將 Security Command Center 資料傳送至 ServiceNow

本文說明如何自動將 Security Command Center 資料傳送至 ServiceNow，並提供匯出資料的管理指南。您可以匯出下列資料類型：

ServiceNow 提供技術管理支援，包括服務台功能。其管理系統可透過數位工作流程和員工服務入口網站，自動執行工作密集的 IT 程序和事件。

支援的版本

您可以將 Security Command Center 資訊傳送至 ServiceNow IT 服務管理 (ITSM) 或 ServiceNow 安全性事件應變 (SIR)。

Security Command Center 支援與下列 ServiceNow 版本整合：

  • 澳洲
  • 蘇黎世
  • 橫濱

如果您使用的是舊版 (例如 Rome、San Diego 或 Tokyo)，請遷移至支援的最新版本。

如要開始使用 ServiceNow，請參閱 ServiceNow 聯絡頁面。

限制

本節說明這項整合功能的限制。

  • 每次 API 呼叫最多可擷取 1,000 項資產、發現項目、來源或稽核記錄。
  • 如果 Findings API 呼叫回應為 429 或 5xx，應用程式會在 60 秒後重試 3 次。如果仍失敗，則程序失敗。如要變更回應時間，請參閱「應用程式在嘗試三次後無法重新連線」。

事前準備

與 ServiceNow 整合前，請先完成下列 Google Cloud 設定步驟。如要完成本指南中的某些工作，例如使用者建立步驟，您必須是 ServiceNow 系統管理員。

Google Cloud 設定

您必須先建立 Identity and Access Management (IAM) 服務帳戶，並授予 Google Security Command Center SIR 應用程式或 Google Security Command Center ITSM 應用程式所需的組織層級和專案層級 IAM 角色，才能連線至 ServiceNow。

如要進一步瞭解這些角色，請參閱「建立服務帳戶並授予 IAM 角色」。

建立服務帳戶並授予 IAM 角色

下列步驟使用 Google Cloud 控制台。如要瞭解其他方法，請參閱本節結尾的連結。

針對要匯入 Security Command Center 資料的每個 Google Cloud 組織，完成上述步驟。

  1. 在建立 Pub/Sub 主題的專案中，使用 Google Cloud 控制台的「服務帳戶」頁面建立服務帳戶。如需操作說明，請參閱「建立及管理服務帳戶」。

  2. 將下列角色授予服務帳戶：

    • Pub/Sub 編輯者 (roles/pubsub.editor)

  3. 複製您剛建立的服務帳戶名稱。

  4. 使用 Google Cloud 控制台中的專案選取器，切換至組織層級。

  5. 開啟組織的「IAM」頁面：

    前往「IAM」(身分與存取權管理) 頁面

  6. 在 IAM 頁面中，按一下「授予存取權」。「Grant access」(授予存取權) 面板隨即開啟。

  7. 在「授予存取權」面板中，完成下列步驟：

    1. 在「Add principals」(新增主體) 區段的「New principals」(新增主體) 欄位中，貼上服務帳戶名稱。

    2. 在「Assign roles」(指派角色) 區段中，使用「Role」(角色) 欄位將下列 IAM 角色授予服務帳戶：

    3. 安全中心管理員編輯者 (roles/securitycenter.adminEditor)
    4. 安全中心通知設定編輯者 (roles/securitycenter.notificationConfigEditor)
    5. 組織檢視者 (roles/resourcemanager.organizationViewer)
    6. Cloud Asset 檢視者 (roles/cloudasset.viewer)

    7. 按一下 [儲存]。服務帳戶會顯示在「IAM」頁面的「Permissions」(權限) 分頁中，位於「View by principals」(依主體查看) 下方。

