Envoyer des données Security Command Center à ServiceNow

Niveaux de service Standard (ancienne version), Standard, Premium et Enterprise (obsolète)

Le niveau de service Security Command Center Enterprise sera arrêté le 21 mai 2027. Si votre organisation utilise le niveau de service Enterprise, elle passera automatiquement au niveau de service Premium à partir du 21 mai 2027. Contactez votre responsable de compte ou un spécialiste des ventesGoogle Cloud si vous avez des questions.

Ce document explique comment envoyer automatiquement des données Security Command Center à ServiceNow et fournit des conseils sur la gestion des données exportées. Vous pouvez exporter les types de données suivants :

• Résultats
• Assets
• Journaux d'audit
• Sources de sécurité

ServiceNow fournit une assistance pour la gestion technique, y compris une fonctionnalité de centre d'assistance. Son système de gestion permet d'automatiser les processus et événements informatiques nécessitant beaucoup de tâches à l'aide de workflows numériques et de portails de services pour les employés.

Versions compatibles

Vous pouvez envoyer des informations Security Command Center à ServiceNow IT Service Management (ITSM) ou ServiceNow Security Incident Response (SIR).

Security Command Center est compatible avec les versions suivantes de ServiceNow :

• Australie
• Zurich
• Yokohama

Si vous utilisez une version antérieure (Rome, San Diego ou Tokyo, par exemple), vous devez migrer vers la dernière version compatible.

Pour commencer à utiliser ServiceNow, consultez la page de contact ServiceNow.

Limites

Cette section décrit les limites de cette intégration.

• Vous pouvez récupérer un maximum combiné de 1 000 composants, résultats, sources ou journaux d'audit par appel d'API.
• Si la réponse à l'appel de l'API Findings est 429 ou 5xx, l'application réessaie après 60 secondes, et ce, trois fois. Si l'opération échoue toujours, le processus échoue. Pour modifier le temps de réponse, consultez L'application ne peut pas se reconnecter après trois tentatives.

Avant de commencer

Avant d'intégrer ServiceNow, suivez les étapes de configuration de la section suivante. Google Cloud Pour effectuer certaines tâches de ce guide, comme les étapes de création d'utilisateurs, vous devez être un administrateur système ServiceNow.

ConfigurationGoogle Cloud

Avant de pouvoir vous connecter à ServiceNow, vous devez créer un compte de service Identity and Access Management (IAM) et lui attribuer les rôles IAM au niveau de l'organisation et au niveau du projet requis par l'application Google SCC SIR ou Google SCC ITSM.

Pour en savoir plus sur ces rôles, consultez Créer un compte de service et attribuer des rôles IAM.

Créer un compte de service et attribuer des rôles IAM

Les étapes suivantes utilisent la console Google Cloud . Pour découvrir d'autres méthodes, consultez les liens disponibles à la fin de cette section.

Suivez ces étapes pour chaque organisation Google Cloud depuis vous souhaitez importer des données Security Command Center.

1. Dans le projet dans lequel vous créez vos sujets Pub/Sub, utilisez la page Comptes de service de la console Google Cloud pour créer un compte de service. Pour obtenir des instructions, consultez la page Créer et gérer des comptes de service.

2. Attribuez le rôle suivant au compte de service :

   • Éditeur Pub/Sub (roles/pubsub.editor)

3. Copiez le nom du compte de service que vous venez de créer.

4. Utilisez le sélecteur de projet dans la console Google Cloud pour passer au niveau de l'organisation.

5. Ouvrez la page IAM de l'organisation :

   Accéder à IAM

6. Sur la page IAM, cliquez sur Accorder l'accès. Le panneau "Accorder l'accès" s'affiche.

7. Dans le panneau Accorder l'accès, procédez comme suit :

   1. Dans la section Ajouter des comptes principaux du champ Nouveaux comptes principaux, collez le nom du compte de service.

   2. Dans la section Attribuer des rôles, utilisez le champ Rôle pour attribuer les rôles IAM suivants au compte de service :

   3. Éditeur administrateur du centre de sécurité (roles/securitycenter.adminEditor)
   4. Éditeur de configuration des notifications du centre de sécurité (roles/securitycenter.notificationConfigEditor)
   5. Lecteur de l'organisation (roles/resourcemanager.organizationViewer)
   6. Lecteur d'éléments Cloud (roles/cloudasset.viewer)

   7. Cliquez sur Enregistrer. Le compte de service s'affiche dans l'onglet Autorisations de la page IAM sous Afficher par compte principal.

      Par héritage, le compte de service devient également un compte principal dans tous les projets enfants de l'organisation. Les rôles applicables au niveau du projet sont listés en tant que rôles hérités.

Pour plus d'informations sur la création de comptes de service et l'attribution de rôles, consultez les rubriques suivantes :

• Créer et gérer des comptes de service
• Accorder, modifier et révoquer les accès à des ressources

Fournir les identifiants à ServiceNow

Pour fournir des identifiants IAM à ServiceNow, créez une clé de compte de service. Pour suivre ce guide, vous aurez besoin de la clé du compte de service au format JSON.

