Defender for Cloud Apps 如何協助保護您的 ServiceNow 環境

ServiceNow 是主要的 CRM 雲端供應商。 它儲存關於客戶、內部流程、事件及報告的敏感資料。 作為一個對業務至關重要的應用程式，無論是組織內外的人，包括合作夥伴和承包商，都會使用它。 許多使用者可能未遵守安全最佳實務。 他們可能會無意間分享敏感資料。 惡意行為者也可能試圖存取您最敏感的客戶資產。

將 ServiceNow 連接到 Defender for Cloud Apps，能提升對使用者活動的洞察。 它也協助利用機器學習異常偵測與資訊保護來偵測威脅，例如辨識敏感客戶資料何時上傳至 ServiceNow。

使用此應用程式連接器，透過 Microsoft 安全分數 中反映的安全性控制項來存取 SaaS 安全態勢管理 (SSPM) 功能。 深入了解。

主要威脅

將 ServiceNow 連接到 Defender for Cloud Apps 能幫助您應對以下威脅：

  • 帳號被入侵與內部威脅
  • 資料外洩
  • 安全意識不足
  • 非受管理的自備裝置 (BYOD)

用 Defender for Cloud Apps 保護您的環境

您可以以下方式保護您的 ServiceNow 環境：

ServiceNow 的 SaaS 安全態勢管理

將 ServiceNow 連接到 Microsoft Defender for Cloud Apps，以在 Microsoft 安全分數 中獲得 ServiceNow 的安全提示。

在 Secure Score 中，選擇 「推薦行動」。 依 產品 = 服務現在篩選。 範例包括：

  • 啟用多重身份驗證（MFA）
  • 啟用明確角色外掛
  • 啟用高安全性外掛
  • 啟用腳本請求授權

如需詳細資訊，請參閱：

具備內建政策與政策範本的 Control ServiceNow

您可以使用以下內建政策範本來偵測並通知潛在威脅：

Important

檔案原則將於 2027 年 1 月 6 日淘汰。 為了維持此應用程式的檔案式資料保護，請遷移至 Microsoft Purview DLP 或自動標籤政策。

類型 姓名
內建異常偵測策略 來自匿名 IP 位址的活動
來自不常見國家/地區的活動
來自可疑 IP 位址的活動
不可能的移動
由已停用的使用者執行的活動（需要 Microsoft Entra ID 作為 IdP）
多次失敗的登入嘗試
勒索軟體偵測
不尋常的多重檔案下載活動
活動政策範本 從高風險的 IP 位址登入
單用戶大量下載
檔案政策範本 偵測與未授權網域共享的檔案
偵測與個人電子郵件地址共用的檔案
偵測帶有 PII/PCI/PHI 的檔案

欲了解更多關於建立政策的資訊，請參見 「建立政策」。

自動化治理控管

你也可以自動化 ServiceNow 治理行動來修正偵測到的威脅。 這些動作透過 Microsoft Entra ID 執行：

類型 動作
使用者治理 - 透過 Microsoft Entra ID 在發出警示時通知使用者
- 要求使用者重新登入 (透過Microsoft Entra ID)
- 暫停使用者（透過 Microsoft Entra ID）

欲了解更多關於從應用程式中修復威脅的資訊，請參閱「 管理連接應用程式」。

即時保護ServiceNow

檢視我們關於 保護與與外部使用者協作 ，以及 阻擋及保護敏感資料下載至未受管理或風險裝置的最佳實務。

將 ServiceNow 連線至 Microsoft Defender for Cloud Apps

使用 App 連接器 API 將 Microsoft Defender for Cloud Apps 連接到你現有的 ServiceNow 帳號。 ServiceNow 應用程式連接器讓你能看到並控制 ServiceNow 的使用情況。 關於威脅偵測、治理控制及即時防護指引，請參閱 Protect ServiceNow。

使用此應用程式連接器，透過 Microsoft 安全分數 中反映的安全性控制項來存取 SaaS 安全態勢管理 (SSPM) 功能。 深入了解。

必要條件

  • 為了將 ServiceNow 與 Defender for Cloud Apps 連接，
  • 你的 ServiceNow 實例必須支援 API 存取。
  • 你必須有管理員職務。
  • 用來建立連線的管理員帳號必須擁有使用 API 的權限。

Defender for Cloud Apps 支援以下 ServiceNow 版本：

  • 尤里卡
  • 斐濟
  • 日內瓦
  • 赫爾辛基
  • 伊斯坦堡
  • 雅加達
  • 金斯頓
  • 倫敦
  • 馬德里
  • 紐約
  • 奧蘭多
  • 巴黎
  • 魁北克
  • 羅馬
  • 聖地牙哥
  • 東京
  • 猶他州
  • 溫哥華
  • 華盛頓州
  • 仙境
  • 橫濱
  • 蘇黎世
  • Australia

欲了解更多資訊，請參閱 ServiceNow OAuth 應用程式文件。

提示

我們建議使用 OAuth 應用程式令牌來部署 ServiceNow，這些代幣可用於富士及後續版本。 欲了解更多資訊，請參閱 ServiceNow 中的 OAuth 應用程式配置。