      透過繼承，服務帳戶也會成為組織所有子專案中的主體。適用於專案層級的角色會列為繼承角色。

如要進一步瞭解如何建立服務帳戶及授予角色，請參閱下列主題：

提供 ServiceNow 憑證

如要將 IAM 憑證提供給 ServiceNow，請建立服務帳戶金鑰。如要完成本指南，您需要 JSON 格式的服務帳戶金鑰。

如果您使用多個 Google Cloud 機構，請將這個服務帳戶新增至其他機構，並授予必要的 IAM 角色，如前一節「建立服務帳戶並授予 IAM 角色」所述。

設定通知

請為要匯入 Security Command Center 資料的每個 Google Cloud 組織完成這些步驟。

  1. 按照下列步驟設定發現項目通知：

    1. 啟用 Security Command Center API。
    2. 建立篩選器，匯出發現項目和資產。

  2. 為專案啟用 Cloud Asset API。

  3. 為資產建立動態饋給。在同一個 Pub/Sub 主題中建立兩個動態饋給：一個用於資源，另一個用於 IAM 政策。

    • 針對您用於發現項目的主題，使用不同的 Pub/Sub 主題。

    • 如要篩選資源的動態饋給，請使用下列篩選器：

      content-type=resource

    • 如要查看 IAM 政策動態消息，請使用下列篩選器：

      content-type=iam-policy --asset-types="cloudresourcemanager.googleapis.com/Project"

  4. 建立稽核記錄的目的地接收器。這項整合功能會使用 Pub/Sub 主題做為目的地。

如要設定 ServiceNow，您需要機構 ID 和 Pub/Sub 訂閱項目名稱。

設定 ServiceNow

本節說明如何安裝應用程式、建立使用者、設定連線能力，以及設定 ServiceNow 來擷取 Security Command Center 資料。

安裝 ServiceNow 應用程式

您必須是 ServiceNow 系統管理員，才能完成這項工作。

  1. 前往 ServiceNow Store，搜尋下列其中一個應用程式：

    • 如果您執行 ServiceNow ITSM，請搜尋「Google Security Command Center ITSM」。

    • 如果您執行 ServiceNow SIR，請搜尋「Google Security Command Center SIR」。

  2. 按一下應用程式，然後按一下「取得」。

  3. 輸入 ServiceNow ID 憑證，然後完成驗證程序。

  4. 在 ServiceNow 控制台的「All」分頁中，搜尋「System Applications」 ，然後依序點選「All Available Applications > All」。

  5. 選取「未安裝」。控制台會顯示應用程式清單。

  6. 選取「Google Security Command Center ITSM」或「Google Security Command Center SIR」應用程式，然後按一下「Install」。

為應用程式建立使用者

為 Google Security Command Center ITSM 或 Google Security Command Center SIR 應用程式建立兩位使用者，並指派適當角色。

如要完成這項工作，您必須是 ServiceNow 系統管理員。

建立使用者帳戶

  1. 在 ServiceNow 控制台中搜尋「Organization」。

  2. 依序按一下「Organization」 >「Users」。

  3. 點選「New」(新增)。

  4. 輸入 Google Security Command Center ITSM 應用程式或 Google Security Command Center SIR 應用程式的管理員帳戶資訊。舉例來說，在「使用者 ID」欄位中，輸入 Google Security Command Center ITSM 的 google_scc_itsm_admin，或是 Google Security Command Center SIR 的 google_scc_sir_admin。

  5. 按一下「提交」。

  6. 如要為 Google Security Command Center ITSM 應用程式或 Google Security Command Center SIR 應用程式建立使用者帳戶，請重複執行「建立使用者帳戶」中的步驟。舉例來說，在「User ID」(使用者 ID) 欄位中，輸入 google_scc_itsm_user (Google Security Command Center ITSM) 或 google_scc_sir_user (Google Security Command Center SIR)。

為帳戶指派角色

  1. 在「使用者」清單中，按一下其中一個新帳戶的名稱。

  2. 按一下「角色」下方的「編輯」。

  3. 新增適用於帳戶的角色：

    使用者名稱角色
    Google Security Command Center ITSM 管理員 (google_scc_itsm_admin)
    • x_goog_scc_itsm.Google_SCC_ITSM_Admin
    • itil
    • itil_admin
    • personalize_dictionary
    • oauth_admin
    Google Security Command Center ITSM 使用者 (google_scc_itsm_user)
    • x_goog_scc_itsm.Google_SCC_ITSM_User
    • itil
    Google Security Command Center SIR 管理員 (google_scc_sir_admin)
    • x_goog_scc_sir.Google_SCC_SIR_Admin
    • sn_si.admin
    • oauth_admin
    Google Security Command Center SIR 使用者 (google_scc_sir_user)
    • x_goog_scc_sir.Google_SCC_SIR_User
    • sn_si.analyst

