ServiceNow Certified Implementation Specialist - Security Incident Response (CIS-SIR)

认证概述

ServiceNow Certified Implementation Specialist - SIR（CIS-SIR）验证你能在 ServiceNow 上实施 Security Operations（SecOps）中的 Security Incident Response（SIR）和 Vulnerability Response（VR）模块。SIR 将 SIEM 工具（Splunk/QRadar/Microsoft Sentinel）产生的安全告警导入 ServiceNow，由 SOC 分析师在 ServiceNow 的 Security Incident 工作台中处理：分类安全事件、关联威胁情报（IOC 匹配）、执行 Playbook（自动化响应步骤）、追踪修复进度。Vulnerability Response 模块则将 Qualys/Tenable 等漏洞扫描器的结果导入 CMDB，与 CI 关联后创建 Remediation Task 分配给修复团队。考试以场景题为主，需要具备信息安全基础知识。60 题、90 分钟、及格线 70%，$250 考试费。

考试领域

• Security Incident Response（SIR）：安全事件完整生命周期 —— Event/Alert 导入 → Security Incident 创建（手动或自动）→ 分类与优先级（Impact × Urgency 矩阵）→ Investigation（调查，关联 Observables 和 IOC）→ Containment（遏制）→ Eradication（根除）→ Recovery（恢复）→ Post-Incident Review（事后分析）；自动化事件创建规则；SLA 和升级配置；Major Security Incident 管理
• 威胁情报（Threat Intelligence）：Threat Intelligence 数据源集成（STIX/TAXII 协议、第三方 Feed 导入）；Observable Types（IP Address/Domain/File Hash/URL/Email Address 等）管理；IOC（Indicators of Compromise）匹配规则 —— 将 Security Incident 中的 Observables 与已知恶意 IOC 匹配；Sighting 记录自动生成；Threat Lookup 功能
• 漏洞响应（Vulnerability Response）：第三方扫描器集成方式 —— Qualys、Tenable（Nessus）、Rapid7 的数据导入；Vulnerable Items 的创建、分组和优先级排序；Remediation Tasks 分配与追踪；Exception 处理（接受风险/推迟修复）；Vulnerability Calculator（结合 CVSS 和业务影响计算综合评分）；与 CMDB CI 的关联
• 安全运营配置（SecOps Configuration）：SOC Workspace 界面配置；Playbooks（自动化响应步骤，类似 Flow Designer 的安全版本）；Security Incident SLA 配置；事件分类（Category/Subcategory）规则；SIEM 集成（Connector 配置）
• 报表与仪表板（Reporting & Dashboards）：Security Posture Dashboard；Performance Analytics for SecOps；MTTD（平均检测时间）和 MTTR（平均响应时间）指标

适合人群

ServiceNow SecOps 实施顾问（ServiceNow SecOps Consultant）在企业 SOC 数字化转型中负责 SIR/VR 模块实施，以及信息安全工程师（Information Security Engineer）希望获得 ServiceNow 安全运营官方认证的从业者。