Security Command Center-Daten an ServiceNow senden

In diesem Dokument wird erläutert, wie Sie Security Command Center-Daten automatisch an ServiceNow senden. Außerdem finden Sie hier eine Anleitung zum Verwalten der exportierten Daten. Sie können die folgenden Datentypen exportieren:

ServiceNow bietet technischen Support, einschließlich Helpdesk-Funktionen. Das Managementsystem hilft dabei, aufgabenintensive IT-Prozesse und Ereignisse mithilfe digitaler Workflows und Mitarbeiterserviceportale zu automatisieren.

Unterstützte Versionen

Sie können Security Command Center-Informationen an ServiceNow ITSM (IT Service Management) oder ServiceNow SIR (Security Incident Response) senden.

Security Command Center unterstützt die Integration in die folgenden ServiceNow-Versionen:

  • Australien
  • Zürich
  • Yokohama

Wenn Sie eine frühere Version verwenden (z. B. Rome, San Diego oder Tokyo), sollten Sie zur neuesten unterstützten Version migrieren.

Informationen zu den ersten Schritten mit ServiceNow finden Sie auf der ServiceNow-Kontaktseite.

Beschränkungen

In diesem Abschnitt werden die Einschränkungen dieser Integration beschrieben.

  • Sie können pro API-Aufruf insgesamt maximal 1.000 Assets, Ergebnisse, Quellen oder Audit-Logs abrufen.
  • Wenn die Antwort auf den Findings API-Aufruf 429 oder 5xx lautet, versucht die Anwendung es nach 60 Sekunden noch einmal. Es werden drei Versuche unternommen. Wenn der Vorgang weiterhin fehlschlägt, schlägt der Prozess fehl. Informationen zum Ändern der Antwortzeit finden Sie unter Anwendung kann nach drei Versuchen keine Verbindung wiederherstellen.

Hinweis

Führen Sie vor der Integration in ServiceNow die Google Cloud Konfigurationsschritte im folgenden Abschnitt aus. Für einige Aufgaben in dieser Anleitung, z. B. die Schritte zum Erstellen von Nutzern, müssen Sie ServiceNow-Systemadministrator sein.

Google Cloud -Konfiguration

Bevor Sie eine Verbindung zu ServiceNow herstellen können, müssen Sie ein IAM-Dienstkonto (Identity and Access Management) erstellen und dem Konto die IAM-Rollen auf Organisations- und Projektebene zuweisen, die von der Google Security Command Center SIR-App oder der Google Security Command Center ITSM-App benötigt werden.

Weitere Informationen zu diesen Rollen finden Sie unter Dienstkonto erstellen und IAM-Rollen zuweisen.

Dienstkonto erstellen und IAM-Rollen zuweisen

In den folgenden Schritten wird die Google Cloud Console verwendet. Informationen zu anderen Methoden finden Sie unter den Links am Ende dieses Abschnitts.

Führen Sie diese Schritte für jede Google Cloud Organisation aus, aus der Sie Security Command Center-Daten importieren möchten.

  1. Erstellen Sie in dem Projekt, in dem Sie Ihre Pub/Sub-Themen erstellen, auf der Seite Dienstkonten in der Google Cloud Console ein Dienstkonto. Eine Anleitung dazu finden Sie unter Dienstkonten erstellen und verwalten.

  2. Weisen Sie dem Dienstkonto die folgende Rolle zu:

    • Pub/Sub-Bearbeiter (roles/pubsub.editor)

  3. Kopieren Sie den Namen des Dienstkontos, das Sie gerade erstellt haben.

  4. Verwenden Sie die Projektauswahl in der Google Cloud Console, um zur Organisationsebene zu wechseln.

  5. Öffnen Sie die Seite IAM für die Organisation:

    IAM aufrufen

  6. Klicken Sie auf der IAM-Seite auf Zugriff erlauben. Der Bereich „Zugriff gewähren“ wird geöffnet.

  7. Führen Sie im Bereich Zugriff gewähren die folgenden Schritte aus:

    1. Fügen Sie im Abschnitt Hauptkonten hinzufügen im Feld Neue Hauptkonten den Namen des Dienstkontos ein.

    2. Weisen Sie dem Dienstkonto im Abschnitt Rollen zuweisen über das Feld Rolle die folgenden IAM-Rollen zu:

    3. Sicherheitscenter-Administratorbearbeiter (roles/securitycenter.adminEditor)
    4. Bearbeiter von Konfigurationen für Benachrichtigungen des Sicherheitscenters (roles/securitycenter.notificationConfigEditor)
    5. Organisationsbetrachter (roles/resourcemanager.organizationViewer)
    6. Cloud Asset Viewer (roles/cloudasset.viewer)

    7. Klicken Sie auf Speichern. Das Dienstkonto wird auf der Seite IAM auf dem Tab Berechtigungen unter Nach Hauptkonten ansehen angezeigt.

      Durch die Übernahme wird das Dienstkonto auch zu einem Hauptkonto in allen untergeordneten Projekten der Organisation. Die Rollen, die auf Projektebene anwendbar sind, werden als übernommene Rollen aufgeführt.

Weitere Informationen zum Erstellen von Dienstkonten und zum Zuweisen von Rollen finden Sie in den folgenden Themen:

Anmeldedaten für ServiceNow angeben

Erstellen Sie einen Dienstkontoschlüssel, um ServiceNow IAM-Anmeldedaten bereitzustellen. Um diese Anleitung abzuschließen, benötigen Sie den Dienstkontoschlüssel im JSON-Format.

