このドキュメントでは、Google Security Operations を活用したセキュリティ、オーケストレーション、自動化、対応（SOAR）機能を構成した後、Security Command Center のエンタープライズ ティアをチケット発行システムと統合する方法について説明します。
チケット発行システムとの統合はオプションであり、手動で構成する必要があります。デフォルトの Security Command Center Enterprise 構成を使用している場合は、この手順を行う必要はありません。後でいつでもチケット発行システムとの統合できます。
概要
デフォルトの Security Command Center Enterprise 構成でコンソールと API を使用して検出結果を追跡できます。組織でチケット発行システムを使用して問題を追跡している場合は、Google Security Operations インスタンスを構成した後に Jira または ServiceNow と統合します。
リソースの検出結果を受信すると、SCC Enterprise - 緊急体制検出コネクタは、取り込み中に検出結果を分析してフィルタし、新規または既存のケースにグループ化します。（検出結果の種類によって異なります。）
チケット発行システムと統合する場合、Security Command Center は検出結果の新しいケースを作成するたびに新しいチケットを作成します。Security Command Center は、ケースが更新されるたびに関連するチケットを自動的に更新します。
1 つのケースには複数の検出結果を含めることができます。Security Command Center では、ケースごとに 1 つのチケットを作成し、ケースの内容と情報を対応するチケットと同期して、チケットの割り当て先に修正すべき箇所を知らせます。
ケースとチケットの同期は、次の 2 つの方法で行われます。
ステータスの更新や新しいコメントなど、ケース内の変更は、関連するチケットに自動的に反映されます。
同様に、チケットの詳細はケースと同期され、チケット発行システムからの情報が追加されます。
始める前に
Jira または ServiceNow を構成する前に、[SCC Enterprise - Urgent Posture Findings Connector] の [代替オーナー] パラメータに有効なメールアドレスを指定します。このメールがチケット発行システムで割り当てられることを確認します。
Jira と統合する
すべての統合手順を完了して、ケースの更新を Jira の問題と同期し、正しいハンドブックのフローを確実にします。
ケースの優先度は、Jira の問題の重大度に反映されます。
Jira で新しいプロジェクトを作成する
SCC Enterprise Project（SCCE）と呼ばれる Security Command Center Enterprise の問題のために Jira で新しいプロジェクトを作成するには、ケースで手動アクションを実行します。既存のケースを使用することも、ケースをシミュレートすることもできます。ケースのシミュレーションの詳細については、Google SecOps ドキュメントのケースのシミュレーションのページをご覧ください。
新しい Jira プロジェクトを作成するには、Jira 管理者レベルの認証情報が必要です。
新しい Jira プロジェクトを作成するには、次の手順を実行します。
- セキュリティ運用コンソールで、[ケース] に移動します。
- 既存のケースまたはシミュレーションしたケースを選択します。
- [ケースの概要] タブで [手動による対策] をクリックします。
- [手動での対応] の [検索] フィールドに「
Create SCC Enterprise」と入力します。 - SCCEnterprise 統合の検索結果で、[SCCEnterprise] アクションを選択します。ダイアログ ウィンドウが開きます。
API ルート パラメータを構成するには、Jira インスタンスの API ルート（
https://YOUR_DOMAIN_NAME.atlassian.netなど）を入力します。ユーザー名パラメータを構成するには、管理者として Jira へのログインに使用するユーザー名を入力します。
パスワード パラメータを構成するには、管理者として Jira へのログインに使用するパスワードを入力します。
API トークン パラメータを構成するには、Jira コンソールで生成された Atlassian 管理者アカウントの API トークンを入力します。
[実行] をクリックします。アクションが完了するまで待ちます。
省略可: カスタム Jira の問題レイアウトを構成する
- 管理者として Jira にログインします。
- [Projects] > [SCC Enterprise Project (SCCE)] に移動します。
