שליחת נתונים מ-Security Command Center אל ServiceNow

במאמר הזה מוסבר איך לשלוח באופן אוטומטי נתונים מ-Security Command Center אל ServiceNow, ומופיעות בו הוראות לניהול הנתונים המיוצאים. אפשר לייצא את סוגי הנתונים הבאים:

‫ServiceNow מספקת תמיכה טכנית בניהול, כולל פונקציונליות של מוקד תמיכה. מערכת הניהול שלה עוזרת להפוך לאוטומטיים תהליכים ואירועים אינטנסיביים של IT באמצעות תהליכי עבודה דיגיטליים ופורטלים לשירות עובדים.

גרסאות נתמכות

אתם יכולים לשלוח מידע מ-Security Command Center אל ServiceNow IT Service Management‏ (ITSM) או אל ServiceNow Security Incident Response‏ (SIR).

‫Security Command Center תומך בשילובים עם הגרסאות הבאות של ServiceNow:

  • אוסטרליה
  • ציריך
  • Yokohama

אם אתם משתמשים בגרסה מוקדמת יותר (כמו Rome,‏ San Diego או Tokyo), מומלץ לעבור לגרסה העדכנית הנתמכת.

כדי להתחיל להשתמש ב-ServiceNow, אפשר לעיין בדף יצירת הקשר של ServiceNow.

מגבלות

בקטע הזה מתוארות המגבלות של השילוב הזה.

  • אפשר לאחזר עד 1,000 נכסים, ממצאים, מקורות או יומני ביקורת בכל קריאה ל-API.
  • אם התשובה לקריאה ל-API של Findings היא 429 או 5xx, האפליקציה מנסה שוב אחרי 60 שניות, עד 3 פעמים. אם הפעולה עדיין נכשלת, התהליך נכשל. כדי לשנות את זמן התגובה, אפשר לעיין במאמר האפליקציה לא מצליחה להתחבר מחדש אחרי שלושה ניסיונות.

לפני שמתחילים

לפני שמבצעים שילוב עם ServiceNow, צריך להשלים את שלבי ההגדרה שמפורטים בקטע הבא. Google Cloud כדי לבצע חלק מהמשימות במדריך הזה, כמו השלבים ליצירת משתמשים, אתם צריכים להיות אדמינים של מערכת ServiceNow.

הגדרה שלGoogle Cloud

כדי להתחבר ל-ServiceNow, צריך ליצור חשבון שירות בניהול הזהויות והרשאות הגישה (IAM) ולהקצות לחשבון את תפקידי ה-IAM ברמת הארגון וברמת הפרויקט שנדרשים לאפליקציית Google SCC SIR או לאפליקציית Google SCC ITSM.

מידע נוסף על התפקידים האלה מופיע במאמר יצירה של חשבון שירות והענקת תפקידי IAM.

יצירה של חשבון שירות והקצאת תפקידי IAM

השלבים הבאים מתייחסים למסוף Google Cloud . שיטות אחרות מפורטות בקישורים בסוף הקטע הזה.

צריך לבצע את השלבים האלה לכל Google Cloud ארגון שרוצים לייבא ממנו נתונים של Security Command Center.

  1. באותו פרויקט שבו אתם יוצרים את נושאי Pub/Sub, משתמשים בדף Service Accounts במסוף Google Cloud כדי ליצור חשבון שירות. הוראות מפורטות זמינות במאמר יצירה וניהול של חשבונות שירות.

  2. מקצים לחשבון השירות את התפקיד הבא:

    • עורך Pub/Sub (roles/pubsub.editor)

  3. מעתיקים את השם של חשבון השירות שיצרתם.

  4. משתמשים בכלי לבחירת פרויקטים במסוף Google Cloud כדי לעבור לרמת הארגון.

  5. פותחים את הדף IAM של הארגון:

    כניסה לדף IAM

  6. בדף IAM, לוחצים על Grant access (מתן גישה). תיפתח החלונית למתן גישה.

  7. בחלונית Grant access (הענקת גישה), מבצעים את הפעולות הבאות:

    1. בקטע Add principals, בשדה New principals, מדביקים את השם של חשבון השירות.

    2. בקטע Assign roles, משתמשים בשדה Role כדי להעניק לחשבון השירות את התפקידים הבאים ב-IAM:

    3. עריכה של אדמין במרכז האבטחה (roles/securitycenter.adminEditor)
    4. הכלי לעריכת הגדרות ההתראות במרכז האבטחה (roles/securitycenter.notificationConfigEditor)
    5. צפייה בארגון (roles/resourcemanager.organizationViewer)
    6. צפייה במאגר משאבי הענן (roles/cloudasset.viewer)

    7. לוחצים על Save. חשבון השירות מופיע בכרטיסייה הרשאות בדף IAM בקטע תצוגה לפי חשבונות משתמשים.

      באמצעות ירושה, חשבון השירות הופך גם לחשבון משתמש בכל פרויקטי הצאצא של הארגון. התפקידים שרלוונטיים ברמת הפרויקט מופיעים כ'תפקידים שעברו בירושה'.

מידע נוסף על יצירת חשבונות שירות והענקת תפקידים זמין במאמרים הבאים:

מספקים את פרטי הכניסה ל-ServiceNow

כדי לספק ל-ServiceNow פרטי כניסה ל-IAM, יוצרים מפתח לחשבון שירות. כדי להשלים את המדריך הזה, צריך את המפתח של חשבון השירות בפורמט JSON.

