Security Operations Integration - Sichtungssuche-Workflow

Der WorkflowSecurity Operations-Integration – Sichtungssuche ist ein allgemeiner Workflow, der von Integrationen unabhängig ist. Sie verwendet die konfigurierten Abfragen, um basierend auf den konfigurierten Integrationen, die diese Fähigkeit unterstützen, nach einer Reihe von erkennbaren Elementen zu suchen. Verwenden Sie es, um eine -Integration wie Splunk oder Elasticsearch zu erfüllen.

Vorbereitungen

Erforderliche Rolle: sn_si.analyst

Warum und wann dieser Vorgang ausgeführt wird

Wenn einem Security Incident ein erkennbares Element angehängt ist, wird dieser Workflow ausgelöst, wenn Sie im Dropdown-Menü Aktionen für ausgewählte Zeilen... auf der Registerkarte Erkennbare Elemente des Security Incident auf Sichtungssuche ausführen klicken.

Zu den Workflow-Prozessaktivitäten gehören:

• Aktivität „Erkennbare Elemente“ bestimmen
• Ausführungsnachverfolgung: Start-Aktivität
• Timer-Workflow-Aktivität : Wartet eine Sekunde, um eine Sperre zu erhalten.
• Workflow-Aktivität sperren
• Filter für „Aufgeführte erkennbare Elemente zulassen“.
• Aktivität „Unterstützte Sicherheitsfähigkeiten abrufen“
• Nachverfolgung der Fähigkeitsausführung: Keine Implementierungsaktivität
• Entsperren Workflow Aktivität
• Aktivität „Sichtungsabfragen für erkennbares Element abrufen“.
• Nachverfolgung der Fähigkeitsausführung: Fehleraktivität
• Skript ausführen Workflow Aktivität
• Startprogramm für parallele Flows
• Wenn Workflow-Aktivität Wenn Workflow-Aktivität : Iterieren Sie, bis alle entsprechenden Workflows ausgeführt wurden, und speichern Sie die Ergebnisse in einem Array.
• Nachverfolgung der Fähigkeitsausführung – Aktivität abschließen

Abbildung : 1. Sichtungssuche

Spezifische Aktivitäten für diesen Workflow werden hier beschrieben. Weitere Informationen zu anderen Aktivitäten finden Sie unter Workflows bei der Integration von Common Security Operations und Orchestration-Aktivitäten.

• Sichtungssuche – Aktivität „Erkennbare Elemente bestimmen“.
  Die Workflow-Aktivität „Sichtungssuche – Bestimmen erkennbarer Elemente“ bestimmt, welche erkennbaren Elemente in den Workflow aufgenommen werden sollen.
• Aktivität „Sichtungen von persistenten erkennbaren Elementen“.
  Die Workflow-Aktivität „Persistent Observable Sightings “ ruft erkennbare Elemente aus der Drittanbieterintegration ab.
• Aktivität „Sichtungsabfragen für erkennbares Element abrufen“.
  Die Workflow-Aktivität „Abfragen von erkennbaren Elementen abrufen“ ruft Abfragen aus der Integrationskonfiguration ab.
• Workflow für die Sichtungssuche in Arcsight Logger
  Der Workflow„Security Operations − ArcSight Logger Sightings Search“ ist die Implementierung der Splunk-Integration, die durch den Workflow „Security Operations Integration − Sightings Search“ gestartet wird.
• Security Operations – Elasticsearch Sightings-Such-Workflow
  Der Workflow „Security Operations - Elasticsearch-Sichtungssuche “ ist die Elasticsearch-Implementierung, die vom Workflow „ Security Operations Integration – Sichtungssuche “ gestartet wird.
• Security Operations – Workflow für McAfee ESM-Sichtungssuche
  Der Workflow „Security Operations – McAfee ESM-Sichtungssuche “ ist die Implementierung für die Splunk-Integration, die durch den Workflow „Security Operations-Integration – Sichtungssuche“ gestartet wird.
• Workflow für die QRadar-Sichtungssuche
  Der Workflow„Security Operations − QRadar-Sichtungssuche“ ist die Implementierung für die IBM QRadar-Integration, die durch den Workflow „Security Operations Integration –QRadar-Sichtungssuche“ gestartet wird.
• Security Operations Integration - Splunk Sightings Search-Workflow
  Der Workflow„Security Operations – Splunk-Sichtungssuche“ ist die Implementierung der Splunk-Integration, die durch den Workflow „Security Operations Integration – Sichtungssuche“ gestartet wird.