早期版本使用舊有 連線模式 ，使用使用者名稱與密碼。所提供的使用者名稱與密碼僅用於產生 API 令牌，且在初始連線後不會被儲存。

如何使用 OAuth 將 ServiceNow 連接到 Defender for Cloud Apps

請依照以下步驟在 ServiceNow 建立 OAuth 設定檔，並將其連接到 Defender for Cloud Apps：

  1. 請用管理員帳號登入你的 ServiceNow 帳號。

    附註

    早期版本則提供基於使用者/密碼的 舊有連線模式 。 所提供的使用者名稱/密碼只會用於產生 API 令牌，且在初始連線後不會被儲存。

  2. 建立一個新的 OAuth 設定檔，然後選擇 為外部客戶建立 OAuth API 端點。

  3. 請填寫以下 申請登記處的新紀錄 欄位：

    1. 輸入你的 OAuth 個人檔案名稱，例如，CloudAppSecurity。

    2. 複製 客戶識別碼。 你稍後會用到它。

    3. 在 Client Secret 欄位輸入一個字串。 若空置，則會自動產生一個隨機祕密。 複製下來保存以備後用。

    4. 將 存取權憑證的壽命 至少延長到3,600年。

    5. 將 範圍限制 值改為 廣泛範圍。

  4. 選擇定義的 OAuth 名稱，並將 Refresh Token 壽命 改為 7,776,000 秒 (90 天) 。

  5. 建立內部程序以確保連線持續有效。

    1. 務必在舊的刷新代幣預期到期前撤銷該代幣。
    2. 在 Microsoft Defender 入口網站中，使用相同的客戶端 ID 和客戶端秘密編輯現有連接器。 這會產生新的重新整理權杖。

    附註

    代幣輪換是每90天一次的循環。 如果在過期前不刷新令牌，ServiceNow 連線就會停止運作。

將 ServiceNow 連線至 Microsoft Defender for Cloud Apps

要在 Microsoft Defender 入口網站完成連線，請依照以下步驟操作：

  1. 在 Microsoft Defender 入口網站中，選擇設定。 然後選擇 雲端應用程式。 在 已連接的應用程式中，選擇 應用程式連接器。

  2. 在 應用程式連接器 頁面，選取 +連線應用程式，然後選取 ServiceNow。

    截圖顯示在 Defender 入口網站中 ServiceNow 連接器的位置。

  3. 在下一個視窗中，給該連線命名並選擇 「下一步」。

  4. 在 「輸入詳情 」頁面，選擇 使用 OAuth 代幣連接 (推薦) 。 選取 [下一步]。

    ServiceNow 應用程式連接器詳細對話框的截圖。

  5. 要找到你的 ServiceNow 使用者名稱，請在 ServiceNow 入口網站中點選「 使用者 」，然後在表格中找到你的名字。 （可選）若要使用此步驟使用非管理員使用者，請依照以下章節的步驟建立非管理員使用者。

  6. 在 OAuth 細節頁面，輸入你的客戶端 ID 和客戶端秘密。 選取 [下一步]。

  7. 在 Microsoft Defender 入口網站中，選擇設定。 然後選擇 雲端應用程式。 在 已連接的應用程式中，選擇 應用程式連接器。 請確認已連接的應用程式連接器狀態為 「已連接」。

連接 ServiceNow 後，你會收到連線前 1 小時的事件。

可選：在 ServiceNow 建立非管理員使用者

步驟 1：在 ServiceNow 建立自訂存取控制清單（ACL）

  1. 請用管理員帳號登入 ServiceNow。
  2. 打開 「提升角色 」選單，啟用 管理員 和 security_admin。 這些升階角色是建立特定資料表 ACL 的必要條件。
  3. 導航至存取控制（ACL）設定。
  4. 為以下每個表格建立 一個讀取 ACL：
    • sys_user
    • sys_user_group
    • sys_user_grmember
    • sys_user_has_role
    • sys_properties
    • v_plugin
    • sysevent_script_action
    • sys_attachment
    • sys_attachment_doc
    • sysevent
    • syslog_transaction
    • 事件
    • sys_user_role_contains
  5. 對每個 ACL，設定 Type = 記錄、 Operation = read、 Name = 資料表名稱， Required Role = 自訂角色如 custom_table_access。
  6. 在所有 ACL 使用相同的自訂角色，以簡化管理。

步驟 2：建立非管理員使用者

  1. 在 ServiceNow 裡，點到 使用者管理>使用者。
  2. 建立一個新的使用者帳號。
  3. 記錄使用者名稱和密碼，方便日後在整合設定中使用。
  4. 打開新建立的使用者個人檔案。
  5. 請滑到 角色 區塊。
  6. 將步驟 1 中建立的自訂角色（例如 custom_table_access）指派給使用者。

Legacy ServiceNow 連接

要將 ServiceNow 與 Defender for Cloud Apps 連接，您必須擁有管理員層級的權限，並確保 ServiceNow 實例支援 API 存取。

  1. 請用管理員帳號登入你的 ServiceNow 帳號。

  2. 為 Defender for Cloud Apps 建立一個新的服務帳號，並將管理員角色附加到新建立的帳號上。

  3. 確保 REST API 外掛是開啟的。

後續步驟

  • 上次更新時間：