Intégration des commandes système Security Operations : workflow Obtenir les processus en cours d’exécution

Le workflow Intégration des commandes du système des opérations de sécurité : obtenir l’exécution des processus récupère les processus en cours d’un élément de configuration lorsqu’il est ajouté ou mis à jour dans un incident de sécurité Windows ou Unix à l’état Analyse.

Avant de commencer

Rôle requis : sn_si.analyst

Pourquoi et quand exécuter cette tâche

Pour les nouveaux incidents de sécurité, le workflow s’exécute automatiquement lorsque vous soumettez l’incident avec un élément de configuration sélectionné, lorsque l’état passe automatiquement à Analyse. S’il reste à l’état Brouillon , il ne s’exécute pas.

Les incidents de sécurité existants sont automatiquement mis à jour lorsque vous êtes dans l’état Analyse et que vous ajoutez un nouvel élément de configuration.

Les activités de processus du workflow comprennent :

• Obtenir l’activité FQDN de l’élément de configuration
• Déterminer le script Shell par activité du système d’exploitation
• Suivi des exécutions : démarrer l’activité
• Obtenir les processus en cours d’exécution via PowerShell
• Activité Exécuter le script Shell
• Suivi d’exécution de l’aptitude : activité d’échec
• Extraire le script Shell de l’activité de script MID
• Combiner les résultats et les valeurs de retour dans un tableau
• Créer une activité d’enregistrements de données d’enrichissement
• Suivi d’exécution de l’aptitude : terminer l’activité

Figure 1. Obtenir l'exécution des processus

Procédure

1. Ouvrez un incident de sécurité.
2. Mettez à jour l’état sur Analyse, si nécessaire.
3. Ajoutez un élément de configuration (ordinateur, serveur ou similaire).
4. Cliquez sur Mettre à jour.
   Orchestration de la réponse aux incidents de sécurité fournit des informations sur le processus en cours dans le Lien connexe > Enrichissements des incidents de sécuritéonglet. Pour plus d'informations, consultez Opérations de sécurité Mappage des données d’enrichissement.

   Les activités spécifiques à ce workflow sont décrites ici. Pour plus d’informations sur d’autres activités, voir Workflows d’intégration et activités d’orchestration courants pour Opérations de sécurité.

• Activité de combinaison des résultats
  L’activité de workflow Combiner les résultats fusionne les résultats d’intégrations tierces pour les utiliser dans le workflow.
• Activité Exécuter le script Shell
  L’activité de workflow Exécuter le script shell exécute un script shell de MID Server dans le workflow.
• Extraire le script Shell de l’activité de script MID
  L’activité de workflow Extraire le script shell du script MID extrait un script shell de MID Server à utiliser dans le workflow.
• Obtenir l’exécution des processus via l’activité PowerShell
  L’activité de workflow Obtenir l’ID de capteur rassemble les processus en cours d’exécution à l’aide de PowerShell pour les utiliser dans le workflow.