- 問題フィールドの調整と並べ替えを行います。問題フィールドの管理の詳細については、Jira のドキュメントの問題フィールド レイアウトの構成をご覧ください。
Jira 統合を構成する
- セキュリティ運用コンソールで、[レスポンス] > [統合の設定] に移動します。
- デフォルト環境を選択します。
- 統合の [検索] フィールドに「
Jira」と入力します。Jira 統合が検索結果として返されます。 - [ インスタンスを構成] をクリックします。ダイアログ ウィンドウが開きます。
API ルート パラメータを構成するには、Jira インスタンスの API ルート（
https://YOUR_DOMAIN_NAME.atlassian.netなど）を入力します。ユーザー名パラメータを構成するには、Jira へのログインに使用するユーザー名を入力します。管理者の認証情報は使用しないでください。
[API トークン] パラメータを構成するには、Jira コンソールで生成された管理者以外の Atlassian アカウントの API トークンを入力します。
[保存] をクリックします。
構成をテストするには、[テスト] をクリックします。
Jira ハンドブックで体制の検出結果を有効にする
- セキュリティ運用コンソールで、[レスポンス] > [ハンドブック] に移動します。
- ハンドブックの [検索] バーに「
Generic」と入力します。 - [体制の検出 - 汎用] ハンドブックを選択します。このハンドブックはデフォルトで有効になっています。
- スイッチを切り替えて、ハンドブックを無効にします。
- [保存] をクリックします。
- ハンドブックの [検索] バーに「
Jira」と入力します。 - [Jira で体制を検出] ハンドブックを選択します。このハンドブックは、デフォルトで無効になっています。
- スイッチを切り替えて、ハンドブックを有効にします。
- [保存] をクリックします。
ServiceNow と統合する
すべての統合手順を完了して、Google SecOps ケースの更新を ServiceNow チケットと同期し、正しいハンドブックのフローを確実にします。
ServiceNow カスタム チケット タイプを作成して構成する
ServiceNow カスタム チケットタイプを作成して構成し、ServiceNow UI の [アクティビティ] タブを有効にして、誤ったチケット レイアウトの使用を回避します。
ServiceNow カスタム チケットタイプを作成する
カスタム ServiceNow チケットタイプを作成するには、ServiceNow 管理者レベルの認証情報が必要です。
カスタム チケットタイプを作成するには、次の手順を行います。
- セキュリティ運用コンソールで、[ケース] に移動します。
- 既存のケースまたはシミュレーションしたケースを選択します。
- [ケースの概要] タブで [手動による対策] をクリックします。
- [手動での対応] の [検索] フィールドに「
Create SCC Enterprise」と入力します。 - SCCEnterprise 統合の検索結果で、[SCCEnterprise] アクションを選択します。ダイアログ ウィンドウが開きます。
API ルート パラメータを構成するには、ServiceNow インスタンスの API ルート（
https://INSTANCE_NAME.service-now.com/api/now/v1/など）を入力します。ユーザー名パラメータを構成するには、管理者として ServiceNow へのログインに使用するユーザー名を入力します。
パスワード パラメータを構成するには、管理者として ServiceNow へのログインに使用するパスワードを入力します。
テーブルのロール パラメータを構成するには、フィールドを空白のままにするか、値（存在する場合）を指定します。このパラメータは 1 つのロール値のみを受け入れます。
デフォルトでは、[テーブルのロール] フィールドは空です。Security Command Center Enterprise チケットを明示的に管理するための ServiceNow で新しいカスタムロールを作成できます。この新しいカスタムロールが付与された ServiceNow ユーザーのみが、Security Command Center Enterprise チケットにアクセスできます。
ServiceNow でインシデントを管理するユーザー専用のロールがすでにあり、このロールを使用して Security Command Center Enterprise の検出結果を管理する場合は、既存の ServiceNow ロール名をテーブルのロール フィールドに入力します。たとえば、既存の
incident_handler_role値を指定すると、ServiceNow でincident_handler_roleロールを付与されたすべてのユーザーが Security Command Center Enterprise チケットにアクセスできます。[実行] をクリックします。アクションが完了するまで待ちます。