Wenn Sie mehrere Google Cloud Organisationen verwenden, fügen Sie dieses Dienstkonto den anderen Organisationen hinzu und weisen Sie ihm die erforderlichen IAM-Rollen zu, wie im vorherigen Abschnitt unter Dienstkonto erstellen und IAM-Rollen zuweisen beschrieben.

Benachrichtigungen konfigurieren

Führen Sie diese Schritte für jede Google Cloud -Organisation aus, aus der Sie Security Command Center-Daten importieren möchten.

  1. So richten Sie Ergebnisbenachrichtigungen ein:

    1. Aktivieren Sie die Security Command Center API.
    2. Erstellen Sie einen Filter, um Ergebnisse und Assets zu exportieren.

  2. Aktivieren Sie die Cloud Asset API für Ihr Projekt.

  3. Erstellen Sie Feeds für Ihre Assets. Erstellen Sie zwei Feeds im selben Pub/Sub-Thema: einen für Ihre Ressourcen und einen für Ihre IAM-Richtlinien.

    • Verwenden Sie ein anderes Pub/Sub-Thema für Assets als für Ergebnisse.

    • Verwenden Sie für den Feed für Ihre Ressourcen den folgenden Filter:

      content-type=resource

    • Verwenden Sie für den IAM-Richtlinienfeed den folgenden Filter:

      content-type=iam-policy --asset-types="cloudresourcemanager.googleapis.com/Project"

  4. Erstellen Sie eine Zielsenke für die Audit-Logs. Bei dieser Integration wird ein Pub/Sub-Thema als Ziel verwendet.

Zum Konfigurieren von ServiceNow benötigen Sie Ihre Organisations-IDs und die Namen Ihrer Pub/Sub-Abos.

ServiceNow einrichten

In diesem Abschnitt wird beschrieben, wie Sie die App installieren, Nutzer erstellen, die Verbindung konfigurieren und ServiceNow so einrichten, dass Security Command Center-Daten abgerufen werden.

ServiceNow-App installieren

Sie müssen ServiceNow-Systemadministrator sein, um diese Aufgabe auszuführen.

  1. Rufen Sie den ServiceNow Store auf und suchen Sie nach einer der folgenden Apps:

    • Wenn Sie ServiceNow ITSM verwenden, suchen Sie nach Google Security Command Center ITSM.

    • Wenn Sie ServiceNow SIR verwenden, suchen Sie nach Google Security Command Center SIR.

  2. Klicken Sie auf die App und dann auf Abrufen.

  3. Geben Sie Ihre ServiceNow-ID-Anmeldedaten ein und führen Sie den Authentifizierungsvorgang aus.

  4. Suchen Sie in der ServiceNow-Konsole auf dem Tab Alle nach Systemanwendungen und klicken Sie auf Alle verfügbaren Anwendungen > Alle.

  5. Wählen Sie Nicht installiert aus. In der Console wird eine Liste der Anwendungen angezeigt.

  6. Wählen Sie die App Google Security Command Center ITSM oder Google Security Command Center SIR aus und klicken Sie auf Installieren.

Nutzer für die App erstellen

Erstellen Sie zwei Nutzer für die ITSM- oder SIR-Anwendung von Google Security Command Center und weisen Sie ihnen die entsprechenden Rollen zu.

Sie müssen ServiceNow-Systemadministrator sein, um diese Aufgabe auszuführen.

Nutzerkonten erstellen

  1. Suchen Sie in der ServiceNow-Konsole nach Organization.

  2. Klicken Sie auf Organisation > Nutzer.

  3. Klicken Sie auf Neu.

  4. Geben Sie die Informationen für das Administratorkonto für die Google Security Command Center ITSM-App oder die Google Security Command Center SIR-App ein. Geben Sie beispielsweise im Feld User ID (Nutzer-ID) google_scc_itsm_admin für Google Security Command Center ITSM oder google_scc_sir_admin für Google Security Command Center SIR ein.

  5. Klicken Sie auf Senden.

  6. Wenn Sie ein Nutzerkonto für die Google Security Command Center ITSM-App oder die Google Security Command Center SIR-App erstellen möchten, wiederholen Sie die Schritte unter Nutzerkonten erstellen. Geben Sie beispielsweise im Feld User ID (Nutzer-ID) google_scc_itsm_user für Google Security Command Center ITSM oder google_scc_sir_user für Google Security Command Center SIR ein.

Konten Rollen zuweisen

  1. Klicken Sie in der Liste Nutzer auf den Namen eines der neuen Konten.

  2. Klicken Sie unter Rollen auf Bearbeiten.

  3. Fügen Sie die Rollen hinzu, die für das Konto gelten:

    NutzernameRollen
    Google Security Command Center ITSM-Administrator (google_scc_itsm_admin)
    • x_goog_scc_itsm.Google_SCC_ITSM_Admin
    • itil
    • itil_admin
    • personalize_dictionary
    • oauth_admin
    Google Security Command Center ITSM User (google_scc_itsm_user)
    • x_goog_scc_itsm.Google_SCC_ITSM_User
    • itil
    Google Security Command Center – Administrator für Sicherheitsrisiko- und ‑reaktionsfunktionen (google_scc_sir_admin)
    • x_goog_scc_sir.Google_SCC_SIR_Admin
    • sn_si.admin
    • oauth_admin
    Google Security Command Center SIR-Nutzer (google_scc_sir_user)
    • x_goog_scc_sir.Google_SCC_SIR_User
    • sn_si.analyst

  4. Klicken Sie auf Speichern.

  5. Wiederholen Sie die Schritte 1 bis 4, um dem anderen Konto Rollen zuzuweisen.

  6. Melden Sie sich ab und mit den neuen Konten an, um die Passwörter zu bestätigen.

Authentifizierung mit Security Command Center konfigurieren

Richten Sie die Verbindung zwischen Security Command Center und ServiceNow ein. Wenn Sie mehrere Organisationen unterstützen, führen Sie diese Schritte für jede Organisation aus.