אם אתם משתמשים בכמה ארגונים של Google Cloud , אתם צריכים להוסיף את חשבון השירות הזה לארגונים האחרים ולהקצות לו את תפקידי ה-IAM הנדרשים, כמו שמתואר בקטע הקודם יצירת חשבון שירות והקצאת תפקידי IAM.

הגדרת התראות

מבצעים את השלבים האלה לכל Google Cloud ארגון שרוצים לייבא ממנו נתונים של Security Command Center.

  1. כדי להגדיר התראות על מציאת מכשיר:

    1. מפעילים את Security Command Center API.
    2. יוצרים מסנן כדי לייצא ממצאים ונכסים.

  2. מפעילים את Cloud Asset API בפרויקט.

  3. יוצרים פידים לנכסים. יוצרים שני פידים באותו נושא Pub/Sub: אחד למשאבים ואחד למדיניות IAM.

    • משתמשים בנושא Pub/Sub אחר לנכסים מהנושא שבו משתמשים לממצאים.

    • כדי לסנן את הפיד של המשאבים, משתמשים במסנן הבא:

      content-type=resource

    • כדי לסנן את הפיד של מדיניות IAM, משתמשים במסנן הבא:

      content-type=iam-policy --asset-types="cloudresourcemanager.googleapis.com/Project"

  4. יוצרים מאגר יעד ליומני הביקורת. השילוב הזה משתמש בנושא Pub/Sub כיעד.

כדי להגדיר את ServiceNow, צריך את מזהי הארגון ואת השמות של המינויים ל-Pub/Sub.

הגדרת ServiceNow

בקטע הזה מוסבר איך להתקין את האפליקציה, ליצור משתמשים, להגדיר קישוריות ולהגדיר את ServiceNow לאחזור נתונים מ-Security Command Center.

התקנת אפליקציית ServiceNow

כדי להשלים את המשימה הזו, צריך להיות אדמין במערכת ServiceNow.

  1. עוברים אל חנות ServiceNow ומחפשים אחת מהאפליקציות הבאות:

    • אם אתם מפעילים את ServiceNow ITSM, חפשו את Google SCC ITSM.

    • אם אתם מפעילים את ServiceNow SIR, חפשו את Google SCC SIR.

  2. לוחצים על האפליקציה ואז על הורדה.

  3. מזינים את פרטי הכניסה למזהה ServiceNow וממשיכים בתהליך האימות.

  4. בכרטיסייה All במסוף ServiceNow, מחפשים את System Applications ולוחצים על All Available Applications > All.

  5. בוחרים באפשרות לא הותקנה. במסוף מוצגת רשימה של אפליקציות.

  6. בוחרים באפליקציה Google SCC ITSM או Google SCC SIR ולוחצים על Install (התקנה).

יצירת משתמשים לאפליקציה

יוצרים שני משתמשים באפליקציית Google SCC ITSM או Google SCC SIR ומקצים להם את התפקידים המתאימים.

כדי להשלים את המשימה הזו, צריך להיות אדמין במערכת ServiceNow.

יצירת חשבונות משתמשים

  1. במסוף ServiceNow, מחפשים את Organization.

  2. לוחצים על ארגון > משתמשים.

  3. לוחצים על חדש.

  4. מזינים את הפרטים של חשבון האדמין באפליקציית Google SCC ITSM או באפליקציית Google SCC SIR. לדוגמה, בשדה User ID מזינים google_scc_itsm_admin עבור Google SCC ITSM או google_scc_sir_admin עבור Google SCC SIR.

  5. לוחצים על שליחה.

  6. כדי ליצור חשבון משתמש לאפליקציית Google SCC ITSM או לאפליקציית Google SCC SIR, חוזרים על השלבים שבקטע יצירת חשבונות משתמשים. לדוגמה, בשדה User ID (מזהה משתמש), מזינים google_scc_itsm_user עבור Google SCC ITSM או google_scc_sir_user עבור Google SCC SIR.

הקצאת תפקידים לחשבונות

  1. ברשימה משתמשים, לוחצים על השם של אחד מהחשבונות החדשים.

  2. בקטע תפקידים, לוחצים על עריכה.

  3. מוסיפים את התפקידים שרלוונטיים לחשבון:

    שם משתמשתפקידים
    אדמין ב-Google SCC ITSM‏ (google_scc_itsm_admin)
    • x_goog_scc_itsm.Google_SCC_ITSM_Admin
    • itil
    • itil_admin
    • personalize_dictionary
    • oauth_admin
    משתמש ITSM של Google SCC‏ (google_scc_itsm_user)
    • x_goog_scc_itsm.Google_SCC_ITSM_User
    • itil
    אדמין ב-Google SCC SIR‏ (google_scc_sir_admin)
    • x_goog_scc_sir.Google_SCC_SIR_Admin
    • sn_si.admin
    • oauth_admin
    משתמש Google SCC SIR‏ (google_scc_sir_user)
    • x_goog_scc_sir.Google_SCC_SIR_User
    • sn_si.analyst

  4. לוחצים על Save.

  5. כדי להקצות תפקידים לחשבון השני, חוזרים על שלבים 1 עד 4.

  6. כדי לאמת את הסיסמאות, צריך לצאת מהחשבון ולהיכנס אליו שוב עם החשבונות החדשים.

