe auszuführen.

  1. Klicken Sie in der ServiceNow-Konsole auf den Tab All (Alle).

  2. Suchen Sie nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Ingestion Configuration (Konfiguration für die Aufnahme).

  3. Prüfen Sie den Status, um zu bestätigen, dass die App Daten erhebt.

  4. Suchen Sie nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Assets (Assets), Findings (Ergebnisse), Sources (Quellen) oder Audit Logs (Audit-Logs). Prüfen Sie, ob die App Datensätze für jeden aktivierten Datentyp hinzufügt. Wenn Sie die automatische Erstellung von Vorfällen in der Konfiguration für Ergebnisse konfiguriert haben, prüfen Sie, ob in ServiceNow Vorfälle für jedes Ergebnis erstellt werden, das Ihren angegebenen Kriterien entspricht.

Dashboards aufrufen

Mit der Google SCC ITSM App können Sie die Daten aus Security Command Center visualisieren. Es enthält fünf Dashboards: Übersicht, Quellen, Ergebnisse, Assets und Audit-Logs.

Sie können in der ServiceNow-Konsole über die Seite All > Google SCC ITSM > Dashboards oder All > Google SCC SIR > Dashboards auf diese Dashboards zugreifen.

Übersichts-Dashboard

Das Dashboard Übersicht enthält eine Reihe von Diagrammen, in denen die Gesamtzahl der Ergebnisse in Ihrer Organisation nach Schweregrad, Kategorie und Status angezeigt wird. Security Command Center kompiliert Ergebnisse aus integrierten Diensten wie Security Health Analytics, Web Security Scanner, Event Threat Detection und Container Threat Detection sowie allen integrierten Diensten, die Sie aktivieren.

Sie können den Zeitraum und die Organisations-ID festlegen, um Inhalte zu filtern.

Zusätzliche Diagramme zeigen, welche Kategorien, Projekte und Assets die meisten Ergebnisse generieren.

Assets-Dashboard

Im Dashboard Assets wird ein Diagramm mit Google Cloud Assets angezeigt, die nach Asset-Typ kategorisiert sind.

Sie können Asset-Daten nach Organisations-ID filtern.

Audit-Logs-Dashboard

Im Dashboard Audit-Logs werden eine Reihe von Diagrammen und Tabellen angezeigt, die Informationen zum Audit-Log enthalten. Das Dashboard enthält Audit-Logs zu Administratoraktivitäten, Datenzugriff, Systemereignissen und abgelehnten Richtlinien. Die Tabelle enthält die Zeit, den Lognamen, den Schweregrad, den Dienstnamen, den Ressourcennamen und den Ressourcentyp.

Sie können die Daten nach Zeitraum und Organisations-ID filtern.

Ergebnis-Dashboard

Das Dashboard Ergebnisse enthält eine Tabelle mit den 1.000 neuesten Ergebnissen. Die Tabellenspalten enthalten Elemente wie Kategorie, Asset-Name, Quellname, Sicherheitsmarkierungen, Ergebnisklasse und Schweregrad.

Sie können die Daten nach Zeitraum, Organisations-ID, Schweregrad, Status oder Ergebnisklasse filtern. Wenn Sie die automatische Erstellung von Vorfällen einrichten, enthält das Dashboard einen Link zum Vorfall.

Quellen-Dashboard

Im Dashboard Quellen wird eine Tabelle aller Sicherheitsquellen angezeigt. Tabellenspalten enthalten den Namen, den Anzeigenamen und die Beschreibung.

Sie können die Organisations-ID festlegen, um Inhalte zu filtern.

Vorfall manuell erstellen

  1. Melden Sie sich in der ServiceNow-Konsole als Administrator für Google SCC ITSM oder Google SCC SIR an.

  2. Suchen Sie auf dem Tab Alle nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Ergebnisse.

  3. Klicken Sie auf den Befund, für den Sie einen Vorfall erstellen möchten.

  4. Klicken Sie auf der Seite „Ergebnisse“ für Google SCC ITSM auf Vorfall erstellen und für Google SCC SIR auf Sicherheitsvorfall erstellen.

Ergebnisse ausblenden oder einblenden

Die Google SCC SIR App bietet Funktionen zum Ausblenden und Einblenden von Ergebnissen.