Si vous utilisez plusieurs organisations Google Cloud , ajoutez ce compte de service aux autres organisations et accordez-lui les rôles IAM nécessaires, comme décrit dans Créer un compte de service et accorder des rôles IAM dans la section précédente.

Remarque : Les clés de compte de service constituent un risque pour la sécurité si elles ne sont pas gérées correctement. Vous êtes responsable de la sécurité de la clé privée et des autres opérations décrites dans la section Bonnes pratiques de gestion des clés de compte de service. Si vous ne parvenez pas à créer une clé de compte de service, la création de clé de compte de service peut être désactivée pour votre organisation. Pour en savoir plus, consultez la page Gérer les ressources d'organisation sécurisées par défaut.

Si vous avez obtenu la clé de compte de service auprès d'une source externe, vous devez la valider avant de l'utiliser. Pour en savoir plus, consultez Exigences de sécurité pour les identifiants provenant de sources externes.

Configurer les notifications

Suivez ces étapes pour chaque organisation Google Cloud à partir de laquelle vous souhaitez importer des données Security Command Center.

1. Configurez les notifications de résultats comme suit :

   1. Activez l'API Security Command Center.
   2. Créez un filtre pour exporter les résultats et les composants.

2. Activez l'API Cloud Asset pour votre projet.

3. Créez des flux pour vos éléments. Créez deux flux dans le même sujet Pub/Sub : l'un pour vos ressources et l'autre pour vos stratégies IAM.

   • Utilisez un sujet Pub/Sub différent pour les composants et les résultats.

   • Pour le flux de vos ressources, utilisez le filtre suivant :

     content-type=resource

   • Pour le flux des stratégies IAM, utilisez le filtre suivant :

     content-type=iam-policy --asset-types="cloudresourcemanager.googleapis.com/Project"

4. Créez un récepteur de destination pour les journaux d'audit. Cette intégration utilise un sujet Pub/Sub comme destination.

Pour configurer ServiceNow, vous avez besoin des noms de vos ID d'organisation et de vos abonnements Pub/Sub.

Configurer ServiceNow

Cette section explique comment installer l'application, créer des utilisateurs, configurer la connectivité et configurer ServiceNow pour récupérer les données Security Command Center.

Installer l'application ServiceNow

Pour effectuer cette tâche, vous devez être un administrateur système ServiceNow.

1. Accédez au ServiceNow Store et recherchez l'une des applications suivantes :

   • Si vous exécutez ServiceNow ITSM, recherchez Google SCC ITSM.

   • Si vous exécutez ServiceNow SIR, recherchez Google SCC SIR.

2. Cliquez sur l'application, puis sur Obtenir.

3. Saisissez vos identifiants ServiceNow et suivez la procédure d'authentification.

4. Dans l'onglet All (Tous) de la console ServiceNow, recherchez System Applications (Applications système), puis cliquez sur All Available Applications > All (Toutes les applications disponibles > Toutes).

5. Sélectionnez Non installé. La console affiche une liste d'applications.

6. Sélectionnez l'application Google SCC ITSM ou Google SCC SIR, puis cliquez sur Install (Installer).

Créer des utilisateurs pour l'application

Créez deux utilisateurs pour l'application Google SCC ITSM ou Google SCC SIR, et attribuez-leur les rôles appropriés.

Pour effectuer cette tâche, vous devez être un administrateur système ServiceNow.

Créer les comptes utilisateur

1. Dans la console ServiceNow, recherchez Organization (Organisation).

2. Cliquez sur Organisation > Utilisateurs.

3. Cliquez sur New (Nouveau).

4. Saisissez les informations du compte administrateur pour l'application Google SCC ITSM ou Google SCC SIR. Par exemple, dans le champ ID utilisateur, saisissez google_scc_itsm_admin pour Google SCC ITSM ou google_scc_sir_admin pour Google SCC SIR.

5. Cliquez sur Envoyer.

6. Pour créer un compte utilisateur pour l'application Google SCC ITSM ou Google SCC SIR, répétez les étapes de la section Créer les comptes utilisateur. Par exemple, dans le champ ID utilisateur, saisissez google_scc_itsm_user pour Google SCC ITSM ou google_scc_sir_user pour Google SCC SIR.