Sie müssen ServiceNow-Systemadministrator sein, um diese Aufgabe auszuführen.

Java KeyStore-Zertifikat vorbereiten

  1. Erstellen Sie ein Java KeyStore-Zertifikat aus der JSON-Datei, die Ihren Dienstkontoschlüssel enthält. Eine Anleitung finden Sie unter Java-Keystore-Zertifikat erstellen.

  2. Suchen Sie in der ServiceNow-Konsole auf dem Tab Alle nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Geführte Einrichtung.

  3. Klicken Sie auf Jetzt starten.

  4. Klicken Sie unter Authentication Configuration (Authentifizierungskonfiguration) auf Get Started (Jetzt starten).

X.509-Zertifikat erstellen

  1. Klicken Sie auf der Seite „Aufgaben“ unter X.509-Zertifikat erstellen auf Konfigurieren.

  2. Geben Sie die folgenden Informationen ein:

    • Name: ein eindeutiger Name für dieses Zertifikat

    • Format: PEM

    • Typ: Java Key Store

  3. Klicken Sie auf das Symbol Anhänge verwalten und fügen Sie das Java KeyStore-Zertifikat (Format .jks) hinzu, das Sie unter Java KeyStore-Zertifikat vorbereiten generiert haben.

  4. Klicken Sie auf das Symbol Schließen.

  5. Klicken Sie auf Senden.

  6. Klicken Sie auf der Seite „Aufgaben“ unter X.509-Zertifikat erstellen auf Als abgeschlossen markieren.

JWT-Schlüssel erstellen

  1. Klicken Sie auf der Seite „Aufgaben“ unter JWT-Schlüssel erstellen auf Konfigurieren.

  2. Geben Sie die folgenden Informationen ein:

  3. Klicken Sie auf Senden.

  4. Klicken Sie auf der Seite „Aufgaben“ unter JWT-Schlüssel erstellen auf Als abgeschlossen markieren.

JWT-Anbieter erstellen

  1. Klicken Sie auf der Seite „Aufgaben“ unter JWT-Anbieter erstellen auf Konfigurieren.

  2. Geben Sie die folgenden Informationen ein:

    • Name: ein eindeutiger Name für diesen Anbieter

    • Ablaufintervall (Sek.): 60

    • Signaturkonfiguration: Der JWT-Schlüsselname, der unter JWT-Schlüssel erstellen angegeben ist.

  3. Klicken Sie auf Senden.

  4. Klicken Sie auf der Seite mit den Aufgaben unter JWT-Anbieter erstellen auf Als abgeschlossen markieren.

Authentifizierungskonfiguration erstellen

  1. Klicken Sie auf der Seite „Aufgaben“ unter Authentifizierungskonfiguration erstellen auf Konfigurieren.

  2. Geben Sie die folgenden Informationen ein:

  3. Klicken Sie auf Senden. Die Meldung Authentifizierung erfolgreich wird angezeigt.

  4. Schließen Sie das Fenster Authentifizierungskonfiguration erstellen.

  5. Klicken Sie auf der Seite „Aufgaben“ unter Authentifizierungskonfiguration erstellen auf Als abgeschlossen markieren.

Vorfallsverwaltung für Security Command Center konfigurieren

Führen Sie die folgenden Schritte aus, um die Datenerhebung über Security Command Center zu aktivieren. Wenn Sie mehrere Organisationen unterstützen möchten, füllen Sie diesen Abschnitt für jede Organisation aus.

Sie müssen ServiceNow-Systemadministrator sein, um diese Aufgabe auszuführen.

CI-Suchregeln konfigurieren

  1. Suchen Sie in der ServiceNow-Konsole auf dem Tab All (Alle) nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Guided Setup (Geführte Einrichtung).

  2. Klicken Sie auf Jetzt starten.

  3. Klicken Sie unter Incident Configuration (Konfiguration von Vorfällen) auf Get Started (Jetzt starten).

  4. Verwenden Sie Suchregeln für Konfigurationselemente (CIs), um Konfigurationselemente (z. B. Assets) zu identifizieren, die Vorfällen hinzugefügt werden sollen, die aus Security Command Center-Ergebnissen erstellt wurden. Weitere Informationen finden Sie unter CI-Suchregeln.

    Gehen Sie folgendermaßen vor:

    1. Klicken Sie auf der Seite „Aufgaben“ unter CI-Suchregel auf Konfigurieren.

    2. Klicken Sie auf Neu.

    3. Geben Sie die folgenden Informationen ein:

      • Name: Ein eindeutiger Name für diese Suchregel.

      • Lookup method (Suchmethode): entweder Field Matching (Feldabgleich) oder Script (Skript)

      • Reihenfolge: Die Reihenfolge, in der die App diese Regel im Vergleich zu anderen Regeln auswertet.

      • Quellfeld: Das Feld in den Ergebnisdaten, das als Eingabe für diese Regel dient.

      • In Tabelle suchen: Wenn ein Feld abgeglichen wird, die Tabelle, in der das Feld gesucht werden soll.

      • Suchfeld: Wenn Sie nach einem Feld suchen, das Feld, das mit dem Quellfeld übereinstimmen soll

      • Script: Wenn Sie ein Script verwenden, geben Sie es ein.

      • Aktiv: Wählen Sie diese Option aus, um die Suchregel zu aktivieren.

