ServiceNow: Configuración del Conector API de Protección de Datos

Este artículo explica cómo configurar el conector ServiceNow para la política de Protección API de Aplicación & Datos para su cuenta y crear reglas que utilicen este conector en la Política de Protección contra Amenazas y Protección de Datos.

La política de Protección de Aplicaciones & Datos API requiere una licencia Cato separada. Por favor, contacte a su representante de Cato o revendedor oficial para obtener más información.

Visión general del conector de ServiceNow

Cree el conector para la instancia ServiceNow de su organización. Luego defina reglas en las políticas de Protección API de Aplicación & Datos que incluyan el conector ServiceNow y definan los objetos que se escanean e inspeccionan. Puede crear un único conector ServiceNow para cada instancia.

"Requisitos previos"

• El conector ServiceNow requiere un administrador con el rol de administrador global para dar permisos a la API de Protección de Datos

• El ámbito de la aplicación está configurado a global

Permisos requeridos para los conectores API en ServiceNow

Para habilitar que la API de Protección de Datos escanee registros de tablas y archivos adjuntos en su cuenta ServiceNow, el conector da a Cato los siguientes permisos y acciones con la aplicación ServiceNow:

• Otorgar acceso a la aplicación usando OAuth2

• Recibir un token de la aplicación para establecer y mantener una conexión segura

• Conectar a las APIs de ServiceNow y escanear datos y tablas según la política de Protección API de Aplicación & Datos

Trabajando con conectores de ServiceNow

Esta sección explica cómo establecer los permisos correctos de ServiceNow, crear conectores API para ServiceNow y conectar la instancia de ServiceNow de su organización a su cuenta Cato.

Nota:

Asegúrese de no tener reglas ACL, ACL IP, Reglas de Negocio o Políticas de implementación de Datos que impacten la capacidad de Cato para conectarse a su instancia ServiceNow.

Tablas y roles requeridos de ServiceNow

Cuando el administrador de ServiceNow crea el conector Cato, la cuenta del administrador necesita tener los permisos correctos para las tablas y roles. La tabla a continuación lista las tablas de ServiceNow a las que Cato necesita permisos para acceder.

El permiso mínimo requerido es el rol ITIL, pero le recomendamos que defina las tablas con el rol admin.

Configurando permisos para tablas de ServiceNow

Configure los permisos de tabla en su instancia de ServiceNow para permitir que el conector Cato monitoree tablas y datos.

Para configurar los permisos de las tablas de ServiceNow:

1. Inicie sesión en la consola de ServiceNow, y desde el menú de navegación busque Definición del Sistema y seleccione Tablas.

2. Busque el Nombre de una de las tablas, y haga clic en la tabla en el resultado de la búsqueda.

   Este es un ejemplo de búsqueda de la tabla problema.

   

3. En la configuración de la tabla, haga clic en la pestaña Acceso a la Aplicación y asegúrese de que Permitir acceso a esta tabla mediante servicios web esté seleccionado.

   

4. Haga clic en Actualizar.

5. Repita los pasos 2-4 para todas las tablas enumeradas arriba en Tablas y roles requeridos de ServiceNow.

Creando el conector de ServiceNow

Cuando cree el conector ServiceNow, copie la URL base de su instancia de ServiceNow, y péguela en el nuevo conector Cato.

Nota:

La URL base es el Protocolo, ID de la instancia y Nombre de Dominio, sin la ruta. Por ejemplo, https://sample.service-now.com es la URL base para https://sample.service-now.com/now/nav.ui.classic.params

Luego en la consola de ServiceNow, cree una nueva aplicación OAuth, y pegue la URL de Redirección Cato. También puede agregar el logo de Cato a la aplicación.