Attribuer des rôles aux comptes

1. Dans la liste Utilisateurs, cliquez sur le nom de l'un des nouveaux comptes.

2. Sous Rôles, cliquez sur Modifier.

3. Ajoutez les rôles qui s'appliquent au compte :

   Nom d'utilisateur	Rôles
   Administrateur ITSM Google SCC (google_scc_itsm_admin)	x_goog_scc_itsm.Google_SCC_ITSM_Admin itil itil_admin personalize_dictionary oauth_admin
   Utilisateur ITSM Google SCC (google_scc_itsm_user)	x_goog_scc_itsm.Google_SCC_ITSM_User itil
   Administrateur Google SCC SIR (google_scc_sir_admin)	x_goog_scc_sir.Google_SCC_SIR_Admin sn_si.admin oauth_admin
   Utilisateur Google SCC SIR (google_scc_sir_user)	x_goog_scc_sir.Google_SCC_SIR_User sn_si.analyst

4. Cliquez sur Enregistrer.

5. Pour attribuer des rôles à l'autre compte, répétez les étapes 1 à 4.

6. Déconnectez-vous, puis reconnectez-vous avec les nouveaux comptes pour vérifier les mots de passe.

Configurer l'authentification avec Security Command Center

Configurez la connectivité entre Security Command Center et ServiceNow. Si vous gérez plusieurs organisations, suivez ces étapes pour chacune d'elles.

Pour effectuer cette tâche, vous devez être un administrateur système ServiceNow.

Préparer le certificat Java KeyStore

1. Créez un certificat Java KeyStore à partir du fichier JSON contenant la clé de votre compte de service. Pour obtenir des instructions, consultez Créer un certificat Java KeyStore.

2. Dans l'onglet Tous de la console ServiceNow, recherchez Google SCC ITSM ou Google SCC SIR, puis cliquez sur Configuration guidée.

3. Cliquez sur Commencer.

4. Dans Authentication Configuration (Configuration de l'authentification), cliquez sur Get Started (Commencer).

Créer le certificat X.509

1. Sur la page des tâches, dans Créer un certificat X.509, cliquez sur Configurer.

2. Saisissez les informations suivantes :

   • Nom : nom unique de ce certificat.

   • Format : PEM

   • Type : Java Key Store

3. Cliquez sur l'icône Gérer les pièces jointes et ajoutez le certificat Java KeyStore (format .jks) que vous avez généré dans Préparer le certificat Java KeyStore.

4. Cliquez sur l'icône Fermer.

5. Cliquez sur Envoyer.

6. Sur la page des tâches, dans Créer un certificat X.509, cliquez sur Marquer comme terminé.

Créer la clé JWT

1. Sur la page des tâches, dans Créer une clé JWT, cliquez sur Configurer.

2. Saisissez les informations suivantes :

   • Nom : nom unique de cette clé

   • Keystore de signature : nom du certificat spécifié dans Créer le certificat X.509

   • Algorithme de signature : RSA 256

   • Clé de signature : mot de passe du fichier .jks créé dans Préparer le certificat Java KeyStore

3. Cliquez sur Envoyer.

4. Sur la page des tâches, dans Créer une clé JWT, cliquez sur Marquer comme terminé.

Créer le fournisseur JWT

1. Sur la page des tâches, dans Créer un fournisseur JWT, cliquez sur Configurer.

2. Saisissez les informations suivantes :

   • Name (Nom) : nom unique de ce fournisseur.

   • Intervalle d'expiration (s) : 60

   • Configuration de la signature : nom de la clé JWT spécifié dans Créer la clé JWT

3. Cliquez sur Envoyer.

4. Sur la page des tâches, dans Créer un fournisseur JWT, cliquez sur Marquer comme terminé.

Créer la configuration de l'authentification

1. Sur la page des tâches, dans Créer une configuration d'authentification, cliquez sur Configurer.

2. Saisissez les informations suivantes :

   • Nom : nom unique de cette configuration.

   • Organization ID (ID de l'organisation) : ID de votre organisation dansGoogle Cloud

   • URL de base : URL de l'API Security Command Center, généralement https://securitycenter.googleapis.com

   • Adresse e-mail du client : adresse e-mail des identifiants IAM

   • Fournisseur JWT : nom du fournisseur JWT spécifié dans Créer le fournisseur JWT

3. Cliquez sur Envoyer. Le message Authentification réussie s'affiche.

4. Fermez la fenêtre Create Authentication Configuration (Créer une configuration d'authentification).

5. Sur la page des tâches, dans Créer une configuration d'authentification, cliquez sur Marquer comme terminée.

Configurer la gestion des incidents pour Security Command Center

Pour activer la collecte de données à partir de Security Command Center, procédez comme suit. Pour prendre en charge plusieurs organisations, remplissez cette section pour chacune d'elles.

Pour effectuer cette tâche, vous devez être un administrateur système ServiceNow.

Configurer les règles de recherche des CI

1. Dans l'onglet Tous de la console ServiceNow, recherchez Google SCC ITSM ou Google SCC SIR, puis cliquez sur Configuration guidée.

2. Cliquez sur Commencer.

3. Dans Configuration des incidents, cliquez sur Commencer.

4. Pour identifier les éléments de configuration (tels que les composants) à ajouter aux incidents créés à partir des résultats de Security Command Center, utilisez des règles de recherche d'éléments de configuration. Pour en savoir plus, consultez Règles de recherche des CI.