    4. Klicken Sie auf Senden.

    5. Wiederholen Sie diesen Schritt nach Bedarf für weitere Konfigurationselemente.

    6. Klicken Sie auf der Seite „Aufgaben“ unter CI Lookup Rule (Regel für CI-Suche) auf Mark as Complete (Als erledigt markieren).

Aufnahmekonfiguration erstellen

  1. Klicken Sie auf der Seite „Aufgaben“ unter Aufnahmekonfiguration auf Konfigurieren.

  2. Klicken Sie auf Neu.

  3. Geben Sie die folgenden Informationen ein:

    Feld Beschreibung
    Name Ein eindeutiger Name für diesen Datensatz
    Google SCC Configuration Die Authentifizierungskonfiguration, die Sie unter Authentifizierung mit Security Command Center konfigurieren erstellt haben. Sie benötigen eine Aufnahme-Konfiguration für jede konfigurierte Authentifizierung.
    Wiederkehrende Datenerhebung Wählen Sie diese Option aus, um die regelmäßige Datenaufnahme aus dem Security Command Center zuzulassen.
    Intervall(Sekunden) Das Zeitintervall zwischen Datenaktualisierungen aus Security Command Center
    Einmalige Datenerhebung Wählen Sie diese Option aus, um die Datenaufnahme aus dem Security Command Center zuzulassen. Einmalige Datenerfassungen unterstützen keine Audit-Logs.
    Beginn der Erfassung Das Datum, an dem die Datenaufnahme aus Security Command Center beginnen soll

    Wählen Sie Aktiv erst aus, wenn Sie die restlichen Schritte in diesem Abschnitt abgeschlossen haben.

  4. So fügen Sie Ergebnisse hinzu:

    1. Wählen Sie auf dem Tab Ergebnisse die Option Aktiviert aus. Wenn Sie Ergebnisse aktivieren, werden auch Assets und Quellen automatisch aktiviert.

    2. Geben Sie die folgenden Informationen ein:

    Feld Beschreibung
    Abo-ID für Ergebnisse Bei wiederkehrenden Datenerhebungen: der Name des Pub/Sub-Abos für Ergebnisse
    Name des Google SCC-Ergebnisses Der Name des Vorfallsfelds, das mit dem Namen des Ergebnisses gefüllt werden soll (z. B. „Beschreibung“)
    Google SCC-Ergebnisstatus Der Name des Vorfallsfelds, das mit dem Status des Ergebnisses gefüllt werden soll (z. B. „Beschreibung“)
    Google SCC-Ergebnisindikator Der Name des Vorfallfelds, das mit dem Indikator für das Ergebnis gefüllt werden soll (z. B. „Beschreibung“)
    Ressourcenname des Google SCC-Ergebnisses Der Name des Vorfallfelds, das mit dem Ressourcennamen für das Ergebnis gefüllt werden soll (z. B. „Beschreibung“)
    Google SCC-Ergebnis – Externer URI Der Name des Vorfallfelds, das mit der URL gefüllt werden soll, die auf eine externe Webseite mit weiteren Informationen zum Ergebnis verweist, falls verfügbar.
    Filter anwenden Verfügbar für die einmalige Datenerhebung. Wählen Sie aus, welche Projekte, Status, Schweregrade oder Kategorien einbezogen werden sollen.
    Projektname Der Name des Projekts, aus dem Ergebnisse abgerufen werden sollen, wenn Filter anwenden ausgewählt ist
    Bundesland Ob die Ergebnisse aktiv oder inaktiv sind, wenn Filter anwenden ausgewählt ist
    Schweregrad Der Schweregrad der Ergebnisse, wenn Filter anwenden ausgewählt ist
    Kategorie Die Kategorie, aus der Ergebnisse abgerufen werden sollen, wenn Apply Filters (Filter anwenden) ausgewählt ist.

  5. So fügen Sie Assets hinzu:

    1. Wählen Sie auf dem Tab Assets die Option Aktiviert aus.

    2. Geben Sie im Feld Asset-Abo-ID für wiederkehrende Datenerfassungen den Namen des Pub/Sub-Abos für Assets ein.

  6. Wenn Sie Sicherheitsquellen hinzufügen möchten, wählen Sie auf dem Tab Quellen die Option Aktiviert aus.

  7. So fügen Sie Audit-Logs hinzu:

    1. Wählen Sie auf dem Tab Audit-Logs die Option Aktiviert aus.

    2. Geben Sie im Feld Audit-Log-Abo-ID für wiederkehrende Datenerhebungen den Namen des Pub/Sub-Abos für Audit-Logs ein.

  8. Klicken Sie auf Senden.

  9. Wenn Sie die Meldung erhalten, dass die Konfiguration inaktiv ist, klicken Sie auf OK. Sie aktivieren die Konfiguration unter Aufnahmekonfiguration aktivieren.

  10. Klicken Sie auf der Seite „Aufgaben“ unter Aufnahmekonfiguration auf Als abgeschlossen markieren.

Kriterien für die Erstellung von Vorfällen definieren

So erstellen Sie Vorfälle aus Ergebnissen:

  1. Klicken Sie auf der Seite „Aufgaben“ unter Kriterien für die Erstellung von Vorfällen (für Google Security Command Center ITSM) oder Kriterien für die Erstellung von Sicherheitsvorfällen (für Google Security Command Center SIR) auf Konfigurieren.

  2. Klicken Sie auf den Namen der von Ihnen erstellten Vorfallkonfiguration.

  3. Klicken Sie auf der Seite Ingestion Configuration (Konfiguration für die Aufnahme) auf den Tab Incident Creation Criteria List (Liste der Kriterien für die Erstellung von Vorfällen) (für Google Security Command Center ITSM) oder Security Incident Creation Criteria (Kriterien für die Erstellung von Sicherheitsvorfällen) (für Google Security Command Center SIR).

