이 페이지에서는 Security Command Center 엔터프라이즈에서 자동 티켓 할당 메커니즘과 보안 운영 콘솔을 사용해서 티켓을 수동으로 할당하거나 재할당하는 방법을 설명합니다.
개요
티켓 담당자는 취약점을 확인하고 해결하는 사람입니다. 티켓은 Google Cloud 리소스 계층 구조를 통해 발견 항목으로 상속된 리소스 소유자 값 또는 커넥터의 대체 소유자 매개변수에 구성된 값을 기반으로 해당 담당자에게 자동으로 할당됩니다.
자동으로 티켓 할당
티켓 할당의 기본 자동 흐름은 다음과 같은 단계로 구성됩니다.
발견 항목의 리소스 소유자를 확인합니다.
케이스를 만들고 관련된 발견 항목을 케이스로 그룹화합니다.
케이스를 기준으로 티켓을 만들고 할당합니다.
리소스 소유자 확인
발견 항목을 케이스에 따라 수집 및 그룹화할 때 SCC 엔터프라이즈 - 긴급 상황 발견 항목 커넥터는 모든 발견 항목을 분석하여 리소스 소유자 및 대체 소유자 값을 확인합니다. 대체 소유자 커넥터 매개변수에 구성된 대체 소유자 값은 다른 모든 선별된 옵션이 실패했을 때 커스텀 발견 항목이 해결을 위해 올바른 사람에게 할당되도록 보장하는 마지막 옵션입니다.
Security Command Center 엔터프라이즈에서 리소스 소유자를 정의하는 방법은 상황 발견 항목의 소유권 확인을 참조하세요.
케이스 만들기 및 발견 항목 그룹화
커넥터가 발견 항목을 수집한 후 Security Command Center는 발견 항목이 특정 종류의 첫 번째 항목이면 새 케이스로 발견 항목을 전달하고 발견 항목 매개변수가 특정 그룹화 메커니즘과 일치하면 기존 케이스로 전달합니다. 케이스에서 발견 항목은 알림의 기준이 되는 이벤트가 됩니다. 기본적으로 알림은 발견 항목에 대한 모든 정보를 포함하는 발견 항목 컨테이너입니다.
케이스를 만들면 통합 티켓팅 시스템에서 티켓이 자동으로 생성됩니다. 케이스에 포함된 모든 정보는 해당 티켓과 양방향으로 동기화됩니다. 즉, 새 발견 항목, 새 의견, 상태 변경과 같이 케이스가 업데이트될 때마다 동일한 업데이트가 티켓에도 표시되고, 그 반대의 경우도 마찬가지입니다.
Security Command Center 엔터프라이즈는 생성된 티켓을 케이스에 그룹화된 발견 항목의 리소스 소유자에게 자동으로 할당합니다. 케이스의 모든 발견 항목에는 동일한 리소스 소유자가 포함됩니다.
수동으로 티켓 할당
티켓을 수동으로 할당하려면 케이스에서 수동 작업을 실행해야 합니다.
케이스에서 Jira 문제 할당
케이스에 Jira 문제를 수동으로 할당하려면 다음 단계를 수행합니다.
보안 운영 콘솔에서 케이스로 이동합니다.
ITSM 티켓과 관련된 케이스를 선택합니다.
케이스 개요 탭에서 직접 조치를 클릭합니다.
직접 조치 검색 필드에 Jira를 입력합니다.
Jira 통합 아래의 검색 결과에서 문제 할당 작업을 선택합니다. 작업 대화상자 창이 열립니다.
문제 키 매개변수를 구성하려면 다음 자리표시자를 입력합니다.
[Case.Ticket_ID]
이 자리표시자는 선택한 케이스에 해당하는 Jira 문제 ID를 검색합니다.
특정 문제에 대해 문제 키 매개변수를 구성하려면 다음 형식으로 Jira 문제 ID를 입력합니다.