   Procédez comme suit :

   1. Sur la page des tâches, dans Règle de recherche des CI, cliquez sur Configurer.

   2. Cliquez sur New (Nouveau).

   3. Saisissez les informations suivantes :

      • Nom : nom unique de cette règle de recherche

      • Méthode de recherche : Correspondance des champs ou Script

      • Ordre : ordre dans lequel l'application évalue cette règle par rapport aux autres règles

      • Champ source : champ des données sur les résultats qui sert d'entrée pour cette règle

      • Search On Table (Rechercher dans la table) : si la correspondance est basée sur un champ, il s'agit de la table dans laquelle trouver le champ.

      • Champ de recherche : si la correspondance est basée sur un champ, il s'agit du champ à faire correspondre avec le champ source.

      • Script : si vous utilisez un script, saisissez-le.

      • Active : sélectionnez cette option pour activer la règle de recherche.

   4. Cliquez sur Envoyer.

   5. Répétez cette étape pour d'autres éléments de configuration, si nécessaire.

   6. Sur la page des tâches, dans Règle de recherche de CI, cliquez sur Marquer comme terminée.

Créer la configuration d'ingestion

1. Sur la page des tâches, dans Configuration de l'ingestion, cliquez sur Configurer.

2. Cliquez sur New (Nouveau).

3. Saisissez les informations suivantes :

   Champ	Description
   Nom	Nom unique de cet enregistrement
   Configuration des CCT Google	La configuration de l'authentification que vous avez créée dans Configurer l'authentification avec Security Command Center. Vous avez besoin d'une configuration d'ingestion pour chaque authentification que vous avez configurée.
   Collecte de données récurrente	Sélectionnez cette option pour autoriser l'ingestion régulière de données depuis Security Command Center.
   Intervalle(en secondes)	Intervalle de temps entre les mises à jour des données de Security Command Center
   Collecte ponctuelle de données	Sélectionnez cette option pour autoriser l'ingestion de données depuis Security Command Center. La collecte ponctuelle de données n'est pas compatible avec les journaux d'audit.
   Heure de début de la collecte	Date de début de l'ingestion de données depuis Security Command Center

   Ne sélectionnez pas Actif tant que vous n'avez pas terminé les étapes restantes de cette section.

4. Pour ajouter des résultats, procédez comme suit :

   1. Dans l'onglet Résultats, sélectionnez Activé. Lorsque vous activez les résultats, vous activez également les composants et les sources automatiquement.

   2. Saisissez les informations suivantes :

   Champ	Description
   Findings Subscription Id (ID d'abonnement des résultats)	Nom de l'abonnement Pub/Sub pour les résultats (pour les collectes de données récurrentes)
   Nom du résultat Google SCC	Nom du champ d'incident à renseigner avec le nom de la découverte (par exemple, "Description")
   État des résultats Google SCC	Nom du champ d'incident à renseigner avec l'état de la découverte (par exemple, "Description")
   Indicateur de résultat Google SCC	Nom du champ d'incident à renseigner avec l'indicateur de résultat (par exemple, "Description")
   Nom de ressource de résultat Google SCC	Nom du champ d'incident à renseigner avec le nom de ressource du problème (par exemple, "Description")
   URI externe de la constatation Google SCC	Nom du champ d'incident à renseigner avec l'URL pointant vers une page Web externe contenant plus d'informations sur le résultat, le cas échéant.
   Appliquer les filtres	Disponible pour la collecte de données ponctuelles. Sélectionnez cette option pour spécifier les projets, l'état, la gravité ou les catégories à inclure.
   Nom du projet	Nom du projet à partir duquel récupérer les résultats lorsque l'option Appliquer les filtres est sélectionnée
   État	Si les résultats sont actifs ou inactifs, lorsque l'option Appliquer les filtres est sélectionnée
   Gravité	Le niveau de gravité des résultats lorsque l'option Appliquer les filtres est sélectionnée
   Catégorie	Catégorie à partir de laquelle vous souhaitez récupérer les résultats lorsque l'option Appliquer des filtres est sélectionnée

5. Pour ajouter des composants, procédez comme suit :

   1. Dans l'onglet Composants, sélectionnez Activé.

   2. Dans le champ ID d'abonnement des éléments, saisissez le nom de l'abonnement Pub/Sub pour les éléments (pour les collectes de données récurrentes).

6. Pour ajouter des sources de sécurité, sélectionnez Activé dans l'onglet Sources.

7. Pour ajouter des journaux d'audit, procédez comme suit :

   1. Dans l'onglet Journaux d'audit, sélectionnez Activé.

   2. Dans le champ Audit Logs Subscription Id (ID d'abonnement des journaux d'audit), pour les collectes de données récurrentes, saisissez le nom de l'abonnement Pub/Sub pour les journaux d'audit.

8. Cliquez sur Envoyer.

9. Si le message indiquant que la configuration est inactive s'affiche, cliquez sur OK. Vous activez la configuration dans Activer la configuration d'ingestion.