  4. 按一下 [儲存]。

  5. 如要將角色指派給其他帳戶，請重複步驟 1 到 4。

  6. 登出後，使用新帳戶登入，驗證密碼。

設定 Security Command Center 驗證機制

設定 Security Command Center 與 ServiceNow 之間的連線。如果您支援多個機構，請為每個機構完成下列步驟。

您必須是 ServiceNow 系統管理員，才能完成這項工作。

準備 Java KeyStore 憑證

  1. 從包含服務帳戶金鑰的 JSON 檔案建立 Java KeyStore 憑證。如需操作說明，請參閱「建立 Java KeyStore 憑證」。

  2. 在 ServiceNow 控制台的「全部」分頁中，搜尋「Google SCC ITSM」或「Google SCC SIR」，然後按一下「引導式設定」。

  3. 點選「開始使用」。

  4. 在「驗證設定」中，點選「開始使用」。

建立 X.509 憑證

  1. 在工作頁面的「建立 X.509 憑證」部分，按一下「設定」。

  2. 輸入下列資訊：

    • 名稱：這個憑證的專屬名稱

    • 「Format」(形式)：PEM

    • 類型：Java 金鑰儲存區

  3. 按一下「Manage Attachments」(管理附件) 圖示，然後新增您在「準備 Java KeyStore 憑證」中產生的 Java KeyStore 憑證 (.jks 格式)。

  4. 按一下「關閉」圖示。

  5. 按一下「提交」。

  6. 在工作頁面的「建立 X.509 憑證」部分，按一下「標示為完成」。

建立 JWT 金鑰

  1. 在工作頁面的「Create JWT Key」部分，按一下「Configure」。

  2. 輸入下列資訊：

  3. 按一下「提交」。

  4. 在工作頁面的「建立 JWT 金鑰」部分，點選「標示為完成」。

建立 JWT 提供者

  1. 在工作頁面的「建立 JWT 供應商」中，按一下「設定」。

  2. 輸入下列資訊：

    • 名稱：這個供應商的專屬名稱

    • Expiry Interval (sec) (到期間隔 (秒))：60

    • 簽署設定：在「建立 JWT 金鑰」中指定的 JWT 金鑰名稱

  3. 按一下「提交」。

  4. 在工作頁面的「建立 JWT 供應商」部分，按一下「標示為完成」。

建立驗證設定

  1. 在「Tasks」(工作) 頁面的「Create Authentication Configuration」(建立驗證設定) 中，按一下「Configure」(設定)。

  2. 輸入下列資訊：

    • 名稱：這項設定的專屬名稱

    • 組織 ID：Google Cloud中組織的 ID

    • 基準網址：Security Command Center API 的網址，通常為 https://securitycenter.googleapis.com

    • 用戶端電子郵件地址：IAM 憑證的電子郵件地址

    • JWT Provider：在「建立 JWT 供應商」中指定的 JWT 供應商名稱

  3. 按一下「提交」。系統會顯示「Authentication Successful」(驗證成功) 訊息。

  4. 關閉「Create Authentication Configuration」視窗。

  5. 在工作頁面的「Create Authentication Configuration」(建立驗證設定) 中，按一下「Mark as Complete」(標示為完成)。

設定 Security Command Center 的事件管理功能

如要啟用 Security Command Center 的資料收集功能，請完成下列步驟。如要支援多個機構，請為每個機構完成本節。

您必須是 ServiceNow 系統管理員，才能完成這項工作。

設定 CI 查閱規則

  1. 在 ServiceNow 控制台的「全部」分頁中，搜尋「Google SCC ITSM」或「Google SCC SIR」，然後按一下「引導式設定」。

  2. 點選「開始使用」。

  3. 在「事件設定」中，按一下「開始使用」。

  4. 如要找出要新增至 Security Command Center 發現項目所建立事件的設定項目 (例如資產)，請使用設定項目 (CI) 查詢規則。詳情請參閱「CI 查詢規則」。

    操作步驟如下：

    1. 在工作頁面的「CI 查詢規則」中，按一下「設定」。

    2. 點選「New」(新增)。

    3. 輸入下列資訊：

      • 名稱：這項查詢規則的專屬名稱

      • 查詢方法：欄位比對或指令碼

      • 順序：應用程式評估這項規則的順序 (相對於其他規則)