  4. Klicken Sie auf Neu.

  5. Geben Sie die folgenden Informationen ein:

    • Bedingung: Die dynamische Bedingung, unter der ein Vorfall erstellt wird, basierend auf dem Feld. Sie können beispielsweise Vorfälle für Ergebnisse erstellen, bei denen das Feld Severity auf High festgelegt ist.

    • Reihenfolge: Die Reihenfolge dieser Bedingung im Verhältnis zu anderen Bedingungen.

  6. Klicken Sie auf Senden.

  7. Wiederholen Sie die Schritte 4 bis 6 für jede Bedingung, die die Erstellung eines Vorfalls auslöst.

  8. Schließen Sie die Seite Ingestion Configuration (Konfiguration für die Aufnahme).

  9. Klicken Sie auf der Seite „Aufgaben“ unter Kriterien für die Erstellung von Vorfällen (für Google Security Command Center ITSM) oder Kriterien für die Erstellung von Sicherheitsvorfällen (für Google Security Command Center SIR) auf Als erledigt markieren.

Kriterien für die Zuweisungsgruppe definieren

So weisen Sie einer Gruppe Vorfälle zu:

  1. Klicken Sie auf der Seite „Aufgaben“ unter Kriterien für Aufgabengruppe auf Konfigurieren.

  2. Klicken Sie auf den Namen der von Ihnen erstellten Vorfallkonfiguration.

  3. Klicken Sie auf der Seite Aufnahmekonfiguration auf den Tab Kriterienliste für Zuweisungsgruppen.

  4. Klicken Sie auf Neu.

  5. Geben Sie die folgenden Informationen ein:

    • Zuweisungsgruppe: Die Gruppe, der die Vorfälle zugewiesen werden.

    • Bedingung: Die dynamische Bedingung, die die Zuweisung von Vorfällen basierend auf einem angegebenen Feld auslöst. Sie können beispielsweise Vorfälle für Ergebnisse zuweisen, bei denen das Feld Ergebnisklasse auf Fehlkonfiguration festgelegt ist.

    • Reihenfolge: Die Reihenfolge für diese Bedingung im Verhältnis zu anderen Bedingungen.

  6. Klicken Sie auf Senden.

  7. Wiederholen Sie die Schritte 4 bis 6 für jede Gruppe, der Sie Vorfälle zuweisen möchten.

  8. Schließen Sie die Seite Ingestion Configuration (Aufnahmekonfiguration).

  9. Klicken Sie auf der Seite „Aufgaben“ unter Kriterien für die Zuweisungsgruppe auf Als erledigt markieren.

Konfiguration für die Datenaufnahme aktivieren

  1. Klicken Sie auf der Seite „Aufgaben“ unter Aufnahmekonfiguration aktivieren auf Konfigurieren.

  2. Klicken Sie auf den Namen der von Ihnen erstellten Konfiguration für Vorfälle.

  3. Wählen Sie Aktiv aus.

  4. Klicken Sie auf Daten erheben, um mit der Datenerhebung zu beginnen.

  5. Klicken Sie auf Aktualisieren.

  6. Klicken Sie auf der Seite „Aufgaben“ unter Aufnahmekonfiguration aktivieren auf Als abgeschlossen markieren.

Datenabruf überprüfen

Führen Sie die folgenden Schritte aus, um zu prüfen, ob ServiceNow Daten aus Security Command Center abruft.

Sie müssen ServiceNow-Systemadministrator sein, um diese Aufgabe auszuführen.

  1. Klicken Sie in der ServiceNow-Konsole auf den Tab All (Alle).

  2. Suchen Sie nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Ingestion Configuration.

  3. Prüfen Sie den Status, um zu bestätigen, dass die App Daten erhebt.

  4. Suchen Sie nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Assets (Assets), Findings (Ergebnisse), Sources (Quellen) oder Audit Logs (Audit-Logs). Prüfen Sie, ob die App für jeden aktivierten Datentyp Einträge hinzufügt. Wenn Sie die automatische Erstellung von Vorfällen in der Konfiguration für Ergebnisse konfiguriert haben, prüfen Sie, ob ServiceNow Vorfälle für jedes Ergebnis erstellt, das Ihren angegebenen Kriterien entspricht.

Dashboards aufrufen

Mit der Google Security Command Center ITSM App können Sie die Daten aus Security Command Center visualisieren. Es enthält fünf Dashboards: Übersicht, Quellen, Ergebnisse, Assets und Audit-Logs.

Sie können auf diese Dashboards in der ServiceNow-Konsole über die Seite Alle > Google SCC ITSM > Dashboards oder die Seite Alle > Google SCC SIR > Dashboards zugreifen.

Übersichts-Dashboard

Das Dashboard Übersicht enthält Diagramme, in denen die Gesamtzahl der Ergebnisse in Ihrer Organisation nach Schweregrad, Kategorie und Status angezeigt wird. Security Command Center kompiliert Ergebnisse aus integrierten Diensten wie Security Health Analytics, Web Security Scanner, Event Threat Detection und Container Threat Detection sowie allen integrierten Diensten, die Sie aktivieren.

Sie können den Zeitraum und die Organisations-ID festlegen, um Inhalte zu filtern.

Zusätzliche Diagramme zeigen, welche Kategorien, Projekte und Assets die meisten Ergebnisse generieren.

Assets-Dashboard

Im Dashboard Assets wird ein Diagramm mit Google Cloud -Assets angezeigt, die nach Asset-Typ kategorisiert sind.