La Duración de Vida del Token de Actualización define el tiempo que el conector API de Protección de Datos tiene permiso para escanear datos de ServiceNow. Para Seguridad máxima, recomendamos Actualizar este Valor de 8,640,000 Segundos (100 Días), a 31,536,000 Segundos (1 año). Esto asegura que el conector API de Protección de Datos tenga acceso continuo a los datos de ServiceNow. Dentro de los 14 días siguientes a la expiración de la Duración de Vida del Token de Actualización se muestra una advertencia en la Aplicación de Gestión de Cato, en la página Recursos > Integraciones. Para asegurarse de que el conector API de Protección de Datos tenga acceso continuo a los datos de ServiceNow, proporcione re-consentimiento.

Después de que se cree la nueva aplicación OAuth, copie el Client ID y el Client Secret de ServiceNow y pegue estos valores en el conector. Finalmente, guarde el conector de ServiceNow en la Aplicación de Gestión de Cato y ahora Cato está listo para monitorear objetos y tablas de ServiceNow.

Nota:

El conector de Cato crea varias Reglas de Negocio de ServiceNow que se utilizan para monitorear las Tablas. No elimine ninguna Regla de Negocio con el prefijo cato. Para más información, consulte la documentación de ServiceNow.

Para crear el conector para ServiceNow:

1. Desde el menú de navegación, seleccione Recursos > Integraciones y haga clic en la pestaña APIs Integradas.

2. Haga clic en New. Se abre el panel Nuevo Conector.

3. En el desplegable Conector de aplicación seleccione ServiceNow.

4. En la sección Capacidad, seleccione Protección de Datos y contra Amenazas.

5. Configure estos ajustes del conector:

   1. Introduzca el Nombre del Conector.

      

   2. Desde la consola de ServiceNow, copie la URL base y pégala en URL base de ServiceNow.

6. Para el paso 3, configure la nueva aplicación OAuth de ServiceNow:

   

   1. Inicie sesión en la consola de ServiceNow.

   2. Vaya a System OAuth > Registro de Aplicaciones y haga clic en Nuevo.

      

   3. Haga clic en Crear un punto de conexión API OAuth para clientes externos.

      Se abre la nueva aplicación OAuth.

      

   4. Ingrese el Nombre para la aplicación.

   5. Asegúrese de que la opción Cliente Público esté desactivada.

   6. En el panel de Nuevo Conector de la Aplicación de Gestión de Cato, haga clic en para copiar la URL de redirección de Cato.

   7. En la aplicación ServiceNow, en URL de redirección, pegue la URL.

   8. (Opcional) En URL del Logo, ingrese https://www.catonetworks.com/wp-content/uploads/2022/03/cato-logo.svg para mostrar el Logotipo de Cato para la aplicación.

      Nota: No es necesario configurar los ajustes para ninguno de los otros campos en la nueva aplicación de ServiceNow.

      

   9. (Recomendado) Actualizar la Duración de vida del Token de Actualización a 31,536,000 segundos.

   10. Haga clic en Enviar. La aplicación OAuth de ServiceNow se ha creado.

7. Para el paso 4, en la consola de ServiceNow, haga clic en la nueva aplicación OAuth para abrirla.

   1. Copie y pegue los siguientes campos de la aplicación OAuth al conector de Cato en la Aplicación de Gestión de Cato:

      • Cliente ID

      • Client Secret

8. En la Aplicación de Gestión de Cato, haga clic en Guardar.

   Se abre una pantalla de permisos de ServiceNow en una nueva pestaña del navegador.

9. Conceda permisos a su cuenta de Cato para acceder a la aplicación de ServiceNow.

   1. Haga clic en Permitir para permitir que Cato acceda a la aplicación de ServiceNow.

   2. La pantalla muestra que ha aplicado con éxito los permisos para la instancia.

      

      Puede cerrar la pestaña del navegador y regresar a la Aplicación de Administración de Cato. Puede tardar varios segundos para que ServiceNow procese la solicitud, por lo que, si recibe un error, actualice el navegador.

      Mientras ServiceNow está procesando la solicitud, el Estado para el conector es Pendiente de consentimiento del usuario (ver más abajo en Comprender el Estado del Conector).

