Integrar o Security Command Center Enterprise aos sistemas de emissão de tíquetes

Neste documento, explicamos como integrar o nível Enterprise do Security Command Center aos sistemas de tíquetes após configurar a funcionalidade de orquestração, automação e resposta de segurança (SOAR, na sigla em inglês) com a tecnologia do Google Security Operations.

A integração com sistemas de tíquetes é opcional e requer configuração manual. Se você usa a configuração padrão do Security Command Center Enterprise, não é necessário executar este procedimento. É possível fazer a integração com um sistema de tíquetes a qualquer momento.

Visão geral

É possível rastrear descobertas usando o console e as APIs com a configuração padrão do Security Command Center Enterprise. Caso sua organização use sistemas de tíquetes para rastrear problemas, faça a integração com o Jira ou o ServiceNow depois de configurar a instância do Google Security Operations.

Ao receber as descobertas dos recursos, o Conector de descobertas de postura urgente do SCC Enterprise analisa e filtra as descobertas durante a ingestão e as agrupa em casos novos ou atuais, dependendo do tipo de descoberta.

Caso você faça a integração com um sistema de tíquetes, o Security Command Center vai criar um novo tíquete sempre que criar um novo caso para descobertas. O Security Command Center atualiza automaticamente o tíquete relacionado sempre que um caso é atualizado.

Um único caso pode conter várias descobertas. O Security Command Center cria um tíquete para cada caso e sincroniza o conteúdo e as informações do caso com o tíquete correspondente. Assim, os usuários atribuídos sabem o que corrigir.

A sincronização entre um caso e o tíquete dele funciona nos dois sentidos:

  • As mudanças feitas em um caso, como uma atualização de status ou um novo comentário, são refletidas automaticamente no tíquete associado.

  • Da mesma forma, os detalhes do tíquete são sincronizados com o caso, enriquecendo-o com informações do sistema de tíquetes.

Antes de começar

Antes de configurar o Jira ou o ServiceNow, forneça um endereço de e-mail válido para o parâmetro proprietário substituto em SCC Enterprise - Conector de descobertas de posturas urgentes (em inglês) e verifique se esse e-mail pode ser atribuído no sistema de tíquetes.

Integrar com o Jira

Conclua todas as etapas de integração para sincronizar as atualizações de caso com os problemas do Jira e garantir o fluxo correto do playbook.

A prioridade do caso é refletida na gravidade do problema do Jira.

Criar um novo projeto no Jira

Para criar um novo projeto no Jira para os problemas do Security Command Center Enterprise chamado SCC Enterprise Project (SCCE), execute uma ação manual no caso. É possível usar qualquer caso existente ou simular um. Para mais informações sobre como simular casos, consulte a página Simular casos na documentação do Google SecOps.

Para criar um novo projeto Jira, é necessário ter credenciais de administrador do Jira.

Para criar um novo projeto Jira, siga estas etapas:

  1. No console de Operações de Segurança, acesse Casos.
  2. Selecione um caso existente ou o que você simulou.
  3. Na guia Visão geral do caso, clique em Ação manual.
  4. No campo Pesquisar de ação manual, insira Create SCC Enterprise.
  5. Nos resultados da pesquisa, na integração SCCEnterprise, selecione a ação Create SCC Enterprise Cloud Posture Ticket Type Jira. A janela da caixa de diálogo será aberta.

  6. Para configurar o parâmetro API Root, insira a raiz da API da sua instância Jira, como https://YOUR_DOMAIN_NAME.atlassian.net

  7. Para configurar o parâmetro Nome de usuário, insira o nome de usuário que você usa para fazer login no Jira como administrador.

  8. Para configurar o parâmetro Password, insira a senha que você usa para fazer login no Jira como administrador.

  9. Para configurar o parâmetro Token de API, insira o token de API da sua conta de administrador da Atlassian que foi gerada no console do Jira.

  10. Clique em Executar. Aguarde até que a ação seja concluída.

Opcional: configurar o layout de problemas personalizado do Jira

  1. Faça login no Jira como administrador.
  2. Acesse Projetos > SCC Enterprise Project (SCCE).
  3. Ajuste e reorganize os campos de problemas. Para saber mais sobre como gerenciar campos de problemas, consulte Como configurar o layout do campo de problemas na documentação do Jira.