      • 來源欄位：發現項目資料中的欄位，做為這項規則的輸入內容

      • 搜尋表格：如果符合欄位，則為要尋找欄位的表格

      • 搜尋欄位：如要比對欄位，請指定要與「來源欄位」比對的欄位

      • 指令碼：如要使用指令碼，請輸入指令碼

      • 啟用：選取這個選項即可啟用這項查詢規則

    4. 按一下「提交」。

    5. 視需要重複這個步驟，設定其他項目。

    6. 在工作頁面的「CI Lookup Rule」中，按一下「Mark as Complete」。

建立擷取設定

  1. 在工作頁面的「Ingestion Configuration」部分，按一下「Configure」。

  2. 點選「New」(新增)。

  3. 輸入下列資訊：

    欄位 說明
    名稱 這項記錄的專屬名稱
    Google SCC 設定 您在「使用 Security Command Center 設定驗證」中建立的驗證設定。您設定的每項驗證都必須有一項擷取設定。
    定期收集資料 選取即可允許從 Security Command Center 定期擷取資料
    間隔(秒) Security Command Center 資料更新之間的時間間隔
    一次性資料收集 選取即可允許從 Security Command Center 擷取資料。一次性資料收集不支援稽核記錄。
    收集開始時間 開始從 Security Command Center 擷取資料的日期

    完成本節其餘步驟後，再選取「Active」(有效)。

  4. 如要新增發現項目，請完成下列步驟：

    1. 在「調查結果」分頁中，選取「已啟用」。啟用發現項目時，系統也會自動啟用資產和來源。

    2. 輸入下列資訊：

    欄位 說明
    Findings Subscription Id 如果是週期性資料收集作業，請提供發現項目的 Pub/Sub 訂閱項目名稱
    Google SCC 發現項目名稱 要填入發現項目名稱的事件欄位名稱 (例如「說明」)
    Google SCC 發現項目狀態 要填入發現項目狀態的事件欄位名稱 (例如「說明」)
    Google SCC 發現項目指標 要填入發現項目指標的事件欄位名稱 (例如「說明」)
    Google SCC 發現資源名稱 要填入發現項目資源名稱的事件欄位名稱 (例如「說明」)
    Google SCC 尋找外部 URI 事件欄位的名稱，用於填入指向外部網頁的網址，其中包含有關發現項目的更多資訊 (如有)。
    套用篩選器 適用於一次性資料收集，選取後即可指定要納入哪些專案、狀態、嚴重程度或類別
    專案名稱 選取「Apply Filters」(套用篩選器) 時，要從中擷取發現項目的專案名稱
    「State」 無論調查結果是否有效，選取「套用篩選器」 時
    嚴重性 選取「套用篩選器」時，偵測結果的嚴重程度
    類別 選取「Apply Filters」(套用篩選器) 時，要擷取發現項目的類別

  5. 如要新增素材資源，請完成下列步驟：

    1. 在「素材資源」分頁中，選取「已啟用」。

    2. 在「Asset Subscription Id」(資產訂閱項目 ID) 欄位中，輸入資產的 Pub/Sub 訂閱項目名稱，以便定期收集資料。

  6. 如要新增安全性來源，請在「來源」分頁中選取「已啟用」。

  7. 如要新增稽核記錄，請完成下列步驟：

    1. 在「稽核記錄」分頁中，選取「已啟用」。

    2. 在「Audit Logs Subscription Id」(稽核記錄訂閱項目 ID) 欄位中，輸入稽核記錄的 Pub/Sub 訂閱項目名稱，以便定期收集資料。

  8. 按一下「提交」。

  9. 如果系統顯示設定未啟用的訊息，請按一下「OK」。您可以在「啟用擷取設定」中啟用設定。

  10. 在工作頁面的「擷取設定」中，按一下「標示為完成」。

定義事件建立條件

如要從調查結果建立事件，請完成下列步驟：

  1. 在工作頁面的「Incident Creation Criteria」(事件建立條件) (適用於 Google Security Command Center ITSM) 或「Security Incident Creation Criteria」(安全事件建立條件) (適用於 Google Security Command Center SIR) 中，按一下「Configure」(設定)。

  2. 按一下您建立的事件設定名稱。

  3. 在「擷取設定」頁面中，按一下「事件建立條件清單」 (適用於 Google Security Command Center ITSM) 或「安全事件建立條件」 (適用於 Google Security Command Center SIR) 分頁標籤。