SCCE-NUMBER
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2024-12-21(UTC)"],[],[],null,["| Enterprise [service tier](/security-command-center/docs/service-tiers)\n\nThis page documents the mechanism of an automatic ticket assignment in\nSecurity Command Center Enterprise and explains how to manually assign or reassign\ntickets using the Security Operations console.\n\nOverview\n\nA ticket assignee is a person responsible for addressing and remediating the\nvulnerabilities. The ticket is assigned to the respective assignee automatically\nbased on either the resource owner value inherited by the finding through the\nGoogle Cloud [resource hierarchy](/resource-manager/docs/cloud-platform-resource-hierarchy)\nor the value configured in the connector's **Fallback Owner** parameter.\n\nAssign tickets automatically\n\nThe default automatic flow for assigning a ticket consists of the\nfollowing steps:\n\n1. Determining the resource owner of a finding.\n\n2. Creating cases and grouping related findings into them.\n\n3. Creating and assigning tickets based on cases.\n\nDetermining the resource owner\n\nWhile ingesting and grouping findings into cases, the **SCC\nEnterprise - Urgent Posture Findings Connector** analyzes every finding for the\nresource owner and fallback owner values. The fallback owner value configured in\nthe **Fallback Owner** connector parameter is the final option to ensure that a\ncustom finding is assigned to a correct person for remediation when all other\nprioritized options failed.\n\nFor more information about defining the resource owner in Security Command Center\nEnterprise, refer to [Determine ownership for posture\nfindings](/security-command-center/docs/determine-ownership-posture-findings).\n\nCreating cases and grouping findings\n\nAfter the connector has ingested a finding, Security Command Center\nforwards the finding to a new case if the finding is first of a kind, or an\nexisting case if the finding parameters comply with a grouping mechanism. In a\ncase, the finding becomes an *event* which the *alert* is based on. Essentially,\nan alert is a finding container that includes all information about a finding.\n\nTo learn more about how findings are grouped into cases, see [Group findings in\ncases](/security-command-center/docs/group-findings-in-cases).\n\nCreating and assigning tickets\n\nCreating a case automatically creates a ticket in an integrated ticketing\nsystem. All information contained in a case\nis bidirectionally synchronized with a corresponding ticket, meaning that every\ntime there is an update in a case like a new finding, a new comment, or a status\nchange, the same update appears in the ticket and the other way around.\n\nSecurity Command Center Enterprise automatically assigns the created ticket to\nthe resource owner of findings grouped in a case. All findings in a case have\nthe same resource owner.\n| **Important:** When using a ticketing system like Jira or ServiceNow to manage tickets, make sure to provide the assignable email (ldap) of the resource owner in your ticketing system, not the username.\n\nAssign tickets manually\n\nAssigning tickets manually in requires you to run manual actions on cases.\n\nAssign Jira issues in cases\n\nTo manually assign a Jira issue in a case, complete the following steps:\n\n1. In the Google Cloud console, go to **Risk \\\u003e Cases**.\n2. Select a case related to the ITSM ticket.\n3. In the **Case Overview** tab, click **Manual Action**.\n4. In the manual action **Search** field, enter `Jira`.\n5. In the search results under the **Jira** integration, select the **Assign\n Issue** action. The action dialog window opens.\n6. To configure the **Issue Key** parameter, enter the following placeholder:\n `[Case.Ticket_ID]`\n\n The placeholder dynamically retrieves the Jira issue ID corresponding to the\n selected case.\n 1. To configure the **Issue Key** parameter for a specific issue, enter the **Jira issue ID** in the following format: `SCCE-`\u003cvar class=\"edit\" translate=\"no\"\u003eNUMBER\u003c/var\u003e\n\n You can find the issue ID in the Jira issue URL: \n\n https://\u003cvar translate=\"no\"\u003eYOUR_INSTANCE_NAME\u003c/var\u003e.atlassian.net/browse/\u003cvar translate=\"no\"\u003eISSUE_ID\u003c/var\u003e\n\n7. To configure the **Assignee** parameter, enter the email address of the Jira\n ticket assignee.\n\n Alternatively, you can enter the name of the ticket assignee as it is\n displayed in Jira. The action supports using usernames or displayed\n names.\n8. Click **Execute**.\n\nAssign ServiceNow tickets in cases\n\nTo manually assign a ServiceNow ticket in a case, complete the\nfollowing steps:\n\n1. Retrieve the `sys_id` value to obtain the ServiceNow assignee ID.\n2. Assign the ServiceNow ticket.\n\nRetrieve the `sys_id` value\n\n1. In the Google Cloud console, go to **Risk \\\u003e Cases**.\n2. Select a case related to the ServiceNow ticket.\n3. In the **Case Overview** tab, click **Manual Action**.\n4. In the manual action **Search** field, enter `ServiceNow`.\n5. In the search results, select the **Get\n User Details** action. The action dialog window opens.\n6. To configure the **Emails** parameter field, enter the email address of the ServiceNow ticket assignee.\n7. Click **Execute**. Wait until the action is executed.\n8. Go to the **Case Wall** , and then click **Refresh Case**.\n9. In the **ServiceNow_Get User Details** data record, click **View more**.\n10. In the **JSON Result** section, find the **`sys_id`** key and save its value to use it in the following section.\n\nAssign the ServiceNow ticket\n\n1. Go to the **Case Overview** tab, and then click **Manual Action**.\n2. In the manual action **Search** field, enter `ServiceNow`.\n3. In the search results under the **ServiceNow** integration, select the **Update Record** action. The action dialog window opens.\n4. To configure the **Table Name** parameter, enter the following value: `u_scc_enterprise_cloud_posture_ticket`\n5. To configure the **Object Json Data** parameter, enter the following code:\n\n {\n \"u_assigned_to\": \"\u003cvar class=\"edit\" translate=\"no\"\u003eSYS_ID_VALUE\u003c/var\u003e\"\n }\n\n In the code, use the **`sys_id`** value that you retrieved in the previous\n section.\n6. To configure the **Record Sys ID** parameter, enter the following placeholder:\n `[Case.Ticket_ID]`\n\n The placeholder dynamically retrieves the ServiceNow ticket ID corresponding\n to the selected case.\n\n Alternatively, for the **Record Sys ID** parameter, you can provide a\n **Ticket ID** (**Case Overview** \\\u003e **Ticket Information** widget\n \\\u003e **Ticket ID**).\n7. Click **Execute**.\n\nWhat's next?\n\nLearn how you can [group findings in cases](/security-command-center/docs/group-findings-in-cases).\n\nLearn how you can [mute findings in Security Command Center](/security-command-center/docs/how-to-mute-findings).\n\nLearn how you can [mute findings in cases](/security-command-center/docs/mute-findings-in-cases)."]]