10. La aplicación SaaS de ServiceNow se agrega a la pestaña APIs Integradas.

Proporcionar nuevo consentimiento al conector de la API de Protección de Datos

Debe proporcionar proactivamente nuevo consentimiento para que el Conector de API de Protección de Datos acceda a los datos de ServiceNow antes de que el token expire. Si el token expira sin proporcionar nuevo consentimiento, el Conector de API de Protección de Datos no tiene acceso a los datos de ServiceNow hasta que proporcione nuevamente el consentimiento en la Aplicación de Gestión de Cato.

Para proporcionar nuevo consentimiento al Conector de API de Protección de Datos:

1. Desde el menú de navegación, selecciona Recursos > Integraciones y haz clic en la pestaña APIs Integradas.

2. Haga clic en los tres puntos junto al conector de ServiceNow.

3. Haga clic en Volver a dar consentimiento.

Comprensión del Estado del Conector

La columna Estado en la página de Aplicaciones SaaS Instaladas muestra el estado de la conexión entre la aplicación de ServiceNow y su cuenta de Cato. Estas son las explicaciones de los estados:

• Conectado - Tu cuenta está conectada a la aplicación y funciona correctamente

• Advertencia de conexión - Hay un problema temporal relacionado con la obtención de datos de la instancia de ServiceNow. Esto podría deberse a que el Token de Actualización está expirando en 14 días o menos. Para resolver este problema, proporcione nuevo consentimiento para que el Conector de API de Protección de Datos acceda a los datos de ServiceNow. Si esto no resuelve el problema, abra un ticket con Soporte.

• Error de conexión - Problema de conectividad o permisos con el conector de ServiceNow. Por favor, abra un ticket con Soporte.

• Pendiente de consentimiento del usuario - El conector de ServiceNow está creado en la pantalla de Configuración de Conexión, sin embargo, no ha completado el proceso para autorizar a Cato para conectarse con su cuenta de ServiceNow.

Agregando reglas de ServiceNow a la política de protección de datos

Esta sección explica cómo utilizar la política de Protección de Datos para monitorear casos gestionados por ServiceNow.

Configurando reglas de ServiceNow

Utilice la página de Protección de Datos para agregar las reglas de la aplicación SaaS a su política de Protección de Datos.

Cree una Regla de Protección de Datos para definir el tráfico que es escaneado por la API de Protección de Datos. Cree reglas separadas para cada conector de aplicación SaaS, y luego defina los criterios que determinan cuál tráfico es escaneado.

Puede elegir monitorear el contenido de campos y/o adjuntos en la instancia de ServiceNow.

Para más información sobre la configuración de las reglas de ServiceNow, consulte a continuación en Comprender las Reglas de ServiceNow.

Para crear una nueva regla de Protección de Datos para el conector de aplicaciones de ServiceNow:

1. Desde el panel de navegación, seleccione Seguridad > Protección API de Aplicaciones & Datos y seleccione o expanda Protección de Datos.

2. Haga clic en New. Se abre el panel de Nueva Regla.

3. En la sección Conector de Aplicación, seleccione el conector de aplicación de ServiceNow.

4. En la sección Configuración general, ingrese la configuración para la regla.

5. En la sección Objetos, defina las tablas de ServiceNow que se monitorean (el valor predeterminado es Cualquiera).

   Cuando selecciona múltiples objetos, hay una relación O entre ellos.

6. En Perfil de contenido, seleccione el Perfil de Contenido DLP para esta regla.

   Para más información sobre los Perfiles de Contenido DLP, consulte Creación de Perfiles de Contenido DLP.

7. (Opcional) Configure las opciones de rastreo para generar Eventos y enviar notificaciones.

   Para obtener más información sobre notificaciones, consulte el artículo relevante sobre Grupos de Suscripción, Listas de Correo e Integraciones de Alertas en la sección de Alertas.