הגדרת אימות באמצעות Security Command Center

הגדרת קישוריות בין Security Command Center לבין ServiceNow. אם אתם תומכים בכמה ארגונים, צריך לבצע את השלבים האלה לכל ארגון.

כדי להשלים את המשימה הזו, צריך להיות אדמין במערכת ServiceNow.

הכנת האישור של Java KeyStore

  1. יוצרים אישור Java KeyStore מקובץ ה-JSON שמכיל את המפתח של חשבון השירות. הוראות מפורטות מופיעות במאמר יצירת אישור Java KeyStore.

  2. במסוף ServiceNow, בכרטיסייה All (הכול), מחפשים את Google SCC ITSM או את Google SCC SIR ולוחצים על Guided Setup (הגדרה מודרכת).

  3. לוחצים על Get Started.

  4. בקטע הגדרת אימות, לוחצים על מתחילים.

יצירת אישור X.509

  1. בדף המשימות, בקטע Create X.509 Certificate, לוחצים על Configure.

  2. הזן את פריטי המידע הבאים:

    • שם: שם ייחודי לאישור הזה

    • פורמט: PEM

    • סוג: Java Key Store

  3. לוחצים על הסמל ניהול קבצים מצורפים ומוסיפים את אישור Java KeyStore (בפורמט .jks) שיצרתם בשלב הכנת אישור Java KeyStore.

  4. לוחצים על סמל הסגירה.

  5. לוחצים על שליחה.

  6. בדף המשימות, בקטע Create X.509 Certificate, לוחצים על Mark as Complete.

יצירת מפתח JWT

  1. בדף המשימות, בקטע Create JWT Key (יצירת מפתח JWT), לוחצים על Configure (הגדרה).

  2. הזן את פריטי המידע הבאים:

  3. לוחצים על שליחה.

  4. בדף המשימות, בקטע Create JWT Key (יצירת מפתח JWT), לוחצים על Mark as Complete (סימון שהמשימה בוצעה).

יצירת ספק JWT

  1. בדף המשימות, בקטע Create JWT Provider (יצירת ספק JWT), לוחצים על Configure (הגדרה).

  2. הזן את פריטי המידע הבאים:

    • ‫Name: שם ייחודי של הספק

    • Expiry Interval (sec): 60

    • הגדרת חתימה: שם מפתח ה-JWT שצוין בשלב יצירת מפתח ה-JWT

  3. לוחצים על שליחה.

  4. בדף המשימות, בקטע Create JWT Provider, לוחצים על Mark as Complete.

יצירת הגדרות אימות

  1. בדף המשימות, בקטע Create Authentication Configuration, לוחצים על Configure.

  2. הזן את פריטי המידע הבאים:

    • ‫Name: שם ייחודי להגדרה הזו

    • מזהה הארגון: המזהה של הארגון שלכם ב-Google Cloud

    • כתובת URL בסיסית: כתובת ה-URL של Security Command Center API, בדרך כלל https://securitycenter.googleapis.com

    • Client Email: כתובת האימייל של IAM credentials

    • ספק JWT: השם של ספק ה-JWT שצוין בקטע יצירת ספק JWT

  3. לוחצים על שליחה. מופיעה ההודעה האימות הצליח.

  4. סוגרים את החלון יצירת הגדרות אימות.

  5. בדף המשימות, בקטע יצירת הגדרת אימות, לוחצים על סימון כהשלמה.

הגדרת ניהול אירועים ב-Security Command Center

כדי להפעיל את איסוף הנתונים מ-Security Command Center, צריך לבצע את השלבים הבאים. כדי לתמוך בכמה ארגונים, צריך למלא את הקטע הזה לכל ארגון.

כדי להשלים את המשימה הזו, צריך להיות אדמין במערכת ServiceNow.

הגדרת כללי חיפוש של פריטי תצורה

  1. במסוף ServiceNow, בכרטיסייה All (הכול), מחפשים את Google SCC ITSM או את Google SCC SIR ולוחצים על Guided Setup (הגדרה מודרכת).

  2. לוחצים על Get Started.

  3. בקטע Incident Configuration (הגדרת אירועים), לוחצים על Get Started (תחילת העבודה).

  4. כדי לזהות פריטי הגדרה (כמו נכסים) שרוצים להוסיף לאירועים שנוצרו מממצאים של Security Command Center, משתמשים בכללי חיפוש של פריטי הגדרה (CI). מידע נוסף מופיע במאמר בנושא כללי חיפוש של CI.

    כך עושים את זה:

    1. בדף המשימות, בקטע CI Lookup Rule (כלל חיפוש של פריט תצורה), לוחצים על Configure (הגדרה).

    2. לוחצים על חדש.

    3. הזן את פריטי המידע הבאים:

      • שם: שם ייחודי לכלל החיפוש הזה

      • שיטת החיפוש: התאמת שדות או סקריפט

      • סדר: הסדר שבו האפליקציה מעריכה את הכלל הזה, ביחס לכללים אחרים

      • שדה המקור: השדה בנתוני הממצאים שמשמש כקלט לכלל הזה

      • חיפוש בטבלה: אם יש התאמה בשדה, הטבלה שבה נמצא השדה

      • חיפוש בשדה: אם מתבצעת התאמה בשדה, השדה שצריך להתאים לשדה המקור

      • סקריפט: אם משתמשים בסקריפט, מזינים את הסקריפט

      • פעיל: בוחרים באפשרות הזו כדי להפעיל את כלל החיפוש הזה

    4. לוחצים על שליחה.