10. Sur la page des tâches, dans Configuration de l'ingestion, cliquez sur Marquer comme terminé.

Définir les critères de création d'incidents

Pour créer des incidents à partir de résultats, procédez comme suit :

1. Sur la page des tâches, dans Critères de création d'incidents (pour Google SCC pour ITSM) ou Critères de création d'incidents de sécurité (pour Google SCC pour SIR), cliquez sur Configurer.

2. Cliquez sur le nom de la configuration d'incident que vous avez créée.

3. Sur la page Configuration de l'ingestion, cliquez sur l'onglet Liste des critères de création d'incidents (pour Google SCC pour ITSM) ou Critères de création d'incidents de sécurité (pour Google SCC pour SIR).

4. Cliquez sur New (Nouveau).

5. Saisissez les informations suivantes :

   • Condition : condition dynamique dans laquelle un incident est créé, en fonction du champ. Par exemple, vous pouvez créer des incidents pour les résultats dont le champ Gravité est défini sur Élevée.

   • Ordre : ordre de cette condition par rapport aux autres conditions.

6. Cliquez sur Envoyer.

7. Répétez les étapes 4 à 6 pour chaque condition qui déclenche la création d'un incident.

8. Fermez la page Configuration de l'ingestion.

9. Sur la page des tâches, dans Critères de création d'incidents (pour Google SCC pour ITSM) ou Critères de création d'incidents de sécurité (pour Google SCC pour SIR), cliquez sur Marquer comme terminé.

Définir les critères du groupe d'attribution

Pour attribuer des incidents à un groupe, procédez comme suit :

1. Sur la page des tâches, dans Critères du groupe d'attribution, cliquez sur Configurer.

2. Cliquez sur le nom de la configuration d'incident que vous avez créée.

3. Sur la page Configuration de l'ingestion, cliquez sur l'onglet Liste des critères du groupe d'attribution.

4. Cliquez sur New (Nouveau).

5. Saisissez les informations suivantes :

   • Groupe d'attribution : groupe auquel les incidents seront attribués.

   • Condition : condition dynamique qui déclenche l'attribution de l'incident, en fonction d'un champ spécifié. Par exemple, vous pouvez attribuer des incidents pour les résultats dont le champ Classe de résultats est défini sur Erreur de configuration.

   • Ordre : ordre de cette condition par rapport aux autres conditions.

6. Cliquez sur Envoyer.

7. Répétez les étapes 4 à 6 pour chaque groupe auquel vous souhaitez attribuer des incidents.

8. Fermez la page Configuration de l'ingestion.

9. Sur la page des tâches, dans Critères du groupe de devoirs, cliquez sur Marquer comme terminé.

Activer la configuration d'ingestion

1. Sur la page des tâches, dans Activer la configuration d'ingestion, cliquez sur Configurer.

2. Cliquez sur le nom de la configuration d'incident que vous avez créée.

3. Sélectionnez Actif.

4. Pour commencer à collecter des données, cliquez sur Collecter des données.

5. Cliquez sur Mettre à jour.

6. Sur la page des tâches, dans Activer la configuration de l'ingestion, cliquez sur Marquer comme terminée.

Vérifier la récupération des données

Pour vérifier que ServiceNow récupère les données de Security Command Center, procédez comme suit.

Pour effectuer cette tâche, vous devez être un administrateur système ServiceNow.

1. Dans la console ServiceNow, cliquez sur l'onglet All (Tous).

2. Recherchez Google SCC ITSM ou Google SCC SIR, puis cliquez sur Ingestion Configuration (Configuration de l'ingestion).

3. Vérifiez l'état pour vous assurer que l'application collecte des données.

4. Recherchez Google SCC ITSM ou Google SCC SIR, puis cliquez sur l'un des éléments suivants : Assets (Composants), Findings (Résultats), Sources (Sources) ou Audit Logs (Journaux d'audit). Vérifiez que l'application ajoute des enregistrements pour chaque type de données activé. Si vous avez configuré la création automatique d'incidents dans la configuration des résultats, vérifiez que ServiceNow crée des incidents liés à chaque résultat correspondant aux critères spécifiés.

Afficher les tableaux de bord

L'application Google SCC ITSM vous permet de visualiser les données de Security Command Center. Elle comprend cinq tableaux de bord : Présentation, Sources, Résultats, Éléments et Journaux d'audit.

Vous pouvez accéder à ces tableaux de bord dans la console ServiceNow à partir de la page All > Google SCC ITSM > Dashboards (Tous > Google SCC ITSM > Tableaux de bord) ou All > Google SCC SIR > Dashboards (Tous > Google SCC SIR > Tableaux de bord).

Tableau de bord Overview (Vue d'ensemble)

Le tableau de bord Overview (Vue d'ensemble) contient une série de graphiques qui affichent le nombre total de résultats dans votre organisation par niveau de gravité, catégorie et état. Security Command Center compile les résultats des services intégrés, tels que Security Health Analytics, Web Security Scanner, Event Threat Detection et Container Threat Detection, ainsi que de tous les services intégrés que vous activez.