8. Haz clic en Guardar. La regla se agrega a la política de Protección de Datos.

Entendiendo las Reglas de ServiceNow

Esta sección explica cómo definir la configuración para las reglas de Protección de Datos para escanear los archivos adjuntos o tablas de ServiceNow. Cada regla puede definirse según los siguientes criterios:

• Objetos - Seleccione una o más de las siguientes tablas de ServiceNow que la regla monitorea

  • Tarea SC

  • Fase de cambio

  • Solicitud de cambio

  • Tarea de cambio

  • Tareas de versión

  • Grupo de aprobación del sistema

  • Solicitud de cambio imac

  • Incidente

  • Tarea de incidente

  • Envío de KB

  • Conocimiento de KB

  • Problema

  • Tarea de problema

  • Fase de versión

  • Solicitud SC

  • Artículo SC REQ

  • Tarea

  • Ticket

• Perfil de contenido - Perfil de Contenido DLP que define la inspección del contenido DLP

  Puedes crear o editar Perfiles de Contenido en Seguridad > Perfiles DLP > Perfiles DLP > Perfil de contenido

• Acciones - Seleccione si desea generar un evento o enviar una notificación cuando se cumpla la regla

Trabajando con reglas de protección de datos ordenadas

El motor de API de Protección de Datos inspecciona los datos secuencialmente y verifica si coincide con una regla. Si los datos no coinciden con una regla, no se inspeccionan. Las reglas que están en la parte superior de la base de reglas tienen una mayor prioridad y se aplican antes que las reglas más bajas en la base de reglas. Cada tipo de aplicación o conector se aplica solo una vez a los datos.

Mejores prácticas - Para maximizar la eficiencia de su base de reglas, recomendamos que para cada tipo de conector, las reglas para usuarios específicos tengan una prioridad más alta que las reglas que se aplican a Todos los usuarios.

Por ejemplo, si los datos coinciden con un conector en la regla n°2, los datos son inspeccionados por el motor API de Protección de Datos. El motor no continúa aplicando las reglas n°3 y siguientes para el mismo conector. Sin embargo, los datos podrían coincidir con una regla de prioridad inferior con un conector diferente.

Agregando protección contra amenazas al conector

Puedes crear Reglas de Protección contra Amenazas para el conector para Escanear archivos y Archivos adjuntos en busca de Malware y virus utilizando los Motores de terceros Anti-Malware y Motores de terceros NG Anti-Malware que están Habilitados para tu Cuenta. El motor API de Protección de Datos escanea el tráfico del conector y aplica las opciones de acción y seguimiento que configures para la regla:

• Monitorear el tráfico (pronto se soportará bloqueo)

• Genera eventos

• Enviar notificaciones por email

Cuando creas una regla App & Data API Protection, los motores Anti-Malware que están habilitados para tu cuenta (Seguridad > Anti-Malware) realizan escaneos de malware en los archivos que se envían para esa aplicación de conector.

La siguiente captura de pantalla muestra una regla de Protección contra Amenazas para el conector de OneDrive que escanea los archivos enviados por los usuarios internos o los invitados:

Creando una excepción para un archivo

A veces hay un archivo bloqueado por los motores de API de Protección de Datos de Cato que sabe que es seguro y necesita permitirlo en la red. Las excepciones de Anti-Malware en la política de Hash del archivo también se aplican a la Protección de API de Aplicaciones y Datos. Para más información sobre cómo agregar archivos a la Política de Hash del archivo, consulte Gestión de Excepciones de Anti-Malware.

Analizando Eventos de la API de Protección de Datos

La página Inicio > Eventos muestra todos los eventos de la API de Protección de Datos para su cuenta. Las herramientas de búsqueda poderosas permiten profundizar e identificar los pocos eventos que contienen los datos relevantes que necesita.

Los eventos de la API de Protección de Datos pueden ser identificados por los siguientes campos:

• Tipo de evento - Seguridad

• Sub-Tipo - Protección de datos de API de seguridad SaaS y Anti Malware de API de seguridad SaaS

Puede aprender más sobre el uso de la página de Eventos aquí.

Explicando los Campos de Eventos de la API de Protección de Datos

Limitaciones conocidas - Tablas de ServiceNow compatibles

Esta sección lista qué tablas de ServiceNow son actualmente soportadas para el conector. Las tablas no soportadas no se monitorean para datos sensibles.

• Los comentarios y las notas de trabajo no son soportados