    5. חוזרים על השלב הזה לגבי פריטי הגדרה נוספים, לפי הצורך.

    6. בדף המשימות, בקטע CI Lookup Rule, לוחצים על Mark as Complete.

יצירת הגדרות אישיות להעברה

  1. בדף המשימות, בקטע Ingestion Configuration (הגדרת ההעברה), לוחצים על Configure (הגדרה).

  2. לוחצים על חדש.

  3. הזן את פריטי המידע הבאים:

    שדה תיאור
    שם שם ייחודי לרשומה הזו
    הגדרות של Google SCC הגדרת האימות שיצרתם במאמר הגדרת אימות באמצעות Security Command Center. צריך הגדרת העברה אחת לכל אימות שהגדרתם.
    איסוף נתונים חוזר בחירה באפשרות לאפשר הטמעה רגילה של נתונים מ-Security Command Center
    אינטרוול(שניות) מרווח הזמן בין עדכוני נתונים מ-Security Command Center
    איסוף נתונים חד-פעמי בוחרים באפשרות לאפשר קליטת נתונים מ-Security Command Center. אי אפשר להשתמש ביומני ביקורת באיסוף נתונים חד-פעמי.
    שעת ההתחלה של האיסוף התאריך שבו מתחילים את הטמעת הנתונים מ-Security Command Center

    אל תבחרו באפשרות פעיל עד שתשלימו את השלבים הנותרים בקטע הזה.

  4. כדי להוסיף ממצאים:

    1. בכרטיסייה ממצאים, בוחרים באפשרות מופעל. כשמפעילים את התכונה 'ממצאים', מפעילים אוטומטית גם את התכונות 'נכסים' ו'מקורות'.

    2. הזן את פריטי המידע הבאים:

    שדה תיאור
    מזהה המינוי של הממצאים באיסוף נתונים חוזר, השם של המינוי ב-Pub/Sub לממצאים
    שם הממצא ב-Google SCC השם של שדה התקרית שאותו רוצים לאכלס בשם הממצא (לדוגמה, Description)
    Google SCC Finding State שם שדה האירוע שאותו רוצים לאכלס במצב הממצא (לדוגמה, Description)
    Google SCC Finding Indicator השם של שדה האירוע שאליו יאוכלס מחוון הממצאים (לדוגמה, Description)
    שם משאב של ממצא ב-Google SCC שם השדה של האירוע שאותו רוצים לאכלס בשם המשאב של הממצא (לדוגמה, Description)
    Google SCC Finding External URI שם השדה של האירוע שיוזן בו כתובת ה-URL שמפנה אל דף אינטרנט חיצוני עם מידע נוסף על הממצא, אם יש כזה.
    הפעלת מסננים אפשרות זמינה לאיסוף נתונים חד-פעמי. בוחרים באפשרות הזו כדי לציין אילו פרויקטים, מצבים, רמות חומרה או קטגוריות לכלול.
    שם הפרויקט שם הפרויקט שממנו יאוחזרו הממצאים כשבוחרים באפשרות Apply Filters
    מדינה האם הממצאים פעילים או לא פעילים, כשבוחרים באפשרות החלת מסננים
    רמת החומרה רמת החומרה של הממצאים, כשבוחרים באפשרות החלת מסננים
    קטגוריה הקטגוריה שממנה רוצים לאחזר ממצאים, כשבוחרים באפשרות החלת מסננים

  5. כדי להוסיף נכסים:

    1. בכרטיסייה נכסים, בוחרים באפשרות מופעל.

    2. בשדה Asset Subscription Id (מזהה מינוי לנכס), אם מדובר באיסוף נתונים חוזר, מזינים את שם המינוי של Pub/Sub לנכסים.

  6. כדי להוסיף מקורות אבטחה, בכרטיסייה מקורות בוחרים באפשרות מופעל.

  7. כדי להוסיף יומני ביקורת:

    1. בכרטיסייה יומני ביקורת, בוחרים באפשרות מופעל.

    2. בשדה Audit Logs Subscription Id, אם רוצים לאסוף נתונים באופן חוזר, מזינים את השם של מינוי Pub/Sub ליומני ביקורת.

  8. לוחצים על שליחה.

  9. אם מופיעה ההודעה שההגדרה לא פעילה, לוחצים על אישור. מפעילים את ההגדרות האישיות בקטע הפעלת ההגדרות האישיות של ההעברה.

  10. בדף המשימות, בקטע Ingestion Configuration (הגדרת ההעברה), לוחצים על Mark as Complete (סימון כהשלמה).

הגדרת קריטריונים ליצירת אירועים

כדי ליצור אירועים מממצאים, מבצעים את השלבים הבאים:

  1. בדף המשימות, בקטע Incident Creation Criteria (קריטריונים ליצירת אירועים) (ב-Google SCC for ITSM) או בקטע Security Incident Creation Criteria (קריטריונים ליצירת אירועי אבטחה) (ב-Google SCC for SIR), לוחצים על Configure (הגדרה).

  2. לוחצים על השם של הגדרת האירוע שיצרתם.