Pour filtrer le contenu, vous pouvez définir la période et l'ID de l'organisation.

D'autres graphiques indiquent les catégories, les projets et les éléments qui génèrent le plus de résultats.

Remarque : Vous devez être un client Security Command Center Premium pour recevoir les résultats de certains services Security Command Center, tels qu'Event Threat Detection et Container Threat Detection.

Tableau de bord Assets (Éléments)

Le tableau de bord Assets (Éléments) affiche un graphique des éléments Google Cloud , classés par type d'élément.

Vous pouvez filtrer les données d'éléments par ID d'organisation.

Tableau de bord Audit logs (Journaux d'audit)

Le tableau de bord Journaux d'audit affiche une série de graphiques et de tableaux présentant les informations des journaux d'audit. Le tableau de bord inclut les journaux d'audit des activités d'administration, des accès aux données, des événements système et des refus de règles. Le tableau indique l'horodatage, le nom du journal, la gravité, le nom du service, ainsi que le nom et le type de la ressource.

Vous pouvez filtrer les données par période et par ID d'organisation.

Tableau de bord Findings (Résultats)

Le tableau de bord Findings (Résultats) inclut un tableau des 1 000 résultats les plus récents. Les colonnes du tableau spécifient des éléments tels que la catégorie, le nom de l'élément, le nom de la source, les marques de sécurité, la classe de résultat et la gravité.

Vous pouvez filtrer les données par période, ID d'organisation, gravité, état ou classe de résultat. Si vous configurez la création automatique d'incidents, le tableau de bord inclut un lien vers l'incident.

Tableau de bord Sources

Le tableau de bord Sources affiche un tableau de toutes vos sources de sécurité. Les colonnes de la table incluent le nom, le nom à afficher et la description.

Pour filtrer le contenu, vous pouvez définir l'ID de l'organisation.

Créer un incident manuellement

1. Connectez-vous à la console ServiceNow en tant qu'administrateur Google SCC ITSM ou Google SCC SIR.

2. Dans l'onglet Tous, recherchez Google SCC ITSM ou Google SCC SIR, puis cliquez sur Résultats.

3. Cliquez sur le résultat pour lequel vous souhaitez créer un incident.

4. Sur la page des résultats, pour Google SCC ITSM, cliquez sur Créer un incident et pour Google SCC SIR, cliquez sur Créer un incident de sécurité.

Ignorer ou réactiver les résultats

L'application Google SCC SIR permet de couper et de réactiver le son des résultats.

Rôle requis : x_goog_scc_sir.Google_SCC_SIR_Admin ou x_goog_scc_sir.Google_SCC_SIR_User

Pour désactiver ou réactiver les résultats, procédez comme suit :

1. Connectez-vous à l'instance ServiceNow.
2. Accédez à Google SCC SIR > Résultats.
3. Ouvrez un résultat pour modifier son état de blocage.
   • Si l'état de blocage du résultat est Non défini ou Réactivé, le bouton Ignorer le résultat est visible.
   • Si l'état d'un résultat est Ignoré, le bouton Réactiver le résultat est visible.
4. Cliquez sur Ignorer le résultat ou Réactiver le résultat. Une boîte de dialogue s'affiche.
5. Saisissez une description pour masquer ou afficher le résultat.
   • Si vous sélectionnez plusieurs résultats dans la vue Liste, la description s'applique à tous les résultats sélectionnés.
6. Cliquez sur OK. L'état de masquage du résultat change dans Security Command Center.
   • La description est visible dans les indicateurs de sécurité du résultat dans la consoleGoogle Cloud et inclut le nom d'utilisateur ServiceNow.
   • Si l'état de désactivation est modifié dans Security Command Center, le nouvel état est reflété dans ServiceNow après la prochaine collecte de données.

Créer une règle Ignorer

L'application Google SCC SIR vous permet de créer des règles de blocage. Si vous créez une règle Ignorer dans ServiceNow, les futurs résultats correspondant aux critères sont ignorés. Si vous supprimez la règle dans ServiceNow, elle est également supprimée dans Security Command Center.

Rôle requis : x_goog_scc_sir.Google_SCC_SIR_Admin ou x_goog_scc_sir.Google_SCC_SIR_User

Pour créer une règle Ignorer, procédez comme suit :

1. Connectez-vous à l'instance ServiceNow.
2. Accédez à Google SCC SIR > Mute Rule.
3. Cliquez sur New (Nouveau).

4. Configurez les champs suivants :

   • Nom : nom de la règle Ignorer. Lorsque vous envoyez la règle de mise en sourdine, le nom est précédé de servicenow-USER_NAME, où USER_NAME correspond au nom d'utilisateur de la personne qui a créé la règle.

   • Description : description de la règle Ignorer.