  4. 點選「New」(新增)。

  5. 輸入下列資訊：

    • 條件：建立事件的動態條件，以欄位為準。舉例來說，您可以為「嚴重性」欄位設為「高」的發現項目建立事件。

    • 順序：這項條件相對於其他條件的順序。

  6. 按一下「提交」。

  7. 針對每個會觸發事件建立作業的條件，重複執行步驟 4 到 6。

  8. 關閉「Ingestion Configuration」(擷取設定) 頁面。

  9. 在工作頁面的「Incident Creation Criteria」(事件建立條件) (適用於 Google Security Command Center ITSM) 或「Security Incident Creation Criteria」(資安事件建立條件) (適用於 Google Security Command Center SIR) 中，按一下「Mark as Complete」(標示為完成)。

定義指派群組條件

如要將事件指派給群組，請完成下列步驟：

  1. 在工作頁面的「Assignment Group Criteria」中，按一下「Configure」。

  2. 按一下您建立的事件設定名稱。

  3. 在「Ingestion Configuration」(擷取設定) 頁面中，按一下「Assignment Group Criteria List」(指派群組條件清單) 分頁標籤。

  4. 點選「New」(新增)。

  5. 輸入下列資訊：

    • Assignment Group：事件會指派給這個群組。

    • 條件：根據指定欄位觸發事件指派的動態條件。舉例來說，您可以為「發現項目類別」欄位設為「設定錯誤」的發現項目指派事件。

    • 順序：這項條件相對於其他條件的順序。

  6. 按一下「提交」。

  7. 針對每個要指派事件的群組，重複執行步驟 4 到 6。

  8. 關閉「Ingestion Configuration」(擷取設定) 頁面。

  9. 在工作頁面的「Assignment Group Criteria」(作業群組條件) 中，按一下「Mark as complete」(標示為完成)。

啟用擷取設定

  1. 在工作頁面的「Activate Ingestion Configuration」(啟用擷取設定) 中，按一下「Configure」(設定)。

  2. 按一下您建立的事件設定名稱。

  3. 選取「啟用」。

  4. 如要開始收集資料，請按一下「收集資料」。

  5. 按一下「Update」。

  6. 在工作頁面的「啟用擷取設定」中，按一下「標示為完成」。

驗證資料擷取

如要確認 ServiceNow 是否從 Security Command Center 擷取資料，請完成下列步驟。

您必須是 ServiceNow 系統管理員，才能完成這項工作。

  1. 在 ServiceNow 控制台中，按一下「All」分頁標籤。

  2. 搜尋「Google SCC ITSM」或「Google SCC SIR」，然後按一下「Ingestion Configuration」(擷取設定)。

  3. 檢查狀態，確認應用程式會收集資料。

  4. 搜尋「Google SCC ITSM」或「Google SCC SIR」，然後點選「資產」、「發現項目」、「來源」或「稽核記錄」。 確認應用程式會為每個啟用的資料類型新增記錄。如果您在「發現項目」設定中設定自動建立事件，請確認 ServiceNow 會針對符合指定條件的每個發現項目建立相關事件。

查看資訊主頁

Google Security Command Center ITSM 應用程式可讓您以視覺化方式呈現 Security Command Center 的資料。其中包含五個資訊主頁：「總覽」、「來源」、「發現項目」、「資產」和「稽核記錄」。

如要存取這些資訊主頁，請前往 ServiceNow 控制台，依序點選「All」>「 Google SCC ITSM 」>「Dashboards」，或依序點選「All」」>「Google SCC SIR」>「 Dashboards」頁面。

總覽資訊主頁

「總覽」資訊主頁包含圖表，顯示貴機構中依嚴重程度、類別和狀態分類的發現總數。Security Command Center 會彙整內建服務 (例如 安全狀態分析、 Web Security Scanner、 Event Threat Detection 和Container Threat Detection) 的發現項目，以及您啟用的任何整合式服務。

如要篩選內容，可以設定日期範圍和組織 ID。

其他圖表會顯示哪些類別、專案和資產產生的發現項目最多。

資產資訊主頁

「素材資源」資訊主頁會顯示素材資源圖表，並依素材資源類型分類。 Google Cloud

您可以依組織 ID 篩選資產資料。

稽核記錄資訊主頁

「稽核記錄」資訊主頁會顯示一系列圖表和表格，呈現稽核記錄資訊。資訊主頁包含管理活動、資料存取權、系統事件和政策遭拒等稽核記錄。表格包含時間、記錄名稱、嚴重性、服務名稱、資源名稱和資源類型。