  3. בדף Ingestion Configuration (הגדרת הטמעה), לוחצים על הכרטיסייה Incident Creation Criteria List (רשימת קריטריונים ליצירת אירועים) (ב-Google SCC for ITSM) או על הכרטיסייה Security Incident Creation Criteria (קריטריונים ליצירת אירועים של אבטחה) (ב-Google SCC for SIR).

  4. לוחצים על חדש.

  5. הזן את פריטי המידע הבאים:

    • תנאי: התנאי הדינמי שעל פיו נוצר אירוע, על סמך שדה. לדוגמה, אפשר ליצור אירועים לממצאים שבהם השדה חומרה מוגדר כגבוהה.

    • סדר: הסדר של התנאי הזה ביחס לתנאים אחרים.

  6. לוחצים על שליחה.

  7. חוזרים על שלבים 4 עד 6 לכל תנאי שמפעיל יצירת אירוע.

  8. סוגרים את הדף Ingestion Configuration (הגדרת ההטמעה).

  9. בדף המשימות, בקטע Incident Creation Criteria (קריטריונים ליצירת אירוע) (ב-Google SCC for ITSM) או בקטע Security Incident Creation Criteria (קריטריונים ליצירת אירוע אבטחה) (ב-Google SCC for SIR), לוחצים על Mark as complete (סימון שהשיחה טופלה).

הגדרת קריטריונים לקבוצת הקצאות

כדי להקצות אירועים לקבוצה:

  1. בדף המשימות, בקטע קריטריונים של קבוצת מטלות, לוחצים על הגדרה.

  2. לוחצים על השם של הגדרת האירוע שיצרתם.

  3. בדף Ingestion Configuration, לוחצים על הכרטיסייה Assignment Group Criteria List.

  4. לוחצים על חדש.

  5. הזן את פריטי המידע הבאים:

    • קבוצת הקצאה: הקבוצה שהאירועים יוקצו לה.

    • תנאי: התנאי הדינמי שמפעיל את הקצאת האירוע, על סמך שדה שצוין. לדוגמה, אפשר להקצות אירועים לממצאים עם השדה Finding Class שמוגדר לערך Misconfiguration.

    • סדר: הסדר של התנאי הזה ביחס לתנאים אחרים.

  6. לוחצים על שליחה.

  7. חוזרים על שלבים 4 עד 6 לכל קבוצה שרוצים להקצות לה אירועים.

  8. סוגרים את הדף Ingestion Configuration (הגדרת ההטמעה).

  9. בדף המשימות, בקטע קריטריונים של קבוצת מטלות, לוחצים על סימון כהשלמה.

הפעלת הגדרות ההטמעה

  1. בדף המשימות, בקטע Activate Ingestion Configuration, לוחצים על Configure.

  2. לוחצים על השם של הגדרת האירוע שיצרתם.

  3. בוחרים באפשרות פעילים.

  4. כדי להתחיל לאסוף נתונים, לוחצים על איסוף נתונים.

  5. לוחצים על עדכון.

  6. בדף המשימות, בקטע Activate Ingestion Configuration (הפעלת הגדרת ההעברה), לוחצים על Mark as Complete (סימון כהשלמה).

אימות אחזור הנתונים

כדי לוודא ש-ServiceNow מאחזר נתונים מ-Security Command Center, צריך לבצע את השלבים הבאים.

כדי להשלים את המשימה הזו, צריך להיות אדמין במערכת ServiceNow.

  1. במסוף ServiceNow, לוחצים על הכרטיסייה All (הכול).

  2. מחפשים את Google SCC ITSM או את Google SCC SIR ולוחצים על Ingestion Configuration (הגדרת הטמעה).

  3. בודקים את המדינה כדי לוודא שהאפליקציה אוספת נתונים.

  4. מחפשים את Google SCC ITSM או את Google SCC SIR ולוחצים על אחת מהאפשרויות: Assets (נכסים), Findings (ממצאים), Sources (מקורות) או Audit Logs (יומני ביקורת). מוודאים שהאפליקציה מוסיפה רשומות לכל סוג נתונים שמופעל. אם הגדרתם יצירה אוטומטית של אירועים בהגדרות הממצאים, צריך לוודא ש-ServiceNow יוצרת אירועים שקשורים לכל ממצא שתואם לקריטריונים שציינתם.

הצגת מרכזי הבקרה

אפליקציית Google SCC ITSM מאפשרת לכם להציג את הנתונים מ-Security Command Center. הוא כולל חמישה מרכזי בקרה: סקירה כללית, מקורות, ממצאים, נכסים ויומני ביקורת.

אפשר לגשת ללוחות הבקרה האלה במסוף ServiceNow, מהדף All > Google SCC ITSM > Dashboards או מהדף All > Google SCC SIR > Dashboards.

לוח הבקרה של הסקירה הכללית

לוח הבקרה סקירה כללית מכיל סדרה של תרשימים שמציגים את המספר הכולל של הממצאים בארגון לפי רמת חומרה, קטגוריה ומצב. ב-Security Command Center מתבצעת קומפילציה של ממצאים משירותים מובנים, כמו Security Health Analytics, ‏ Web Security Scanner, ‏ Event Threat Detection ו-זיהוי איומים בקונטיינר, וגם משירותים משולבים שמופעלים.

כדי לסנן תוכן, אפשר להגדיר את טווח הזמן ואת מזהה הארגון.

בתרשימים נוספים מוצגות הקטגוריות, הפרויקטים והנכסים שמניבים הכי הרבה ממצאים.