Sie können Asset-Daten nach Organisations-ID filtern.

Audit-Logs-Dashboard

Im Dashboard Audit-Logs werden eine Reihe von Diagrammen und Tabellen angezeigt, die Informationen zum Audit-Log enthalten. Das Dashboard enthält Audit-Logs zu Administratoraktivitäten, Datenzugriff, Systemereignissen und abgelehnten Richtlinien. Die Tabelle enthält die Zeit, den Lognamen, den Schweregrad, den Dienstnamen, den Ressourcennamen und den Ressourcentyp.

Sie können die Daten nach Zeitraum und Organisations-ID filtern.

Ergebnis-Dashboard

Das Dashboard Ergebnisse enthält eine Tabelle mit den 1.000 neuesten Ergebnissen. Die Tabellenspalten enthalten Elemente wie Kategorie, Asset-Name, Quellname, Sicherheitsmarkierungen, Ergebnisklasse und Schweregrad.

Sie können die Daten nach Zeitraum, Organisations-ID, Schweregrad, Status oder Ergebnisklasse filtern. Wenn Sie die automatische Erstellung von Vorfällen eingerichtet haben, enthält das Dashboard einen Link zum Vorfall.

Quellen-Dashboard

Im Dashboard Quellen wird eine Tabelle aller Sicherheitsquellen angezeigt. Tabellenspalten enthalten den Namen, den Anzeigenamen und die Beschreibung.

Sie können die Organisations-ID festlegen, um Inhalte zu filtern.

Vorfall manuell erstellen

  1. Melden Sie sich in der ServiceNow-Konsole als Administrator für Google Security Command Center ITSM oder Google Security Command Center SIR an.

  2. Suchen Sie auf dem Tab Alle nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Ergebnisse.

  3. Klicken Sie auf das Ergebnis, für das Sie einen Vorfall erstellen möchten.

  4. Klicken Sie auf der Ergebnisseite für Google Security Command Center ITSM auf Vorfall erstellen und für Google Security Command Center SIR auf Sicherheitsvorfall erstellen.

Ergebnisse ausblenden oder einblenden

Die Google Security Command Center SIR-Anwendung bietet Funktionen zum Stummschalten und Aufheben der Stummschaltung von Ergebnissen.

Erforderliche Rolle: x_goog_scc_sir.Google_SCC_SIR_Admin oder x_goog_scc_sir.Google_SCC_SIR_User

So blenden Sie Ergebnisse aus oder blenden sie wieder ein:

  1. Melden Sie sich in der ServiceNow-Instanz an.
  2. Gehen Sie zu Google SCC SIR > Ergebnisse.
  3. Öffnen Sie ein Ergebnis, um den Stummschaltungsstatus zu ändern.
    • Wenn der Ausblendungsstatus des Ergebnisses Nicht definiert oder Aktiviert ist, wird der Button Ergebnis ausblenden angezeigt.
    • Wenn der Ausblendungsstatus des Ergebnisses Ausgeblendet ist, wird der Button Ergebnis einblenden angezeigt.
  4. Klicken Sie auf Ergebnis ausblenden oder Ergebnis einblenden. Ein Dialogfeld wird angezeigt.
  5. Geben Sie eine Beschreibung für das Ausblenden oder Einblenden des Ergebnisses ein.
    • Wenn Sie mehrere Ergebnisse aus der Listenansicht auswählen, gilt die Beschreibung für alle ausgewählten Ergebnisse.
  6. Klicken Sie auf OK. Der Ausblendungsstatus des Ergebnisses ändert sich in Security Command Center.
    • Die Beschreibung ist in den Sicherheitsmarkierungen des Ergebnisses in derGoogle Cloud Console sichtbar und enthält den ServiceNow-Nutzernamen.
    • Wenn der Stummschaltungsstatus in Security Command Center geändert wird, wird der neue Status nach der nächsten Datenerhebung in ServiceNow angezeigt.

Ausblendungsregel erstellen

Mit der SIR-App für Google Security Command Center können Sie Ausblendungsregeln erstellen. Wenn Sie in ServiceNow eine Ausblendungsregel erstellen, werden zukünftige Ergebnisse, die den Kriterien entsprechen, ausgeblendet. Wenn Sie die Regel in ServiceNow löschen, wird sie auch im Security Command Center gelöscht.

Erforderliche Rolle: x_goog_scc_sir.Google_SCC_SIR_Admin oder x_goog_scc_sir.Google_SCC_SIR_User

So erstellen Sie eine Ausblendungsregel:

  1. Melden Sie sich in der ServiceNow-Instanz an.
  2. Rufen Sie Google SCC SIR > Ausblendungsregel auf.
  3. Klicken Sie auf Neu.

  4. Konfigurieren Sie die folgenden Felder:

    • Name: Ein Name für die Ausblendungsregel. Wenn Sie die Ausblendungsregel einreichen, wird dem Namen das Präfix servicenow-USER_NAME vorangestellt, wobei USER_NAME der Nutzername des Nutzers ist, der die Ausblendungsregel erstellt hat.

    • Beschreibung: Eine Beschreibung der Ausblendungsregel.

    • Authentifizierungskonfiguration: Wählen Sie eine Authentifizierungskonfiguration aus, um eine Verbindung zu Security Command Center herzustellen.

    • Abfrage: Geben Sie eine Filterabfrage für die Ausblendungsregel ein.

    • Typ: Wählen Sie eine der folgenden Optionen aus:

      • Statisch: Nur zukünftige Ergebnisse werden ausgeblendet.
      • Dynamisch: Blendet sowohl vorhandene als auch zukünftige Ergebnisse aus.