Erforderliche Rolle:x_goog_scc_sir.Google_SCC_SIR_Admin oder x_goog_scc_sir.Google_SCC_SIR_User

Führen Sie die folgenden Schritte aus, um Ergebnisse auszublenden oder die Ausblendung aufzuheben:

  1. Melden Sie sich in der ServiceNow-Instanz an.
  2. Rufen Sie Google SCC SIR > Ergebnisse auf.
  3. Öffnen Sie ein Ergebnis, um den Stummschaltungsstatus zu ändern.
    • Wenn der Ausblendungsstatus des Ergebnisses Nicht definiert oder Nicht ausgeblendet ist, wird der Button Ergebnis ausblenden angezeigt.
    • Wenn der Ausblendungsstatus des Ergebnisses Ausgeblendet ist, wird die Schaltfläche Ergebnis einblenden angezeigt.
  4. Klicken Sie auf Ergebnis ausblenden oder Ergebnis einblenden. Ein Dialogfeld wird angezeigt.
  5. Geben Sie eine Beschreibung für das Stummschalten oder Aufheben der Stummschaltung des Ergebnisses ein.
    • Wenn Sie in der Listenansicht mehrere Ergebnisse auswählen, gilt die Beschreibung für alle ausgewählten Ergebnisse.
  6. Klicken Sie auf OK. Der Status „Ausblenden“ des Ergebnisses ändert sich in Security Command Center.
    • Die Beschreibung ist in den Sicherheitsmarkierungen des Ergebnisses in derGoogle Cloud Console sichtbar und enthält den ServiceNow-Nutzernamen.
    • Wenn der Stummschaltungsstatus in Security Command Center geändert wird, wird der neue Status nach der nächsten Datenerhebung in ServiceNow angezeigt.

Ausblendungsregel erstellen

Mit der Google SCC SIR App können Sie Ausblendungsregeln erstellen. Wenn Sie in ServiceNow eine Ausblendungsregel erstellen, werden zukünftige Ergebnisse, die den Kriterien entsprechen, ausgeblendet. Wenn Sie die Regel in ServiceNow löschen, wird sie auch in Security Command Center gelöscht.

Erforderliche Rolle:x_goog_scc_sir.Google_SCC_SIR_Admin oder x_goog_scc_sir.Google_SCC_SIR_User

So erstellen Sie eine Ausblendungsregel:

  1. Melden Sie sich in der ServiceNow-Instanz an.
  2. Rufen Sie Google SCC SIR > Mute Rule auf.
  3. Klicken Sie auf Neu.

  4. Konfigurieren Sie die folgenden Felder:

    • Name: Ein Name für die Ausblendungsregel. Wenn Sie die Ausblendungsregel einreichen, wird dem Namen das Präfix servicenow-USER_NAME vorangestellt, wobei USER_NAME der Nutzername des Nutzers ist, der die Ausblendungsregel erstellt hat.

    • Beschreibung: Eine Beschreibung der Ausblendungsregel.

    • Authentifizierungskonfiguration: Wählen Sie eine Authentifizierungskonfiguration aus, um eine Verbindung zu Security Command Center herzustellen.

    • Abfrage: Geben Sie eine Filterabfrage für die Ausblendungsregel ein.

    • Typ: Wählen Sie eine der folgenden Optionen aus:

      • Statisch: Es werden nur zukünftige Ergebnisse ausgeblendet.
      • Dynamisch: Blendet sowohl vorhandene als auch zukünftige Ergebnisse aus.

  5. Klicken Sie auf Ausblendungsregel erstellen. Anhand der Antwort (Erfolg oder Fehler) werden eine Informationsmeldung und ein Anwendungsprotokolleintrag erstellt.

CI-Suchregel manuell erstellen

Mit der Google SCC SIR-App können Sie manuell Regeln zum Nachschlagen von Konfigurationselementen (Configuration Items, CIs) erstellen.

Erforderliche Rolle:x_goog_scc_sir.Google_SCC_SIR_Admin

So erstellen Sie eine CI-Suchregel:

  1. Melden Sie sich in der ServiceNow-Instanz an.
  2. Rufen Sie Google SCC SIR > CI Lookup Rules auf.
  3. Klicken Sie auf Neu.
  4. Füllen Sie die Felder Name und Order aus.
  5. Klicken Sie das Kästchen Aktiv an.
  6. Wählen Sie für Lookup method (Suchmethode) entweder Field Matching (Feldabgleich) oder Script (Script) aus.
  7. Geben Sie für Quellfeld das Feld in den Daten zu den Ergebnissen ein, das als Eingabe verwendet werden soll.
  8. Geben Sie in die Felder Feld für Suche und Tabelle für Suche die Werte ein, die für die Suche verwendet werden sollen.
  9. Geben Sie unter Beschreibung eine Beschreibung für die Regel ein.
  10. Regeldetails definieren:
    • Geben Sie für Regeln zum Abgleichen von Feldern die Tabelle und das Feld an, in denen in der Konfigurationsmanagement-Datenbank (CMDB) gesucht werden soll. Das Feld muss ein String oder eine Zahl sein.
    • Bei Skriptregeln müssen Sie das Skript anhand der Vorlagenkommentare implementieren. Das Skript muss die System-ID (sys_id) des übereinstimmenden Konfigurationselements zurückgeben.
  11. Klicken Sie auf Senden.