לוח הבקרה של הנכסים

במרכז הבקרה נכסים מוצג תרשים של Google Cloud נכסים, שמסווגים לפי סוג הנכס.

אפשר לסנן את נתוני הנכסים לפי מזהה הארגון.

לוח הבקרה של יומני הביקורת

במרכז הבקרה יומני ביקורת מוצגים סדרה של תרשימים וטבלאות עם מידע מיומן הביקורת. מרכז הבקרה כולל יומני ביקורת של פעילות ניהול, גישה לנתונים, אירועים במערכת ודחיית מדיניות. הטבלה כוללת את השעה, שם היומן, רמת החומרה, שם השירות, שם המשאב וסוג המשאב.

אפשר לסנן את הנתונים לפי טווח זמן ומזהה ארגון.

מרכז הממצאים

לוח הבקרה Findings כולל טבלה של 1,000 הממצאים האחרונים. העמודות בטבלה כוללות פריטים כמו קטגוריה, שם הנכס, שם המקור, תגי אבטחה, סיווג הממצא וחומרה.

אפשר לסנן את הנתונים לפי טווח זמן, מזהה ארגון, חומרה, מצב או סוג הממצא. אם הגדרתם יצירה אוטומטית של אירועים, בלוח הבקרה יופיע קישור לאירוע.

לוח הבקרה 'מקורות'

בלוח הבקרה מקורות מוצגת טבלה של כל מקורות האבטחה. העמודות בטבלה כוללות שם, שם מוצג ותיאור.

כדי לסנן תוכן, אפשר להגדיר את מזהה הארגון.

יצירת אירוע באופן ידני

  1. נכנסים למסוף ServiceNow כאדמין של Google SCC ITSM או Google SCC SIR.

  2. בכרטיסייה All, מחפשים את Google SCC ITSM או את Google SCC SIR ולוחצים על Findings.

  3. לוחצים על הממצא שעבורו רוצים ליצור אירוע.

  4. בדף הממצאים, לוחצים על יצירת אירוע ב-Google SCC ITSM או על יצירת אירוע אבטחה ב-Google SCC SIR.

השתקה או ביטול ההשתקה של ממצאים

אפליקציית Google SCC SIR מספקת פונקציונליות של השתקה וביטול השתקה של ממצאים.

התפקיד הנדרש: x_goog_scc_sir.Google_SCC_SIR_Admin או x_goog_scc_sir.Google_SCC_SIR_User

כדי להשתיק או לבטל את ההשתקה של ממצאים:

  1. נכנסים למופע ServiceNow.
  2. עוברים אל Google SCC SIR > Findings.
  3. פותחים את הממצא כדי לשנות את סטטוס ההשתקה שלו.
    • אם מצב ההשתקה של הממצא הוא Undefined או Unmuted, הלחצן Mute Finding מוצג.
    • אם מצב ההשתקה של הממצא הוא Muted, הכפתור Unmute Finding מוצג.
  4. לוחצים על השתקת ממצא או על ביטול ההשתקה של ממצא. מופיעה תיבת דו-שיח.
  5. מזינים תיאור להשתקה או לביטול ההשתקה של הממצא.
    • אם בוחרים כמה ממצאים בתצוגת הרשימה, התיאור יחול על כל הממצאים שנבחרו.
  6. לוחצים על OK. סטטוס ההשתקה של הממצא משתנה ב-Security Command Center.
    • התיאור מוצג בסימני האבטחה של הממצא במסוףGoogle Cloud וכולל את שם המשתמש ב-ServiceNow.
    • אם משנים את מצב ההשתקה ב-Security Command Center, המצב החדש משתקף ב-ServiceNow אחרי איסוף הנתונים הבא.

יצירת כלל להשתקת ממצאים

אפליקציית Google SCC SIR מאפשרת ליצור כללי השתקה. אם יוצרים כלל להשתקת ממצאים ב-ServiceNow, ממצאים עתידיים שתואמים לקריטריונים מושתקים. אם מוחקים את הכלל ב-ServiceNow, הוא נמחק גם ב-Security Command Center.

התפקיד הנדרש: x_goog_scc_sir.Google_SCC_SIR_Admin או x_goog_scc_sir.Google_SCC_SIR_User

כדי ליצור כלל להשתקת מילים:

  1. נכנסים לחשבון ב-ServiceNow.
  2. עוברים אל Google SCC SIR > כלל השתקה.
  3. לוחצים על חדש.

  4. מגדירים את השדות הבאים:

    • שם: שם לכלל ההשתקה. כששולחים את כלל ההשתקה, השם מתחיל בקידומת servicenow-USER_NAME, כאשר USER_NAME הוא שם המשתמש של המשתמש שיצר את כלל ההשתקה.

    • תיאור: תיאור של כלל ההשתקה.

    • הגדרת אימות: בוחרים הגדרת אימות כדי להתחבר אל Security Command Center.

    • שאילתה: מזינים שאילתת סינון לכלל להשתקת ממצאים.

    • סוג: בוחרים אחת מהאפשרויות הבאות:

      • סטטי: השתקה של ממצאים עתידיים בלבד.
      • דינמי: השתקת הממצאים הקיימים והעתידיים.

  5. לוחצים על יצירת כלל להשתקה. נוצרת הודעת מידע ורשומה ביומן היישום על סמך התגובה (הצלחה או כשל).