ServiceNow カスタム チケット レイアウトを構成する
ServiceNow UI にケースとケースコメントに関連する更新が正確に表示されるようにするには、次の手順を行います。
- ServiceNow 管理者アカウントで [すべて] タブに移動します。
- 検索フィールドに「
SCC Enterprise」と入力します。 - プルダウン リストで [SCC Enterprise クラウド体制チケット] を選択して検索を行います。
- [体制テストチケット] を選択します。ServiceNow のチケットのレイアウト ページが開きます。
- ServiceNow チケットのレイアウト ページで、[追加アクション] > [構成する] > [フォーム レイアウト] に移動します。
- [フォームビューとセクション] セクションに移動します。
- [セクション] フィールドで [u_scc_enterprise_cloud_posture_ticket] を選択します。
- [Save] をクリックします。ページが更新されると、チケット テンプレートのフィールドが 2 つの列に分割されます。
- [追加アクション] > [設定] > [フォーム レイアウト] に移動します。
- [フォームビューとセクション] セクションに移動します。
- [セクション] フィールドで [概要] を選択します。
- [Save] をクリックします。ページが更新されると、チケット テンプレートが新しい概要構造になります。
ServiceNow の統合を構成する
- セキュリティ運用コンソールで、[レスポンス] > [統合の設定] に移動します。
- デフォルト環境を選択します。
- 統合の [検索] フィールドに「
ServiceNow」と入力します。ServiceNow 統合が検索結果として返されます。 - [ インスタンスを構成] をクリックします。ダイアログ ウィンドウが開きます。
API ルート パラメータを構成するには、ServiceNow インスタンスの API ルート（
https://INSTANCE_NAME.service-now.com/api/now/v1/など）を入力します。ユーザー名パラメータを構成するには、ServiceNow へのログインに使用するユーザー名を入力します。管理者の認証情報は使用しないでください。
パスワード パラメータを構成するには、ServiceNow へのログインに使用するパスワードを入力します。管理者の認証情報は使用しないでください。
[保存] をクリックします。
構成をテストするには、[テスト] をクリックします。
SNOW ハンドブックで体制の検出結果を有効にする
- セキュリティ運用コンソールで、[レスポンス] > [ハンドブック] に移動します。
- ハンドブックの [検索] バーに「
Generic」と入力します。 - [体制の検出 - 汎用] ハンドブックを選択します。このハンドブックはデフォルトで有効になっています。
- スイッチを切り替えて、ハンドブックを無効にします。
- [保存] をクリックします。
- ハンドブックの [検索] バーに「
SNOW」と入力します。 - [SNOW による体制の検索結果] ハンドブックを選択します。このハンドブックは、デフォルトで無効になっています。
- スイッチを切り替えて、ハンドブックを有効にします。
- [保存] をクリックします。
ケースデータの同期を有効にする
Security Command Center では、ケースと対応するチケット間の情報を自動的に同期し、ケースとチケットの間で優先度、ステータス、コメント、その他の関連データが一致するようにします。
ケースデータを同期するために、Security Command Center は同期ジョブと呼ばれる内部自動プロセスを使用します。Sync SCC-Jira Tickets ジョブと Sync SCC-ServiceNow Tickets ジョブは、Security Command Center と統合チケット発行システム間でケースデータを同期します。どちらのジョブも最初は無効になっており、自動ケースデータ同期を開始するにはそれらのジョブを有効にする必要があります。
ケースをクローズすると、対応するチケットが自動的に解決されます。Jira または ServiceNow でチケットを解決すると、同期ジョブがトリガーされ、ケースもクローズされます。
始める前に
ケースの同期を有効にするには、セキュリティ運用コンソールで次のいずれかの SOC ロールが付与されている必要があります。
- 管理者
- 脆弱性マネージャー
- 脅威マネージャー
セキュリティ運用コンソールの SOC のロールとユーザーに必要な権限の詳細については、セキュリティ運用コンソールで機能へのアクセスを制御するをご覧ください。
チケット発行システムの同期を有効にする