Aktionsprotokoll ansehen

Die Google SCC SIR App bietet ein Aktionslog, in dem Nutzeraktionen im Zusammenhang mit dem Ausblenden oder Einblenden von Ergebnissen und Aktualisierungen von Ausblendungsregeln aufgezeichnet werden.

Erforderliche Rolle:x_goog_scc_sir.Google_SCC_SIR_Admin

So rufen Sie das Aktionslog auf:

  1. Rufen Sie Google SCC SIR > Action Log auf. Das Log enthält die folgenden Informationen:
    • Aktion: Die ausgeführte Aktion, z. B. das Erstellen, Aktualisieren oder Löschen einer Ausblendungsregel oder das Ausblenden oder Einblenden von Ergebnissen
    • Nutzer: Der Nutzername der Person, die die Aktion ausgeführt hat
    • Eintrag: Ein Verweis auf den betroffenen Eintrag
    • Datum: Datum und Uhrzeit der Ausführung der Aktion

Ergebnisstatus ändern

Sie können den Status eines Ergebnisses von „Aktiv“ in „Inaktiv“ oder umgekehrt ändern.

  1. Suchen Sie in der ServiceNow-Konsole auf dem Tab All (Alle) nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Findings (Ergebnisse).

  2. Klicken Sie auf den Befund, dessen Status Sie ändern möchten.

  3. Klicken Sie auf der Seite „Ergebnisse“ auf Aktives Ergebnis oder Inaktives Ergebnis.

  4. Klicken Sie auf OK.

Apps deinstallieren

Sie müssen ServiceNow-Systemadministrator sein, um diese Aufgabe auszuführen.

  1. Suchen Sie in der ServiceNow-Konsole auf dem Tab Alle nach Systemanwendungen und klicken Sie auf Alle verfügbaren Anwendungen > Alle.

  2. Wählen Sie Installiert aus.

  3. Wählen Sie Google SCC ITSM oder Google SCC SIR aus und klicken Sie auf Deinstallieren.

Anwendungslogs aufrufen.

So rufen Sie die Logs für die App auf:

  1. Melden Sie sich in der ServiceNow-Konsole als Administrator für Google SCC ITSM oder Google SCC SIR an.

  2. Suchen Sie auf dem Tab Alle nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Verwaltung > Anwendungslogs.

Fehlerbehebung

In diesem Abschnitt wird beschrieben, wie Sie häufige Probleme beheben, die bei der Konfiguration oder Verwendung der ServiceNow-Integration auftreten können.

Die Anwendung kann nach drei Versuchen keine Verbindung mehr herstellen

Wenn der API-Aufruf für Ergebnisse den HTTP-Statuscode 429 oder 5xx zurückgibt, wird der Vorgang in der Anwendung dreimal wiederholt. Zwischen den Versuchen wird 60 Sekunden gewartet. Wenn der dritte Versuch fehlschlägt, schlägt der Vorgang fehl. So ändern Sie die Reaktionszeit:

  1. Melden Sie sich in der ServiceNow-Konsole als Administrator für Google SCC ITSM oder Google SCC SIR an. Weitere Informationen zu diesen Konten finden Sie unter Nutzer für die App erstellen.

  2. Suchen Sie auf dem Tab Alle nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf System Properties (Systemeigenschaften).

  3. Legen Sie für das Feld Number of max retries for an invalid response from Google SCC (in numbers) (Maximale Anzahl von Wiederholungsversuchen für eine ungültige Antwort von Google SCC (in Zahlen)) eine Zahl fest, die größer als 3 ist.

  4. Klicken Sie auf Speichern.

Anhang wird nicht unterstützt

  1. Melden Sie sich als Systemadministrator in der ServiceNow-Konsole an.

  2. Suchen Sie auf dem Tab Alle nach Systemanwendungen und klicken Sie auf Sicherheit.

  3. Prüfen Sie auf der Seite Security System Properties (Eigenschaften des Sicherheitssystems), ob das Feld List of file extensions (comma-separated) that can be attached to documents via the attachment dialog (Liste der Dateiendungen (kommagetrennt), die über das Dialogfeld für Anhänge an Dokumente angehängt werden können) die gewünschte Dateiendung ohne führenden Punkt enthält, z. B. xlsx,docx. Wenn das Feld leer ist, sind alle Erweiterungen zulässig.