יצירה ידנית של כלל חיפוש של פריט תצורה

אפליקציית Google SCC SIR מאפשרת ליצור כללי חיפוש של פריטי הגדרה (CI) באופן ידני.

התפקיד הנדרש: x_goog_scc_sir.Google_SCC_SIR_Admin

כדי ליצור כלל חיפוש של פריט CI, מבצעים את השלבים הבאים:

  1. נכנסים למופע ServiceNow.
  2. עוברים אל Google SCC SIR > CI Lookup Rules (כללי חיפוש של פריטי CI).
  3. לוחצים על חדש.
  4. ממלאים את השדות שם והזמנה.
  5. מסמנים את תיבת הסימון פעיל.
  6. בקטע שיטת חיפוש, בוחרים באפשרות התאמת שדות או סקריפט.
  7. בשדה Source Field (שדה מקור), מזינים את השדה בנתוני הממצאים שרוצים להשתמש בו כקלט.
  8. בשדות Search On Field ו-Search On Table, מזינים את הערכים שרוצים להשתמש בהם לחיפוש.
  9. בקטע תיאור, מזינים תיאור לכלל.
  10. מגדירים את פרטי הכלל:
    • בכללים להתאמת שדות, מציינים את הטבלה והשדה לחיפוש במסד הנתונים לניהול הגדרות (CMDB). השדה חייב להיות מחרוזת או מספר.
    • בכללי סקריפט, מטמיעים את הסקריפט באמצעות ההערות של התבנית. הסקריפט צריך להחזיר את מזהה המערכת (sys_id) של פריט ההגדרה התואם.
  11. לוחצים על שליחה.

צפייה ביומן הפעולות

אפליקציית SIR של Google SCC מספקת יומן פעולות שבו נרשמות פעולות של משתמשים שקשורות להשתקה או לביטול השתקה של ממצאים ולעדכונים של כללי השתקה.

התפקיד הנדרש: x_goog_scc_sir.Google_SCC_SIR_Admin

כדי לראות את יומן הפעולות, פועלים לפי השלבים הבאים:

  1. עוברים אל Google SCC SIR > Action Log (יומן פעולות). ביומן מוצגים הפרטים הבאים:
    • פעולה: הפעולה שבוצעה (לדוגמה, יצירה, עדכון או מחיקה של כלל להשתקת ממצאים, או השתקה או ביטול השתקה של ממצאים)
    • משתמש: שם המשתמש של האדם שביצע את הפעולה
    • רשומה: הפניה לרשומה המושפעת
    • תאריך: התאריך והשעה שבהם בוצעה הפעולה

שינוי המצב של ממצא

אתם יכולים לשנות את מצב הממצא מפעיל ללא פעיל או מלא פעיל לפעיל.

  1. במסוף ServiceNow, בכרטיסייה All (הכול), מחפשים את Google SCC ITSM או את Google SCC SIR ולוחצים על Findings (ממצאים).

  2. לוחצים על הממצא שרוצים לשנות את הסטטוס שלו.

  3. בדף הממצאים, לוחצים על ממצא פעיל או על ממצא לא פעיל.

  4. לוחצים על OK.

הסרת ההתקנה של האפליקציות

כדי להשלים את המשימה הזו, צריך להיות אדמין במערכת ServiceNow.

  1. בכרטיסייה All במסוף ServiceNow, מחפשים את System Applications ולוחצים על All Available Applications > All.

  2. בוחרים באפשרות מותקן.

  3. בוחרים באפשרות Google SCC ITSM או Google SCC SIR ולוחצים על הסרה.

צפייה ביומני האפליקציות

כדי להציג את היומנים של האפליקציה:

  1. נכנסים למסוף ServiceNow כאדמין של Google SCC ITSM או Google SCC SIR.

  2. בכרטיסייה All, מחפשים את Google SCC ITSM או Google SCC SIR ולוחצים על Administration > Application Logs.

פתרון בעיות

בקטע הזה מוסבר איך לפתור בעיות נפוצות שאתם עשויים להיתקל בהן כשאתם מגדירים את השילוב של ServiceNow או משתמשים בו.

האפליקציה לא מצליחה להתחבר מחדש אחרי שלושה ניסיונות

אם הקריאה ל-API של הממצאים מחזירה קוד סטטוס HTTP 429 או 5xx, האפליקציה מנסה שוב שלוש פעמים, עם המתנה של 60 שניות בין הניסיונות. אם הניסיון השלישי נכשל, התהליך נכשל. כדי לשנות את זמן התגובה, מבצעים את השלבים הבאים:

  1. נכנסים למסוף ServiceNow כאדמין של Google SCC ITSM או Google SCC SIR. מידע נוסף על החשבונות האלה זמין במאמר יצירת משתמשים לאפליקציה.

  2. בכרטיסייה All, מחפשים את Google SCC ITSM או את Google SCC SIR ולוחצים על System Properties.

  3. מגדירים בשדה Number of max retries for an invalid response from Google SCC (in numbers) (מספר הניסיונות החוזרים המקסימלי לתגובה לא תקפה מ-Google SCC (במספרים)) מספר שגדול מ-3.

  4. לוחצים על Save.

אין תמיכה בקובץ המצורף

  1. נכנסים למסוף ServiceNow כאדמינים של המערכת.