您可以依日期範圍和組織 ID 篩選資料。

發現項目資訊主頁

「發現項目」資訊主頁會顯示最近 1,000 項發現項目的表格。 表格欄包含類別、資產名稱、來源名稱、安全性標記、發現項目類別和嚴重程度等項目。

您可以依日期範圍、組織 ID、嚴重性、狀態或發現項目類別篩選資料。如果您設定自動建立事件，資訊主頁會提供事件的連結。

來源資訊主頁

「Sources」(來源) 資訊主頁會顯示所有安全性來源的表格。表格欄包括名稱、顯示名稱和說明。

如要篩選內容，可以設定組織 ID。

手動建立事件

  1. 以 Google Security Command Center ITSM 或 Google Security Command Center SIR 管理員身分，登入 ServiceNow 控制台。

  2. 在「全部」分頁中，搜尋「Google SCC ITSM」或「Google SCC SIR」，然後按一下「發現項目」。

  3. 按一下要建立事件的發現項目。

  4. 在發現項目頁面中，如果是 Google Security Command Center ITSM，請按一下「建立事件」；如果是 Google Security Command Center SIR，請按一下「建立安全事件」。

忽略或取消忽略發現項目

Google Security Command Center SIR 應用程式提供發現項目的靜音和取消靜音功能。

必要角色： x_goog_scc_sir.Google_SCC_SIR_Admin 或 x_goog_scc_sir.Google_SCC_SIR_User

如要忽略或取消忽略發現項目，請完成下列步驟：

  1. 登入 ServiceNow 執行個體。
  2. 依序前往「Google SCC SIR」 > 「Findings」。
  3. 開啟發現項目即可變更忽略狀態。
    • 如果發現項目的忽略狀態為「未定義」或「已取消忽略」，系統會顯示「忽略發現項目」按鈕。
    • 如果發現項目的忽略狀態為「Muted」(已忽略)，系統會顯示「Unmute Finding」(取消忽略發現項目) 按鈕。
  4. 按一下「略過尋找」或「解除略過尋找」。對話方塊隨即出現。
  5. 輸入要將調查結果設為靜音或取消靜音的說明。
    • 如果您從清單檢視畫面中選取多個發現項目，說明會套用至所有選取的發現項目。
  6. 按一下 [確定]。發現項目的略過狀態會在 Security Command Center 中變更。
    • 說明會顯示在Google Cloud 控制台中的發現項目安全性標記中，並包含 ServiceNow 使用者名稱。
    • 如果在 Security Command Center 中變更靜音狀態，下次收集資料後，ServiceNow 就會反映新狀態。

建立忽略規則

您可以使用 Google Security Command Center SIR 應用程式建立忽略規則。如果您在 ServiceNow 中建立忽略規則，系統會忽略日後符合條件的發現項目。如果您在 ServiceNow 中刪除規則，Security Command Center 也會一併刪除。