ケースとチケットの情報が自動的に同期されるようにするには、統合したチケット発行システムに関連する同期ジョブを有効にします。
同期ジョブを有効にするには、次の手順を実行します。
セキュリティ運用コンソールで、[レスポンス] > [ジョブ スケジューラ] に移動します。
適切な同期ジョブを選択します。
Jira と統合した場合は、Sync SCC-Jira Tickets ジョブを選択します。
ServiceNow と統合した場合は、Sync SCC-ServiceNow Tickets ジョブを選択します。
スイッチを切り替えて、選択したジョブを有効にします。
[保存] をクリックして、Security Command Center がケースデータをチケット発行システムと自動的に同期できるようにします。
既存のケースのチケットを作成する
Security Command Center は、チケット発行システムと統合した後に開かれたケースに対してのみチケットを自動的に作成します。既存のアラートに新しいハンドブックを遡及的にアタッチすることはありません。チケット発行システムと統合する前にオープンされたケースのチケットを作成するには、次のいずれかの方法を使用します。
チケットのないケースをクローズし、SCC が検出結果を再インジェストしてケースアラートに新しいハンドブックを割り当てるまで待ちます。
チケット発行システムと統合する前にオープンされたケースのアラートに、ハンドブックを手動で追加します。
チケットなしでケースをクローズする
チケットがないケースをクローズするには、次の手順を行います。
セキュリティ運用コンソールで、[ケース] に移動します。
[フィルタを開く] をクリックします。[ケースキュー フィルタ] パネルが開きます。[ケースキュー フィルタ] で、次のように指定します。
- [期間] フィールドで、オープン ケースの期間を指定します。
- [論理演算子] を [AND] に設定します。
- [論理演算子] の最初の値で、[タグ] を選択します。
- 条件を [IS] に設定します。
- 2 番目の値として [Internal-SCC-Ticket-Info] を選択します。
- [適用] をクリックしてケースキュー内のケースを更新し、指定したフィルタに一致するケースのみを表示します。
ケースキューからケースを選択します。
[ケースビュー] で
[ケースをクローズ] を選択します。[ケースをクローズ] ウィンドウが開きます。[ケースをクローズ] ウィンドウで、次のように指定します。
[理由] フィールドの値を選択して、ケースをクローズする理由を示します。
[根本原因] フィールドの値を選択して、ケースをクローズする理由を指定します。
省略可: コメントを追加します。
[クローズ] をクリックしてケースをクローズします。その後、Security Command Center は検出結果を新しいケースに取り込み、正しいハンドブックを自動的にアタッチします。
ハンドブックをアラートに手動で追加する
既存のケースのアラートにハンドブックを手動でアタッチするには、次の手順を行います。
セキュリティ運用コンソールで、[ケース] に移動します。
- [フィルタを開く] をクリックします。[ケースキュー フィルタ] パネルが開きます。
[ケースキュー フィルタ] で、次のように指定します。
- [期間] フィールドで、オープン ケースの期間を指定します。
- [論理演算子] を [AND] に設定します。
- [論理演算子] の最初の値で、[タグ] を選択します。
- 条件を [IS] に設定します。
- 2 番目の値として [Internal-SCC-Ticket-Info] を選択します。
- [適用] をクリックしてケースキュー内のケースを更新し、指定したフィルタに一致するケースのみを表示します。
ケースキューからケースを選択します。
ケースに含まれているアラートを選択します。
アラートビューで [ハンドブック] タブに移動します。
[add ハンドブックを追加] をクリックします。[ハンドブックを追加] ウィンドウに、使用可能なハンドブックのリストが表示されます。
[ハンドブックを追加] ウィンドウの検索フィールドに「
Posture Findings」と入力します。- Jira と統合した場合は、[Jira による体制の検出結果] ハンドブックを選択します。
- ServiceNow と統合した場合は、[SNOW による体制の検索結果] ハンドブックを選択します。
[追加] をクリックして、アラートにハンドブックを追加します。
完了すると、ハンドブックによってケースのチケットが作成され、ケースの情報が自動的にチケットに入力されます。
ケース内の 1 つのアラートにハンドブックを追加すれば、チケットを作成してデータの同期をトリガーすることができます。
次のステップ
体制の検出結果の所有権を判断する方法を学習する。
ケースの検出結果をグループ化する方法を学習する。
体制ケースに基づいてチケットを割り当てる方法を学習する。