Security Operations 是面向 ServiceNow 平台的安全运营（SecOps）技能，目标是把安全工具集成进来并自动化事件响应流程。
一、用途与架构 该技能用于在 ServiceNow 中构建安全运营能力。其架构为：安全来源（SIEM、EDR、漏洞扫描器）产生安全事件与漏洞，进而形成安全事件与漏洞项，随后进入调查与响应，最后完成修复与关闭。
二、关键数据表 资料列出以下核心表：sn_si_incident（安全事件）、sn_vul_vulnerable_item（漏洞项）、sn_si_alert（安全告警）、sn_ti_indicator（威胁指标 IOC）、sn_si_task（安全任务）。
三、主要能力
- 安全事件管理：可创建安全事件，设置短描述、描述、分类（category、subcategory、attack_vector）、严重性（severity，1 为 Critical 至 4 为 Low）、优先级、受影响用户、受影响配置项（cmdb_ci）、来源与来源 ID、分配组等字段。
- 事件状态流转：提供与 NIST 对齐的状态集合，包括 DRAFT(1)、ANALYSIS(2)、CONTAIN(3)、ERADICATE(4)、RECOVER(5)、REVIEW(6)、CLOSED(7)、CANCELLED(8)，并定义合法流转路径，例如 Draft 只能到 Analysis 或 Cancelled，Review 只能到 Closed。流转时可在进入 Contain 时记录 contained_at，进入 Closed 时记录 closed_at，并写入工作备注。
- 漏洞管理：可创建漏洞项，关联 CVE 与配置项，设置严重性（critical、high、medium、low）、CVSS 分数、首次与最近发现时间、扫描器（如 Qualys）、风险分数与状态。
- 漏洞风险评分：以 CVSS 分数乘以 10 为基础，根据配置项的业务关键性（如“1 - most critical”乘 1.5，“2 - somewhat critical”乘 1.25）和是否对外暴露（乘 1.3）进行调整，最终上限为 100。
- 漏洞修复：可创建修复任务（sn_si_task），关联漏洞项，依据配置项的支持组分配，并按严重性设置到期时间：critical 为 7 天、high 为 30 天、medium 为 90 天、其他为 180 天。
- 威胁情报：可创建 IOC，设置值、类型（domain、ip、hash、url、email）、威胁类型（如 command_and_control）、置信度（0-100）、严重性、来源与来源引用、有效期（valid_from、valid_until）以及是否激活。并提供匹配函数，按值、类型、激活状态和有效期查询是否命中已知 IOC，返回威胁类型、严重性、置信度与来源。
- 安全剧本：提供遏制剧本示例，步骤包括隔离受影响配置项、禁用受影响用户、创建遏制任务、更新事件状态为 Contain 并记录 contained_at 与工作备注。隔离通过事件队列触发，禁用用户则设置 active 为 false、locked_out 为 true。
四、使用方式 该技能通过 ServiceNow 服务端脚本（GlideRecord）操作上述表，资料中所有代码示例均标注“ES5 ONLY”，即仅适用于 ES5 环境，且明确要求不使用现代 JavaScript 语法。此外还提供 MCP 工具集成，可用工具包括：snow_query_table（查询 SecOps 表）、snow_artifact_manage（action='find'，查找安全配置）、snow_execute_script（测试 SecOps 脚本）、snow_create_event（触发安全事件）。示例工作流包括查询未关闭的高危安全事件、查找严重漏洞、检查威胁指标。
五、适用场景 适用于需要在 ServiceNow 中构建安全运营流程的团队，包括安全事件响应、漏洞管理与修复跟踪、威胁情报指标维护与匹配、以及常见场景的响应剧本自动化。
六、最佳实践与限制 资料给出的最佳实践包括：快速分类、优先遏制、完整记录、自动化响应、集成工具（SIEM、EDR 等）、保持威胁情报更新、跟踪 MTTD 与 MTTR 指标。限制方面，所有脚本仅适用于 ES5 环境，不能使用现代 JavaScript 语法。关于收费、价格、平台支持范围等更多信息，资料暂未提供。