必要角色： x_goog_scc_sir.Google_SCC_SIR_Admin 或 x_goog_scc_sir.Google_SCC_SIR_User

如要建立忽略規則，請完成下列步驟：

  1. 登入 ServiceNow 執行個體。
  2. 依序前往 「Google SCC SIR」 > 「忽略規則」。
  3. 點選「New」(新增)。

  4. 設定下列欄位：

    • 名稱：忽略規則的名稱。提交忽略規則後，系統會在名稱前加上 servicenow-USER_NAME，其中 USER_NAME 是建立忽略規則的使用者名稱。

    • 說明：忽略規則的說明。

    • 驗證設定：選取驗證設定，連線至 Security Command Center。

    • 查詢：輸入忽略規則的篩選查詢。

    • 類型：選取下列其中一個選項：

      • 靜態：只忽略日後的發現項目。
      • 動態：忽略現有和日後產生的發現項目。

  5. 按一下「建立忽略規則」。系統會根據回應 (成功或失敗) 建立資訊訊息和應用程式記錄項目。

手動建立 CI 查詢規則

您可以使用 Google Security Command Center SIR 應用程式，手動建立設定項目 (CI) 查閱規則。

必要角色： x_goog_scc_sir.Google_SCC_SIR_Admin

如要建立 CI 查詢規則，請完成下列步驟：

  1. 登入 ServiceNow 執行個體。
  2. 依序前往「Google SCC SIR」>「CI Lookup Rules」。
  3. 點選「New」(新增)。
  4. 填寫「名稱」和「順序」欄位。
  5. 勾選「Active」核取方塊。
  6. 在「Lookup method」部分，選取「Field Matching」或「Script」。
  7. 在「來源欄位」部分，輸入要用做輸入內容的調查結果資料欄位。
  8. 在「Search On Field」(搜尋欄位) 和「Search On Table」(搜尋資料表) 欄位中，輸入要用於查詢的值。
  9. 在「說明」中輸入規則說明。
  10. 定義規則詳細資料：
    • 如果是欄位比對規則，請指定要在設定管理資料庫 (CMDB) 中搜尋的資料表和欄位。欄位必須是字串或數字。
    • 如果是指令碼規則，請使用範本註解實作指令碼。指令碼必須傳回相符設定項目的系統 ID (sys_id)。
  11. 按一下「提交」。

查看動作記錄

Google Security Command Center SIR 應用程式提供動作記錄，記錄與忽略或取消忽略發現項目，以及更新忽略規則相關的使用者動作。

必要角色： x_goog_scc_sir.Google_SCC_SIR_Admin

如要查看動作記錄，請依序前往 「Google SCC SIR」 > 「Action Log」(動作記錄)。記錄會顯示下列資訊：

  • 動作：執行的動作 (例如建立、更新或刪除忽略規則，或忽略/取消忽略發現項目)
  • 使用者：執行動作的使用者名稱
  • 記錄：受影響記錄的參照
  • 日期：執行動作的日期和時間

變更發現項目狀態

您可以將發現項目狀態從「有效」變更為「無效」，或從「無效」變更為「有效」。

  1. 在 ServiceNow 控制台的「All」(全部) 分頁中，搜尋「Google SCC ITSM」或「Google SCC SIR」，然後按一下「Findings」(發現項目)。

  2. 按一下要變更狀態的發現項目。

  3. 在發現項目頁面中，按一下「有效發現項目」或「無效發現項目」。

  4. 按一下 [確定]。

解除安裝應用程式

如要完成這項工作，您必須是 ServiceNow 系統管理員。

  1. 在 ServiceNow 控制台的「All」(所有) 分頁中，搜尋「System Applications」(系統應用程式) ，然後依序點選「All Available Applications (所有可用應用程式)> All」(全部)。

  2. 選取「已安裝」。

  3. 選取「Google Security Command Center ITSM」或「Google Security Command Center SIR」，然後按一下「解除安裝」。

查看應用程式記錄檔

如要查看應用程式的記錄，請完成下列步驟：

  1. 以 Google Security Command Center ITSM 或 Google Security Command Center SIR 管理員的身分，登入 ServiceNow 控制台。

  2. 在「全部」分頁中，搜尋「Google SCC ITSM」或 「Google SCC SIR」，然後依序點選「管理」>「應用程式記錄」。

疑難排解

本節說明如何解決設定或使用 ServiceNow 整合時可能遇到的常見問題。

應用程式嘗試重新連線三次後仍失敗

如果發現項目 API 呼叫傳回 HTTP 429 或 5xx 狀態碼，應用程式會重試三次，每次嘗試之間會等待 60 秒。如果第三次重試失敗，程序就會失敗。如要變更回覆時間，請完成下列步驟：

  1. 以 Google Security Command Center ITSM 或 Google Security Command Center SIR 管理員身分登入 ServiceNow 控制台。如要進一步瞭解這些帳戶，請參閱「為應用程式建立使用者」。

  2. 在「All」分頁中，搜尋「Google SCC ITSM」或「Google SCC SIR」，然後按一下「System Properties」。

  3. 將「Number of max retries for an invalid response from Google SCC (in numbers)」(Google SCC 傳回無效的回覆時的重試次數上限 (數字)) 欄位設為大於 3 的數字。