  2. בכרטיסייה All (הכול), מחפשים את System Applications (אפליקציות מערכת) ולוחצים על Security (אבטחה).

  3. בדף מאפיינים של מערכת האבטחה, מוודאים שהשדה רשימת סיומות הקבצים (מופרדות בפסיקים) שאפשר לצרף למסמכים באמצעות תיבת הדו-שיח של הקובץ המצורף כולל את הסיומת שרוצים לצרף בלי נקודה מובילה – לדוגמה, xlsx,docx. אם השדה ריק, כל התוספים מותרים.

אי אפשר להוסיף לאירוע יותר מ-250 הערות או פעילויות שקשורות לעבודה

  1. נכנסים למסוף ServiceNow כאדמינים של המערכת.

  2. בסרגל הניווט, מחפשים את sys_properties.list.

  3. בחלון System Properties (מאפייני המערכת), יוצרים מסנן Name is glide.history.max_entries (השם הוא glide.history.max_entries).

  4. לוחצים על Run.

  5. בחלון המאפיינים, מגדירים את הערך למספר שגדול מ-250.

  6. לוחצים על עדכון.

אי אפשר ליצור משתמש חדש

אם אתם משתמשים בגרסת Rome, אפשר לקרוא את ההוראות במאמר יצירת משתמש.

אי אפשר לאחזר נתונים

הבעיה הזו יכולה לקרות כשמאחזרים ממצאים, נכסים, מקורות או יומני ביקורת אם מופיעה ההודעה 'מתחילים בהעברת נתונים לפרופיל: PROFILE_NAME'.

  1. נכנסים למסוף ServiceNow כאדמין של Google SCC ITSM או Google SCC SIR.

  2. בכרטיסייה All, מחפשים את Google SCC ITSM או Google SCC SIR ולוחצים על Administration > System Properties.

  3. מוודאים שהשדות הבאים לא ריקים:

    • מספר הניסיונות החוזרים המקסימלי לתגובה לא תקינה מ-Google SCC (במספרים)

    • חלון הזמן להמתנה לפני שליחת בקשה נוספת אחרי שמגיעים למגבלת הבקשות (באלפיות שנייה)

  4. אם השדות ריקים, מגדירים את הערכים באופן הבא:

    • בשדה Number of max retries for an invalid response from Google SCC (in numbers) (מספר הניסיונות החוזרים המקסימלי לתגובה לא תקפה מ-Google SCC (במספרים)) מזינים את הערך 3.

    • מגדירים את חלון הזמן להמתנה לפני שליחת בקשה נוספת אחרי שמגיעים למגבלת הבקשות (באלפיות שנייה) לערך 60000.

  5. לוחצים על Save.

אי אפשר להתקין את האפליקציה מחנות ServiceNow

  1. מוודאים שאתם מחוברים כאדמין של מערכת ServiceNow.

  2. בכרטיסייה הכול, מחפשים את אפליקציות מערכת ולוחצים על כל האפליקציות הזמינות > הכול.

  3. בודקים אם האפליקציה מופיעה בכרטיסייה Installed (מותקנות).

הודעה ביומני האפליקציותECC Queue Timeout Error

התפקיד הנדרש: admin

דרישות מוקדמות:

  • צריך להיכנס לחשבון כאדמין.
  • אתם צריכים להיות בהיקף Global של ServiceNow.

כדי לפתור את הבעיה, מבצעים את השלבים הבאים:

  1. משנים את היקף האפליקציה לגלובלי.
  2. כדי לעבור לטבלה System Property (מאפיין מערכת), מזינים sys_properties.list במסנן הניווט.
  3. כדי ליצור מאפיין מערכת, לוחצים על New (חדש).
  4. מזינים את הערכים הבאים:
    • Name (שם): com.glide.ecc.agent_response_timeout
    • ערך: 3600 (או ערך גבוה יותר אם צריך)
    • סוג: integer
  5. לוחצים על שליחה.

הודעה Maximum execution time exceeded בווידג'טים של מרכז הבקרה

אם ההודעה הזו מופיעה בווידג'טים בלוח הבקרה, יכול להיות שצריך להגדיל את מכסת העסקאות. מידע נוסף זמין במאמר Widget cancelled - Maximum execution time exceeded (הווידג'ט בוטל – חלף הזמן המקסימלי לביצוע) במאגר הידע של ServiceNow (נדרש אימות ב-ServiceNow).

לא ניתן לאסוף נתונים

אם נתקלים בשגיאות במהלך איסוף הנתונים, צריך לאמת את מאפייני המערכת.

התפקיד הנדרש: x_goog_scc_sir.Google_SCC_SIR_Admin

  1. נכנסים למופע ServiceNow.
  2. עוברים אל Google SCC SIR > System Properties (מאפייני מערכת).
  3. מוודאים שהשדות הבאים לא ריקים:
    • מספר הניסיונות החוזרים המקסימלי לתגובה לא תקינה מ-Google SCC (במספרים)
    • חלון הזמן להמתנה לפני שליחת בקשה נוספת אחרי שמגיעים למגבלת הבקשות (באלפיות שנייה)
  4. אם השדות ריקים, מגדירים את הערכים באופן הבא:
    • מגדירים את מספר הניסיונות החוזרים המקסימלי... ל-3.
    • מגדירים את Time window to wait...‎ לערך 60000.
  5. לוחצים על Save.

המאמרים הבאים