   • Configuration de l'authentification : sélectionnez une configuration de l'authentification pour vous connecter à Security Command Center.

   • Requête : saisissez une requête de filtre pour la règle de mise en sourdine.

   • Type : sélectionnez l'une des options suivantes :

     • Statique : bloque uniquement les futurs résultats.
     • Dynamique : ignore les résultats existants et futurs.

5. Cliquez sur Créer une règle Ignorer. Un message informatif et une entrée du journal d'application sont créés en fonction de la réponse (réussite ou échec).

Créer manuellement une règle de recherche de CI

L'application Google SCC SIR vous permet de créer manuellement des règles de recherche d'éléments de configuration (CI).

Rôle requis : x_goog_scc_sir.Google_SCC_SIR_Admin

Pour créer une règle de recherche de CI, procédez comme suit :

1. Connectez-vous à l'instance ServiceNow.
2. Accédez à Google SCC SIR > CI Lookup Rules.
3. Cliquez sur New (Nouveau).
4. Renseignez les champs Name (Nom) et Order (Ordre).
5. Cochez la case Active.
6. Pour Méthode de recherche, sélectionnez Correspondance des champs ou Script.
7. Dans Champ source, saisissez le champ des données de résultats à utiliser comme entrée.
8. Dans les champs Champ de recherche et Table de recherche, saisissez les valeurs à utiliser pour la recherche.
9. Dans Description, saisissez une description pour la règle.
10. Définissez les détails de la règle :
    • Pour les règles de correspondance des champs, spécifiez la table et le champ dans lesquels effectuer la recherche dans la base de données de gestion de configuration (CMDB). Le champ doit être une chaîne ou un nombre.
    • Pour les règles de script, implémentez le script à l'aide des commentaires du modèle. Le script doit renvoyer l'ID système (sys_id) de l'élément de configuration correspondant.
11. Cliquez sur Envoyer.

Afficher le journal des actions

L'application Google SCC SIR fournit un journal d'actions qui enregistre les actions des utilisateurs liées au blocage ou au déblocage des résultats, ainsi qu'aux mises à jour des règles de blocage.

Rôle requis : x_goog_scc_sir.Google_SCC_SIR_Admin

Pour afficher le journal des actions, procédez comme suit :

1. Accédez à Google SCC SIR > Journal des actions. Le journal affiche les informations suivantes :
   • Action : action effectuée (par exemple, créer, modifier ou supprimer une règle Ignorer, ou ignorer ou réactiver des résultats)
   • Utilisateur : nom d'utilisateur de la personne ayant effectué l'action
   • Enregistrement : référence à l'enregistrement concerné
   • Date : date et heure de l'action

Modifier l'état d'un résultat

Vous pouvez modifier l'état d'un résultat (actif ou inactif).

1. Dans la console ServiceNow, dans l'onglet Tous, recherchez Google SCC ITSM ou Google SCC SIR, puis cliquez sur Résultats.

2. Cliquez sur le résultat dont vous souhaitez modifier l'état.

3. Sur la page des résultats, cliquez sur Résultat actif ou Résultat inactif.

4. Cliquez sur OK.

Désinstaller les applications

Pour effectuer cette tâche, vous devez être un administrateur système ServiceNow.

1. Dans l'onglet All (Tous) de la console ServiceNow, recherchez System Applications (Applications système), puis cliquez sur All Available Applications > All (Toutes les applications disponibles > Toutes).

2. Sélectionnez Installé.

3. Sélectionnez Google SCC ITSM ou Google SCC SIR, puis cliquez sur Uninstall (Désinstaller).

Afficher les journaux d'application

Pour afficher les journaux de l'application, procédez comme suit :

1. Connectez-vous à la console ServiceNow en tant qu'administrateur Google SCC ITSM ou Google SCC SIR.

2. Dans l'onglet Tous, recherchez Google SCC ITSM ou Google SCC SIR, puis cliquez sur Administration > Journaux d'application.

Dépannage

Cette section explique comment résoudre les problèmes courants que vous pouvez rencontrer lors de la configuration ou de l'utilisation de l'intégration ServiceNow.

L'application ne parvient pas à se reconnecter après trois tentatives

Si l'appel de l'API Findings renvoie un code d'état HTTP 429 ou 5xx, l'application réessaie trois fois, en attendant 60 secondes entre chaque tentative. Si la troisième tentative échoue, le processus échoue. Pour modifier le délai de réponse, procédez comme suit :

1. Connectez-vous à la console ServiceNow en tant qu'administrateur Google SCC ITSM ou Google SCC SIR. Pour en savoir plus sur ces comptes, consultez Créer des utilisateurs pour l'application.

2. Dans l'onglet All (Tous), recherchez Google SCC ITSM ou Google SCC SIR, puis cliquez sur System Properties (Propriétés du système).

3. Définissez le champ Nombre maximal de tentatives en cas de réponse non valide de Google SCC (en nombre) sur un nombre supérieur à 3.

