Il connettore SCC Enterprise - Urgent Posture Findings inserisce tutti i risultati nei casi, ma potresti notare risultati specifici che sembrano irrilevanti per il tuo progetto o che indicano un comportamento previsto. In questo caso, il flusso di risultati trascurabili potrebbe complicare eccessivamente il carico di lavoro dell'analista della sicurezza e impedire agli analisti di rispondere in modo efficace alle vulnerabilità importanti. Anziché ricevere costantemente notifiche sui risultati irrilevanti esistenti in Security Command Center Enterprise, puoi disattivarli.
Quando disattivi i risultati per i casi, impedisci che vengano visualizzati nei casi. Puoi disattivare i risultati in blocco eseguendo un'azione manuale su un caso o disattivare un singolo risultato eseguendo un'azione manuale sull'avviso specifico.
Disattivare più risultati
Se disattivi tutti i risultati in un caso, Security Command Center chiude automaticamente il caso.
Per disattivare più risultati in un caso:
- Nella Google Cloud console, apri Rischio > Casi.
- Seleziona un caso contenente i risultati da disattivare.
- Nella scheda Panoramica del caso, fai clic su Azione manuale.
- Nel campo Cerca dell'azione manuale, inserisci
Update Finding. Nei risultati di ricerca dell'integrazione GoogleSecurityCommandCenter , seleziona l'azione Aggiorna risultato. Viene visualizzata la finestra di dialogo dell'azione.
Per impostazione predefinita, il parametro Esegui sugli avvisi è impostato sul valore Tutti gli avvisi.
(Facoltativo) Per modificare le impostazioni predefinite del parametro Esegui sugli avvisi, seleziona i tipi di risultati pertinenti dall'elenco a discesa.
Per configurare il parametro Nome risultato, inserisci il seguente segnaposto:
[Alert.TicketID]Il segnaposto recupera dinamicamente i nomi dei risultati che corrispondono agli avvisi selezionati.
Per disattivare i risultati, imposta il parametro Stato di disattivazione su Disattiva.
Fai clic su Execute (Esegui).
Disattivare un singolo risultato
Per disattivare un singolo risultato, devi eseguire l'azione Aggiorna risultato su un avviso specifico nel caso. L'azione non influisce sugli altri avvisi nel caso.
Per disattivare un singolo risultato:
- Nella Google Cloud console, vai a Rischio > Casi per aprire la pagina Elenco casi della console Security Operations.
- Seleziona un caso contenente i risultati da disattivare.
- In un caso, seleziona l'avviso contenente un risultato da disattivare.
- In un avviso, vai alla scheda Eventi.
- Per recuperare un Nome risultato da un evento, fai clic su Visualizza altro. Viene visualizzata la visualizzazione dettagliata dell'evento.
- Nella sezione Campi evidenziati, trova un nome di campo Nome. Fai clic sul relativo valore per visualizzare il nome completo del risultato.
Copia il valore del nome completo del risultato nel seguente formato:
organizations/ORGANIZATION_ID/sources/SOURCE_ID/finding/FINDING_IDNella scheda Panoramica degli avvisi dell'avviso selezionato, fai clic su Azione manuale.
Nel campo Cerca dell'azione manuale, inserisci
Update Finding.Nei risultati di ricerca dell'integrazione GoogleSecurityCommandCenter , seleziona l'azione Aggiorna risultato. Viene visualizzata la finestra di dialogo dell'azione.
Per impostazione predefinita, il parametro Esegui sugli avvisi è impostato sul valore dell'avviso selezionato.
Per configurare il parametro Nome risultato, incolla il valore Nome che hai copiato dalla visualizzazione dettagliata dell'evento.
Per disattivare un risultato, imposta il parametro Stato di disattivazione su Disattiva.
Fai clic su Execute (Esegui).
Passaggi successivi
Scopri come disattivare i risultati in Security Command Center .
Scopri di più sui casi nella documentazione di Google SecOps.