Konfigurieren Sie die Sichtungssuche

Sie können eine Sichtungssuche für ein oder mehrere erkennbare Elemente durchführen, um zu bestimmen, wie oft die erkennbaren Elemente in Ihren Organisationsprotokollen gesehen wurden. Sie können eine Sichtungssuche für erkennbare Elemente innerhalb einer ausgewählten Anzahl von Tagen oder innerhalb eines Datumsbereichs durchführen.

Vorbereitungen

Erforderliche Rolle: sn_sec_tisc.admin

Hinweis:

Das Modul „Ergänzungsintegrationen“ wird nur angezeigt, wenn mindestens eine der Integrationen, die eine der Fähigkeiten unterstützen, in der Anwendung installiert ist.

Threat Intelligence-Sicherheitszentrum unterstützt die Sichtungssuche nur für die folgenden Integrationen:

• Splunk-Suche
• ElasticSearch

Warum und wann dieser Vorgang ausgeführt wird

Der Abschnitt „Sichtungssuche“ enthält nur Integrationen mit dem Integrationstyp „Sichtungssuche“.

In diesem Abschnitt werden Karten für alle konfigurierten Integrationsimplementierungen angezeigt, die Sie aktivieren und verwenden können.

Prozedur

1. Navigieren zu Arbeitsbereiche > Threat Intelligence-Sicherheitszentruman.
2. Klicken Sie auf das Symbol Integrationen, und wählen Sie den Abschnitt Sichtungssuche aus.
   
3. Klicken Sie auf die Aktion Neue Ergänzung konfigurieren.
   Dadurch gelangen Sie zum Popup-Fenster, das die verfügbaren Integrationen anzeigt. Sie müssen die Integration auswählen, die Sie konfigurieren möchten.
4. Wählen Sie eine Integration aus der Liste der verfügbaren Integrationen aus, und klicken Sie auf Auswählen.
   Dadurch gelangen Sie zur Seite „Neue Ergänzungsintegration erstellen“ der ausgewählten Integration. Diese Seite ist standardmäßig bereits mit Details der ausgewählten Integration gefüllt. Beispiel: Splunk-Integration.

   

5. Füllen Sie die Felder im Formular „Neue Integration erstellen“ aus.

   Feld	Beschreibung
   Ergänzungsintegration
   Name	Geben Sie einen Namen für die neue Ergänzungsintegration ein. Beispiel: Splunk-1.
   Lieferantenname	Name des Lieferanten. Die Details des ausgewählten Lieferanten sind standardmäßig vorab ausgefüllt. Beispiel: Splunk.
   Integrationstyp	Typ der von Ihnen ausgewählten Integration (Sichtungssuche). Die Details des ausgewählten Integrationstyps sind standardmäßig vorab ausgefüllt.
   Beschreibung	Geben Sie eine eindeutige Beschreibung für die neue Ergänzungsintegration ein.

   
6. Konfigurieren Sie im Abschnitt „Integrationskonfiguration“ die Integrationsdetails basierend auf Ihren Anforderungen.
   Der Abschnitt „Integrationskonfiguration“ enthält Konfigurationsdetails wie API-Schlüssel, API-Client-ID oder Geheimnis, Anwendername, Passwort usw., die Sie ausfüllen müssen. Diese Konfigurationsdetails variieren für verschiedene Apps.
7. Klicken Sie auf die Aktion Speichern, um die neue Konfiguration der Ergänzungsintegration zu speichern und zu erstellen.
   Die angegebenen Details werden validiert, und standardmäßig ist der Status der Ergänzungsintegration deaktiviert.
8. Klicken Sie auf die Aktion Als Entwurf speichern, um nur die an der Ergänzungskonfiguration vorgenommenen Aktualisierungen zu speichern und nicht zu erstellen.
   Wenn Sie sich bezüglich der Konfigurationsdetails nicht sicher sind, können Sie die Option Als Entwurf speichern verwenden. Nachdem Sie die Konfigurationsdetails abgerufen haben, können Sie die verbleibenden Informationen in die Entwurfsversion eintragen und sie erstellen.
9. Zum Aktivieren der Ergänzungsintegration klicken Sie auf Aktivieren.
   Die Ergänzungsintegration wurde erfolgreich aktiviert. Sie können auch eine bestimmte Ergänzungsintegration aktivieren, indem Sie das Menü „Aktionen“ der erforderlichen Integrationskachel auf der Seite „Katalog“ oder „Alle Integrationen“ verwenden.

• Definieren Sie Abfragen für die Sichtungssuche
  Sie können Sichtungssuchkonfigurationen verwenden, um die Abfragen zu definieren, die verwendet werden, um die Verbreitung von erkennbaren Elementen in Ihrer Umgebung im Rahmen der Untersuchung von erkennbaren Elementen zu ermitteln.
• Sichtungssuchparameter werden verwendet
  Sie können Sichtungssuchparameter verwenden, die komplexere Abfragen definieren, einschließlich Logik und anderer Operatoren, die vom angegebenen Protokollspeicher unterstützt werden.