Configurar a integração com o Jira

  1. No console de Operações de segurança, acesse Resposta > Configuração de integrações.
  2. Selecione o Ambiente padrão.
  3. No campo Pesquisar da integração, digite Jira. A integração Jira retorna como um resultado de pesquisa.
  4. Clique em Configurar instância. A janela de diálogo é aberta.

  5. Para configurar o parâmetro API Root, insira a raiz da API da sua instância Jira, como https://YOUR_DOMAIN_NAME.atlassian.net

  6. Para configurar o parâmetro Nome de usuário, insira o nome de usuário que você usa para fazer login no Jira. Não use suas credenciais de administrador.

  7. Para configurar o parâmetro Token de API, insira o token de API da sua conta Atlassian não administrador gerada no console do Jira.

  8. Clique em Salvar.

  9. Para testar a configuração, clique em Testar.

Ativar as descobertas de postura com o playbook do Jira

  1. No console de Operações de Segurança, acesse Resposta > Playbooks.
  2. Na barra Pesquisa do Playbook, digite Generic.
  3. Selecione o playbook Descobertas de postura – Genérica. Esse playbook está ativado por padrão.
  4. Alterne o botão para desativar o playbook.
  5. Clique em Salvar.
  6. Na barra Pesquisa do Playbook, digite Jira.
  7. Selecione o playbook Descobertas de postura com o Jira. Este playbook está desativado por padrão.
  8. Alterne o botão para ativar o playbook.
  9. Clique em Salvar.

Integrar com o ServiceNow

Conclua todas as etapas de integração para sincronizar as atualizações dos casos do Google SecOps com os tíquetes do ServiceNow e garantir o fluxo correto do playbook.

Criar e configurar o tipo de tíquete personalizado do ServiceNow

Certifique-se de criar e configurar o tipo de tíquete personalizado do ServiceNow para ativar a guia "Atividades" na interface do ServiceNow e evitar o uso do layout de tíquete incorreto.

Criar tipo de tíquete personalizado do ServiceNow

A criação de um tipo de tíquete personalizado do ServiceNow exige credenciais de nível de administrador do ServiceNow.

Para criar um tipo de ingresso personalizado, siga estas etapas:

  1. No console de Operações de Segurança, acesse Casos.
  2. Selecione um caso existente ou o que você simulou.
  3. Na guia Visão geral do caso, clique em Ação manual.
  4. No campo Pesquisar de ação manual, insira Create SCC Enterprise.
  5. Nos resultados da pesquisa, na integração SCCEnterprise, selecione a ação Create SCC Enterprise Cloud Posture Ticket Type SNOW. A janela da caixa de diálogo será aberta.

  6. Para configurar o parâmetro API Root, insira a raiz da API da sua instância do ServiceNow, como https://INSTANCE_NAME.service-now.com/api/now/v1/

  7. Para configurar o parâmetro Nome de usuário, insira o nome de usuário que você usa para fazer login no ServiceNow como administrador.

  8. Para configurar o parâmetro Senha, insira a senha que você usa para fazer login no ServiceNow como administrador.

  9. Para configurar o parâmetro Papel da tabela, deixe o campo em branco ou forneça um valor, se houver. Esse parâmetro aceita apenas um valor de papel.

    Por padrão, o campo Papel da tabela fica vazio para criar um papel personalizado no ServiceNow para gerenciar especificamente os tíquetes do Security Command Center Enterprise. Somente os usuários do ServiceNow que receberam esse novo papel personalizado têm acesso aos tíquetes do Security Command Center Enterprise.

    Se você já tiver um papel dedicado para usuários que gerenciam incidentes no ServiceNow e quiser usá-lo para gerenciar as descobertas do Security Command Center Enterprise, insira o nome do papel atual do ServiceNow no campo Papel da tabela. Por exemplo, se você fornecer o valor incident_handler_role atual, todos os usuários que receberem o papel incident_handler_role no ServiceNow poderão acessar os tíquetes do Security Command Center Enterprise.