Einem Vorfall können maximal 250 Arbeitsnotizen oder Aktivitäten hinzugefügt werden

  1. Melden Sie sich als Systemadministrator in der ServiceNow-Konsole an.

  2. Suchen Sie in der Navigationsleiste nach sys_properties.list.

  3. Erstellen Sie im Fenster System Properties (Systemeigenschaften) einen Filter mit dem Namen Name is glide.history.max_entries.

  4. Klicken Sie auf Ausführen.

  5. Legen Sie im Eigenschaftenfenster für Wert eine Zahl fest, die größer als 250 ist.

  6. Klicken Sie auf Aktualisieren.

Neuer Nutzer kann nicht erstellt werden

Wenn Sie die Rome-Release-Version verwenden, folgen Sie der Anleitung unter Nutzer erstellen.

Daten können nicht abgerufen werden

Dieses Problem kann beim Abrufen von Ergebnissen, Assets, Quellen oder Audit-Logs auftreten, wenn die Meldung „Starting data ingestion for profile: PROFILE_NAME“ angezeigt wird.

  1. Melden Sie sich in der ServiceNow-Konsole als Administrator für Google SCC ITSM oder Google SCC SIR an.

  2. Suchen Sie auf dem Tab Alle nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Verwaltung > Systemeigenschaften.

  3. Prüfen Sie, ob die folgenden Felder leer sind:

    • Maximale Anzahl der Wiederholungsversuche für eine ungültige Antwort von Google SCC (in Zahlen)

    • Zeitfenster, das gewartet werden muss, bevor nach Erreichen des Anfragelimits eine weitere Anfrage gestellt werden kann (in Millisekunden)

  4. Wenn die Felder leer sind, legen Sie die Werte so fest:

    • Legen Sie für das Feld Maximale Anzahl von Wiederholungsversuchen für eine ungültige Antwort von Google SCC (in Zahlen) den Wert 3 fest.

    • Legen Sie für Zeitfenster zum Warten, bevor nach Erreichen des Anfragelimits eine weitere Anfrage gestellt wird (in Millisekunden) den Wert 60000 fest.

  5. Klicken Sie auf Speichern.

Die App kann nicht über den ServiceNow Store installiert werden.

  1. Prüfen Sie, ob Sie als ServiceNow-Systemadministrator angemeldet sind.

  2. Suchen Sie auf dem Tab Alle nach Systemanwendungen und klicken Sie auf Alle verfügbaren Anwendungen > Alle.

  3. Prüfen Sie, ob die App auf dem Tab Installiert angezeigt wird.

ECC Queue Timeout Error-Nachricht in Anwendungslogs

Erforderliche Rolle:admin

Voraussetzungen:

  • Sie müssen als Systemadministrator angemeldet sein.
  • Sie müssen sich im Global-Bereich von ServiceNow befinden.

So beheben Sie das Problem:

  1. Stellen Sie den Anwendungsbereich auf Global um.
  2. Rufen Sie die Tabelle System Property auf, indem Sie sys_properties.list in den Navigationsfilter eingeben.
  3. Klicken Sie auf New (Neu), um eine Systemeigenschaft zu erstellen.
  4. Geben Sie die folgenden Werte ein:
    • Name: com.glide.ecc.agent_response_timeout
    • Wert: 3600 (oder höher, falls erforderlich)
    • Typ: integer
  5. Klicken Sie auf Senden.

Maximum execution time exceeded-Meldung in Dashboard-Widgets

Wenn diese Meldung in Dashboard-Widgets angezeigt wird, müssen Sie möglicherweise das Transaktionskontingent erhöhen. Weitere Informationen finden Sie im ServiceNow-Wissensdatenbankartikel Widget cancelled - Maximum execution time exceeded (ServiceNow-Authentifizierung erforderlich).

Daten können nicht erhoben werden

Wenn bei der Datenerhebung Fehler auftreten, prüfen Sie die Systemeigenschaften.

Erforderliche Rolle:x_goog_scc_sir.Google_SCC_SIR_Admin

  1. Melden Sie sich in der ServiceNow-Instanz an.
  2. Gehen Sie zu Google SCC SIR > Systemeigenschaften.
  3. Prüfen Sie, ob die folgenden Felder leer sind:
    • Maximale Anzahl von Wiederholungsversuchen bei ungültiger Antwort von Google SCC (in Zahlen)
    • Zeitfenster, das gewartet werden muss, bevor nach Erreichen des Anfragelimits eine weitere Anfrage gestellt werden kann (in Millisekunden)
  4. Wenn die Felder leer sind, legen Sie die Werte so fest:
    • Setzen Sie Anzahl der maximalen Wiederholungsversuche… auf 3.
    • Legen Sie Zeitfenster zum Warten… auf 60000 fest.
  5. Klicken Sie auf Speichern.

Nächste Schritte