  5. Klicken Sie auf Ausblendungsregel erstellen. Basierend auf der Antwort (Erfolg oder Fehler) werden eine Informationsmeldung und ein Anwendungsprotokolleintrag erstellt.

CI-Suchregel manuell erstellen

Mit der Google Security Command Center SIR App können Sie manuell Regeln zum Nachschlagen von Konfigurationselementen (Configuration Item, CI) erstellen.

Erforderliche Rolle:x_goog_scc_sir.Google_SCC_SIR_Admin

So erstellen Sie eine CI-Suchregel:

  1. Melden Sie sich in der ServiceNow-Instanz an.
  2. Rufen Sie Google SCC SIR > CI-Suchregeln auf.
  3. Klicken Sie auf Neu.
  4. Füllen Sie die Felder Name und Reihenfolge aus.
  5. Klicken Sie das Kästchen Aktiv an.
  6. Wählen Sie für Lookup method (Suchmethode) entweder Field Matching (Feldabgleich) oder Script (Script) aus.
  7. Geben Sie unter Quellfeld das Feld in den Ergebnisdaten ein, das als Eingabe verwendet werden soll.
  8. Geben Sie in die Felder Search On Field (Feld für Suche) und Search On Table (Tabelle für Suche) die Werte ein, die für die Suche verwendet werden sollen.
  9. Geben Sie unter Beschreibung eine Beschreibung für die Regel ein.
  10. Definieren Sie die Regeldetails:
    • Geben Sie für Regeln zum Abgleichen von Feldern die Tabelle und das Feld an, in denen in der CMDB (Configuration Management Database, Konfigurationsverwaltung-Datenbank) gesucht werden soll. Das Feld muss ein String oder eine Zahl sein.
    • Implementieren Sie für Skriptregeln das Skript mithilfe der Vorlagenkommentare. Das Skript muss die System-ID (sys_id) des übereinstimmenden Konfigurationselements zurückgeben.
  11. Klicken Sie auf Senden.

Aktionsprotokoll ansehen

Die SIR-App von Google Security Command Center bietet ein Aktionsprotokoll, in dem Nutzeraktionen im Zusammenhang mit dem Ausblenden oder Einblenden von Ergebnissen und Aktualisierungen von Ausblendungsregeln aufgezeichnet werden.

Erforderliche Rolle: x_goog_scc_sir.Google_SCC_SIR_Admin

Wenn Sie das Aktionsprotokoll aufrufen möchten, rufen Sie Google SCC SIR > Aktionsprotokoll auf. Das Log enthält die folgenden Informationen:

  • Aktion: Die ausgeführte Aktion (z. B. Erstellen, Aktualisieren oder Löschen einer Ausblendungsregel oder Ausblenden oder Einblenden von Ergebnissen)
  • Nutzer: Der Nutzername der Person, die die Aktion ausgeführt hat.
  • Eintrag: Ein Verweis auf den betroffenen Eintrag
  • Datum: Datum und Uhrzeit der Ausführung der Aktion

Ergebnisstatus ändern

Sie können den Status eines Ergebnisses von „Aktiv“ in „Inaktiv“ oder von „Inaktiv“ in „Aktiv“ ändern.

  1. Suchen Sie in der ServiceNow-Konsole auf dem Tab Alle nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Ergebnisse.

  2. Klicken Sie auf den Befund, dessen Status Sie ändern möchten.

  3. Klicken Sie auf der Seite „Ergebnisse“ auf Aktives Ergebnis oder Inaktives Ergebnis.

  4. Klicken Sie auf OK.

Apps deinstallieren

Sie müssen ServiceNow-Systemadministrator sein, um diese Aufgabe auszuführen.

  1. Suchen Sie in der ServiceNow-Konsole auf dem Tab All (Alle) nach System Applications (Systemanwendungen) und klicken Sie auf All Available Applications> All (Alle verfügbaren Anwendungen > Alle).

  2. Wählen Sie Installiert aus.

  3. Wählen Sie Google Security Command Center ITSM oder Google Security Command Center SIR aus und klicken Sie auf Deinstallieren.

Anwendungslogs aufrufen.

So rufen Sie die Logs für die App auf:

  1. Melden Sie sich in der ServiceNow-Konsole als Administrator für Google Security Command Center ITSM oder Google Security Command Center SIR an.

  2. Suchen Sie auf dem Tab Alle nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Verwaltung > Anwendungslogs.

Fehlerbehebung

In diesem Abschnitt wird beschrieben, wie Sie häufige Probleme beheben, die bei der Konfiguration oder Verwendung der ServiceNow-Integration auftreten können.

Die Anwendung kann nach drei Versuchen keine Verbindung mehr herstellen.

Wenn der Findings API-Aufruf den HTTP-Statuscode 429 oder 5xx zurückgibt, wird die Anwendung dreimal wiederholt, wobei zwischen den Versuchen 60 Sekunden gewartet wird. Wenn der dritte Versuch fehlschlägt, schlägt der Vorgang fehl. So ändern Sie die Reaktionszeit:

  1. Melden Sie sich in der ServiceNow-Konsole als Administrator für Google Security Command Center ITSM oder Google Security Command Center SIR an. Weitere Informationen zu diesen Konten finden Sie unter Nutzer für die Anwendung erstellen.

  2. Suchen Sie auf dem Tab Alle nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Systemeigenschaften.

  3. Legen Sie für das Feld Maximale Anzahl von Wiederholungsversuchen für eine ungültige Antwort von Google SCC (in Zahlen) eine Zahl fest, die größer als 3 ist.