  10. Clique em Executar. Aguarde até que a ação seja concluída.

Configurar o layout personalizado do tíquete do ServiceNow

Para garantir que a interface do ServiceNow exiba com precisão as atualizações relacionadas aos casos e comentários de casos, conclua as etapas a seguir:

  1. Na conta de administrador do ServiceNow, acesse a guia Todos.
  2. No campo Pesquisa, digite SCC Enterprise.
  3. Na lista suspensa, selecione SCC Enterprise Cloud Posture Ticket (em inglês) e faça uma pesquisa.
  4. Selecione o Tíquete de teste de postura. A página de layout do tíquete do ServiceNow será aberta.
  5. Na página de layout do tíquete do ServiceNow, acesse Ações adicionais > Configurar > Layout do formulário.
  6. Acesse a seção Visualização e seção do formulário.
  7. No campo Seção, selecione u_scc_enterprise_cloud_posture_ticket.
  8. Clique em Salvar. Após a atualização da página, o modelo de ingresso tem campos distribuídos em duas colunas.
  9. Acesse Ações adicionais > Configurar > Layout do formulário.
  10. Acesse a seção Visualização e seção do formulário.
  11. No campo Seção, selecione Resumo.
  12. Clique em Salvar. Depois que a página for atualizada, o modelo de tíquete terá a nova estrutura de resumo.

Configurar a integração do ServiceNow

  1. No console de Operações de segurança, acesse Resposta > Configuração de integrações.
  2. Selecione o Ambiente padrão.
  3. No campo Pesquisar da integração, digite ServiceNow. A integração do ServiceNow retorna como um resultado de pesquisa.
  4. Clique em Configurar instância. A janela de diálogo é aberta.

  5. Para configurar o parâmetro API Root, insira a raiz da API da sua instância do ServiceNow, como https://INSTANCE_NAME.service-now.com/api/now/v1/

  6. Para configurar o parâmetro Nome de usuário, digite o nome de usuário que você usa para fazer login no ServiceNow. Não use suas credenciais de administrador.

  7. Para configurar o parâmetro Senha, insira a senha que você usa para fazer login no ServiceNow. Não use suas credenciais de administrador.

  8. Clique em Salvar.

  9. Para testar a configuração, clique em Testar.

Ativar o playbook de descobertas de postura com SNOW

  1. No console de Operações de Segurança, acesse Resposta > Playbooks.
  2. Na barra Pesquisa do Playbook, digite Generic.
  3. Selecione o playbook Descobertas de postura – Genérica. Esse playbook está ativado por padrão.
  4. Alterne o botão para desativar o playbook.
  5. Clique em Salvar.
  6. Na barra Pesquisa do Playbook, digite SNOW.
  7. Selecione o playbook Descobertas de postura com SNOW. Este playbook está desativado por padrão.
  8. Alterne o botão para ativar o playbook.
  9. Clique em Salvar.

Ativar a sincronização de dados de casos

O Security Command Center sincroniza automaticamente as informações entre um caso e o tíquete correspondente, garantindo a correspondência de prioridade, status, comentários e outros dados relevantes entre um caso e o tíquete.

Para sincronizar os dados dos casos, o Security Command Center usa processos automáticos internos chamados jobs de sincronização. Os jobs Sync SCC-Jira Tickets e Sync SCC-ServiceNow Tickets sincronizam dados de casos entre o Security Command Center e os sistemas de tíquetes integrados. Inicialmente, os dois jobs são desativados e exigem que você os ative para iniciar a sincronização automática de dados de casos.

O encerramento de um caso resolve automaticamente o tíquete correspondente. Resolver um tíquete no Jira ou no ServiceNow aciona os jobs de sincronização para encerrar o caso também.

Antes de começar

Para ativar a sincronização de casos, é necessário receber qualquer um dos seguintes papéis do SOC no console de Operações de Segurança:

  • Administrador
  • Gerenciador de vulnerabilidades
  • Gerenciador de ameaças

Para saber mais detalhes sobre os papéis do SOC no console de Operações de Segurança e as permissões necessárias para os usuários, consulte Controlar o acesso a recursos no Console de Operações de Segurança.

Ativar a sincronização para sistemas de tíquetes

Para garantir que as informações em casos e tíquetes sejam sincronizadas automaticamente, ative o job de sincronização relevante para o sistema de tíquetes integrado.