4. Cliquez sur Enregistrer.

La pièce jointe n'est pas acceptée

1. Connectez-vous à la console ServiceNow en tant qu'administrateur système.

2. Dans l'onglet Tous, recherchez Applications système, puis cliquez sur Sécurité.

3. Sur la page Propriétés du système de sécurité, vérifiez que le champ Liste des extensions de fichier (séparées par une virgule) pouvant être jointes aux documents via la boîte de dialogue de pièces jointes inclut l'extension que vous souhaitez joindre sans point au début (par exemple, xlsx,docx). Si le champ est vide, toutes les extensions sont autorisées.

Impossible d'ajouter plus de 250 notes ou activités à un incident

1. Connectez-vous à la console ServiceNow en tant qu'administrateur système.

2. Dans la barre de navigation, recherchez sys_properties.list.

3. Dans la fenêtre Propriétés système, créez un filtre Nom est glide.history.max_entries.

4. Cliquez sur Exécuter.

5. Dans la fenêtre de propriétés, définissez Value (Valeur) sur un nombre supérieur à 250.

6. Cliquez sur Mettre à jour.

Impossible de créer un nouvel utilisateur

Si vous utilisez la version Rome, consultez Créer un utilisateur pour obtenir des instructions.

Impossible de récupérer les données

Ce problème peut se produire lors de la récupération des résultats, des composants, des sources ou des journaux d'audit si le message "Démarrage de l'ingestion de données pour le profil : PROFILE_NAME" s'affiche.

1. Connectez-vous à la console ServiceNow en tant qu'administrateur Google SCC ITSM ou Google SCC SIR.

2. Dans l'onglet Tous, recherchez Google SCC ITSM ou Google SCC SIR, puis cliquez sur Administration > Propriétés système.

3. Vérifiez que les champs suivants ne sont pas vides :

   • Nombre maximal de nouvelles tentatives en cas de réponse non valide de Google SCC (en chiffres)

   • Délai d'attente avant d'envoyer une autre requête après avoir atteint la limite de requêtes (en millisecondes)

4. Si les champs sont vides, définissez les valeurs comme suit :

   • Définissez le champ Nombre maximal de nouvelles tentatives pour une réponse non valide de Google SCC (en nombre) sur 3.

   • Définissez Délai d'attente avant d'envoyer une autre requête après avoir atteint la limite de requêtes (en millisecondes) sur 60000.

5. Cliquez sur Enregistrer.

Impossible d'installer l'application depuis le ServiceNow Store

1. Vérifiez que vous êtes connecté en tant qu'administrateur système ServiceNow.

2. Dans l'onglet Tous, recherchez Applications système, puis cliquez sur Toutes les applications disponibles > Toutes.

3. Vérifiez si l'application apparaît dans l'onglet Installées.

Message ECC Queue Timeout Error dans les journaux d'application

Rôle requis : admin

Prérequis :

• Vous devez être connecté en tant qu'administrateur système.
• Vous devez vous trouver dans le champ d'application Global de ServiceNow.

Pour résoudre ce problème, procédez comme suit :

1. Définissez le champ d'application de l'application sur Global.
2. Accédez au tableau Propriété système en saisissant sys_properties.list dans le filtre de navigation.
3. Cliquez sur New (Nouveau) pour créer une propriété système.
4. Saisissez les valeurs suivantes :
   • Nom : com.glide.ecc.agent_response_timeout
   • Valeur : 3600 (ou plus si nécessaire)
   • Type : integer
5. Cliquez sur Envoyer.

Message Maximum execution time exceeded sur les widgets du tableau de bord

Si ce message s'affiche dans les widgets du tableau de bord, vous devrez peut-être augmenter le quota de transactions. Pour en savoir plus, consultez l'article de la base de connaissances ServiceNow Widget cancelled - Maximum execution time exceeded (Widget annulé : délai d'exécution maximal dépassé). L'authentification ServiceNow est requise.

Impossible de collecter les données

Si vous rencontrez des erreurs lors de la collecte de données, vérifiez les propriétés du système.

Rôle requis : x_goog_scc_sir.Google_SCC_SIR_Admin

1. Connectez-vous à l'instance ServiceNow.
2. Accédez à Google SCC SIR > Propriétés système.
3. Vérifiez que les champs suivants ne sont pas vides :
   • Nombre maximal de nouvelles tentatives en cas de réponse non valide de Google SCC (en chiffres)
   • Délai d'attente avant d'envoyer une autre requête après avoir atteint la limite de requêtes (en millisecondes)
4. Si les champs sont vides, définissez les valeurs comme suit :
   • Définissez Nombre maximal de nouvelles tentatives… sur 3.
   • Définissez Délai d'attente… sur 60000.
5. Cliquez sur Enregistrer.

Étapes suivantes

• Découvrez comment configurer des notifications de résultats dans Security Command Center.

• Découvrez comment filtrer les notifications de résultats dans Security Command Center.