  4. Klicken Sie auf Speichern.

Anhang wird nicht unterstützt

  1. Melden Sie sich als Systemadministrator in der ServiceNow-Konsole an.

  2. Suchen Sie auf dem Tab Alle nach Systemanwendungen und klicken Sie auf Sicherheit.

  3. Prüfen Sie auf der Seite Eigenschaften des Sicherheitssystems, ob das Feld Liste der Dateiendungen (kommagetrennt), die über das Dialogfeld für Anhänge an Dokumente angehängt werden können die Dateiendung enthält, die Sie anhängen möchten, ohne führenden Punkt, z. B. xlsx,docx. Wenn das Feld leer ist, sind alle Erweiterungen zulässig.

Einem Vorfall können maximal 250 Arbeitsnotizen oder Aktivitäten hinzugefügt werden

  1. Melden Sie sich als Systemadministrator in der ServiceNow-Konsole an.

  2. Suchen Sie in der Navigationsleiste nach sys_properties.list.

  3. Erstellen Sie im Fenster System Properties (Systemeigenschaften) den Filter Name is glide.history.max_entries (Name ist glide.history.max_entries).

  4. Klicken Sie auf Ausführen.

  5. Legen Sie im Fenster „Eigenschaften“ für Wert eine Zahl fest, die größer als 250 ist.

  6. Klicken Sie auf Aktualisieren.

Neuen Nutzer kann nicht erstellt werden

Wenn Sie die Release-Version Rome verwenden, finden Sie eine Anleitung unter Nutzer erstellen.

Daten können nicht abgerufen werden

Dieses Problem kann beim Abrufen von Ergebnissen, Assets, Quellen oder Audit-Logs auftreten, wenn die Meldung „Datenaufnahme für Profil wird gestartet: PROFILE_NAME“ angezeigt wird.

  1. Melden Sie sich in der ServiceNow-Konsole als Administrator für Google Security Command Center ITSM oder Google Security Command Center SIR an.

  2. Suchen Sie auf dem Tab Alle nach Google SCC ITSM oder Google SCC SIR und klicken Sie auf Verwaltung > Systemeigenschaften.

  3. Prüfen Sie, ob die folgenden Felder leer sind:

    • Maximale Anzahl von Wiederholungsversuchen für eine ungültige Antwort von Google SCC (in Zahlen)

    • Zeitfenster, das gewartet werden muss, bevor nach Erreichen des Anfragelimits eine weitere Anfrage gestellt werden kann (in Millisekunden)

  4. Wenn die Felder leer sind, legen Sie die Werte so fest:

    • Legen Sie im Feld Maximale Anzahl von Wiederholungsversuchen für eine ungültige Antwort von Google SCC (in Zahlen) den Wert 3 fest.

    • Legen Sie für Zeitfenster, das nach Erreichen des Anfragelimits gewartet werden soll, bevor eine weitere Anfrage gestellt wird (in Millisekunden) den Wert 60000 fest.

  5. Klicken Sie auf Speichern.

Die App kann nicht über den ServiceNow Store installiert werden

  1. Prüfen Sie, ob Sie als ServiceNow-Systemadministrator angemeldet sind.

  2. Suchen Sie auf dem Tab Alle nach Systemanwendungen und klicken Sie auf Alle verfügbaren Anwendungen > Alle.

  3. Prüfen Sie, ob die App auf dem Tab Installiert angezeigt wird.

ECC Queue Timeout Error-Nachricht in den Anwendungslogs

Erforderliche Rolle:admin

Voraussetzungen:

  • Sie müssen als Systemadministrator angemeldet sein.
  • Sie müssen sich im globalen Bereich von ServiceNow befinden.

So beheben Sie das Problem:

  1. Wechseln Sie den Anwendungsbereich zu Global.
  2. Rufen Sie die Tabelle System Property auf, indem Sie sys_properties.list in den Navigationsfilter eingeben.
  3. Klicken Sie auf New (Neu), um eine Systemeigenschaft zu erstellen.
  4. Geben Sie die folgenden Werte ein:
    • Name: com.glide.ecc.agent_response_timeout
    • Wert: 3600 (oder höher, falls erforderlich)
    • Typ: integer
  5. Klicken Sie auf Senden.

Maximum execution time exceeded-Meldung in Dashboard-Widgets

Wenn Sie diese Meldung auf Dashboard-Widgets sehen, müssen Sie möglicherweise das Transaktionskontingent erhöhen. Weitere Informationen finden Sie im ServiceNow-Wissensdatenbankartikel Widget cancelled - Maximum execution time exceeded (ServiceNow-Authentifizierung erforderlich).

Daten können nicht erhoben werden

Wenn bei der Datenerhebung Fehler auftreten, prüfen Sie die Systemeigenschaften.

Erforderliche Rolle: x_goog_scc_sir.Google_SCC_SIR_Admin

  1. Melden Sie sich in der ServiceNow-Instanz an.
  2. Rufen Sie Google SCC SIR > Systemeigenschaften auf.
  3. Prüfen Sie, ob die folgenden Felder leer sind:
    • Maximale Anzahl von Wiederholungsversuchen bei ungültiger Antwort von Google SCC (in Zahlen)
    • Zeitfenster, das nach Erreichen des Anfragelimits gewartet werden muss, bevor eine weitere Anfrage gestellt wird (in Millisekunden)
  4. Wenn die Felder leer sind, legen Sie die Werte so fest:
    • Legen Sie für Anzahl der maximalen Wiederholungsversuche… den Wert 3 fest.
    • Setzen Sie Zeitfenster zum Warten... auf 60000.
  5. Klicken Sie auf Speichern.

Nächste Schritte