Para ativar o job de sincronização, siga estas etapas:

  1. No console de Operações de segurança, vá para Resposta > Programador de jobs.

  2. Escolha o job de sincronização correto:

    • Se você fez a integração com o Jira, selecione o job Sincronizar tíquetes SCC-Jira.

    • Se você fez a integração com o ServiceNow, selecione o job Sincronizar tíquetes SCC-ServiceNow.

  3. Alterne o botão para ativar o job selecionado.

  4. Clique em Salvar para ativar o Security Command Center para sincronizar automaticamente os dados do caso com um sistema de tíquetes.

Criar tíquetes para casos existentes

O Security Command Center cria tíquetes automaticamente apenas para casos abertos após a integração com um sistema de tíquetes. Ele não anexa novos playbooks aos alertas atuais de forma retroativa. Para criar tíquetes de casos abertos antes da integração com um sistema de tíquetes, use uma das seguintes abordagens:

  • Encerre um caso sem tíquete e aguarde até que o SCC processe as descobertas e atribua um novo playbook aos alertas.

  • Adicione manualmente um playbook a qualquer alerta em um caso que tenha sido aberto antes da integração a um sistema de tíquetes.

Encerrar um caso sem tíquete

Para encerrar um caso sem tíquete, siga estas etapas:

  1. No console de Operações de Segurança, acesse Casos.

  2. Clique em Abrir filtro. O painel Filtro de fila de casos é aberto.

  3. Em Filtro de fila de casos, especifique o seguinte:

    1. No campo Período, especifique o período dos casos abertos.
    2. Defina Operador lógico como AND.
    3. Para o primeiro valor em Operador lógico, selecione Tags.
    4. Defina a condição como IS.
    5. Para o segundo valor, selecione Internal-SCC-Ticket-Info.
    6. Clique em Aplicar para atualizar casos na fila de casos e mostrar apenas os que correspondem ao filtro especificado.

  4. Na fila de casos, selecione o caso.

  5. Na visualização Caso, selecione Encerrar caso. A janela Close Case vai ser aberta.

  6. Na janela Encerrar caso, especifique o seguinte:

    1. Selecione um valor no campo Motivo para indicar o motivo do fechamento do caso.

    2. Selecione um valor para o campo Causa raiz para indicar a causa do encerramento do caso.

    3. Opcional: adicione um comentário.

    4. Clique em Fechar para encerrar o caso. O Security Command Center processa as descobertas em um novo caso e automaticamente anexa um playbook correto a ele.

Adicionar um playbook manualmente a um alerta

Para anexar manualmente um playbook a um alerta em um caso atual, conclua as seguintes etapas:

  1. No console de Operações de Segurança, acesse Casos.

  2. Clique em Abrir filtro. O painel Filtro de fila de casos é aberto.

  3. Em Filtro de fila de casos, especifique o seguinte:

    1. No campo Período, especifique o período dos casos abertos.
    2. Defina Operador lógico como AND.
    3. Para o primeiro valor em Operador lógico, selecione Tags.
    4. Defina a condição como IS.
    5. Para o segundo valor, selecione Internal-SCC-Ticket-Info.
    6. Clique em Aplicar para atualizar casos na fila de casos e mostrar apenas os que correspondem ao filtro especificado.

  4. Na fila de casos, selecione o caso.

  5. Selecione qualquer alerta contido em um caso.

  6. Em uma visualização de alerta, acesse a guia Playbooks.

  7. Clique em adicionar Adicionar playbook. A janela Adicionar um playbook com uma lista de playbooks disponíveis será exibida.

  8. No campo de pesquisa da janela Adicionar um playbook, digite Posture Findings.

    • Se você fez a integração com o Jira, selecione o playbook Descobertas de postura com o Jira.
    • Se você fez a integração com o ServiceNow, selecione o playbook Descobertas de postura com SNOW.

  9. Clique em Adicionar para adicionar um playbook a um alerta.

Após a conclusão, o playbook cria um tíquete para um caso e o preenche automaticamente com informações do caso.

Adicionar um playbook a um único alerta em um caso é suficiente para criar um tíquete e acionar a sincronização de dados.

A seguir