  4. 按一下 [儲存]。

不支援附件

  1. 以系統管理員身分登入 ServiceNow 控制台。

  2. 在「全部」分頁中，搜尋「系統應用程式」，然後按一下「安全性」。

  3. 在「Security System Properties」(安全性系統屬性) 頁面中，確認「List of file extensions (comma-separated) that can be attached to documents via the attachment dialog」(可透過附件對話方塊附加至文件的副檔名清單 (以半形逗號分隔)) 欄位包含您要附加的副檔名，且開頭不含點號，例如 xlsx,docx。如果將這個欄位留空，系統會允許所有擴充功能。

事件的工作附註或活動數量不得超過 250 則

  1. 以系統管理員身分登入 ServiceNow 控制台。

  2. 在導覽列中搜尋 sys_properties.list。

  3. 在「System Properties」(系統屬性) 視窗中，建立篩選器「Name is glide.history.max_entries」(名稱為 glide.history.max_entries)。

  4. 按一下「執行」。

  5. 在屬性視窗中，將「值」設為大於 250 的數字。

  6. 按一下「Update」。

無法建立新使用者

如果您使用的是 Rome 發布版本，請參閱這篇文章的操作說明，瞭解如何建立使用者。

無法擷取資料

如果出現「Starting data ingestion for profile: PROFILE_NAME」(開始擷取設定檔的資料： ) 訊息，擷取發現項目、資產、來源或稽核記錄時，就可能發生這個問題。

  1. 以 Google Security Command Center ITSM 或 Google Security Command Center SIR 管理員身分登入 ServiceNow 控制台。

  2. 在「All」(全部) 分頁中，搜尋 Google SCC ITSM 或 Google SCC SIR，然後依序點選「Administration」(管理) >「System Properties」(系統屬性)。

  3. 確認下列欄位並非空白：

    • Google SCC 無效的回覆的重試次數上限 (以數字表示)

    • 達到要求限制後，再次提出要求前應等待的時間範圍 (以毫秒為單位)

  4. 如果欄位為空白，請依下列方式設定值：

    • 將「Number of max retries for an invalid response from Google SCC (in numbers)」(Google SCC 無效的回覆的重試次數上限 (以數字表示)) 欄位設為 3。

    • 將「達到要求限制後，在提出下一個要求前等待的時間範圍 (毫秒)」設為 60000。

  5. 按一下 [儲存]。

無法從 ServiceNow Store 安裝應用程式

  1. 確認您是以 ServiceNow 系統管理員身分登入。

  2. 在「All」(全部) 分頁中，搜尋「System Applications」(系統應用程式)，然後依序點選「All Available Applications」(所有可用應用程式) >「All」(全部)。

  3. 查看應用程式是否顯示在「已安裝」分頁中。

應用程式記錄檔中的 ECC Queue Timeout Error 訊息

必要角色： admin

需求條件：

  • 您必須以系統管理員身分登入。
  • 您必須位於 ServiceNow 的全球範圍內。

如要解決這個問題，請完成下列步驟：

  1. 將「Application Scope」切換為「Global」。
  2. 在導覽篩選器中輸入 sys_properties.list，前往「System Property」表格。
  3. 點按「New」即可建立系統屬性。
  4. 輸入下列值：
    • Name (名稱)：com.glide.ecc.agent_response_timeout
    • 值：3600 (或視需要提高)
    • 類型：integer
  5. 按一下「提交」。

資訊主頁小工具上的Maximum execution time exceeded訊息

如果資訊主頁小工具顯示這則訊息，您可能需要提高交易配額。詳情請參閱 ServiceNow 知識庫文章「Widget cancelled - Maximum execution time exceeded」(小工具已取消 - 超過執行時間上限，需要 ServiceNow 驗證)。

無法收集資料

如果在資料收集期間發生錯誤，請驗證系統屬性。

必要角色： x_goog_scc_sir.Google_SCC_SIR_Admin

  1. 登入 ServiceNow 執行個體。
  2. 依序前往「Google SCC SIR」>「System Properties」。
  3. 確認下列欄位並非空白：
    • Google SCC 回應無效時，重試次數上限 (以數字表示)
    • 達到要求限制後，等待一段時間再提出下一個要求 (以毫秒為單位)
  4. 如果欄位為空白，請依下列方式設定值：
    • 將「Number of max retries...」(重試次數上限) 設為 3。
    • 將「Time window to wait...」設為 60000。
  5. 按一下 [儲存]。

後續步驟