Créer des enregistrements de configuration de recherche d’observations

Créez plusieurs enregistrements de configuration de recherche de perceptions et utilisez-les lors de l’interrogation de plusieurs magasins de journaux ou de la modification des paramètres de recherche.

Avant de commencer

Rôle requis : sn_si.admin

• Le module complémentaire CIM doit être installé sur l’instance Splunk.
• Les recherches enregistrées et les requêtes sur place ne sont prises en charge que pour Splunk Integration.

Pourquoi et quand exécuter cette tâche

Vous pouvez également créer des enregistrements de configuration de recherche de perceptions pour appeler des recherches enregistrées dans le magasin de journaux d’entreprise Splunk.

Remarque :

Les requêtes de configuration de recherche s’appuient sur les données du journal Splunk pour être conformes au modèle d’information commun (CIM) Splunk.

Avec les configurations de recherche enregistrées, vous pouvez :

• Créez des recherches personnalisées qui combinent plusieurs enregistrements d’événements.
• Concevez des recherches efficaces et efficientes.
• Utiliser des entrées paramétrées dans la recherche enregistrée Splunk.

Le système de base inclut les exemples de configurations, comme illustré dans cette image :

Figure 1. Configurations de recherche enregistrées

La recherche enregistrée et les requêtes de configuration sur place sont des exemples de requêtes et peuvent être remplacées par des paramètres appropriés pour votre environnement. Créez des configurations de recherche enregistrées supplémentaires selon vos besoins. Lorsque vous définissez une configuration de recherche enregistrée, le nom et les paramètres de la requête de recherche doivent correspondre à la configuration enregistrée définie sur votre instance Splunk. Si le nom et les paramètres ne sont pas les mêmes, vous risquez de ne pas voir de résultats précis lorsque vous effectuez une recherche d’observations.

Remarque :

Sur votre instance Splunk, accédez à la page Recherches, rapports et alertes et localisez votre requête de recherche enregistrée. Cliquez sur le lien Autorisations pour accéder à la page Autorisations. Sélectionnez la case d’option Toutes les applications et activez l’option Autorisation de lecture pour Tout le monde. Cela modifiera la valeur de la colonne Partage de Privé à Application pour votre requête de recherche enregistrée. Si cette option n’est pas définie, la requête de recherche enregistrée peut ne pas renvoyer de résultats.

Pour vérifier si la configuration de recherche enregistrée correspond à la configuration définie sur votre instance Splunk :

1. Accédez à la Paramètres > Recherches, rapports et alertes.
2. Définissez tous lescontextes de l’application.

   Une liste des rapports de recherche s’affiche.

3. Confirmez que la requête de recherche enregistrée figure dans la liste.

Par exemple, le formulaire de configuration de recherche de perceptions contient l’adresse e-mail et l’expéditeur d’e-mail comme paramètres de recherche :

Figure 2. Formulaire de configuration de la recherche de perceptions

Dans votre instance Splunk, définissez la recherche enregistrée avec le même nom, la recherche enregistrée par défaut : e-mails, et les mêmes paramètres de recherche pour l’adresse e-mail et l’objet de l’e-mail. Si le nom et les paramètres de recherche ne sont pas les mêmes, la recherche de perceptions ne génère pas de résultat précis.

Procédure

1. Accédez à la Security Operations > Intégrations > Configuration de la recherche de perceptions et créez un nouvel enregistrement (voir la table des descriptions de champ).

   Tableau 1. Formulaire de configuration de la recherche de perceptions

   Champ	Description
   Nom	Nom de la configuration.
   Est une recherche enregistrée	La configuration de recherche enregistrée est créée si vous sélectionnez cette option.
   Source de recherche de perceptions	La source de la recherche d’observations. Sélectionnez le magasin de journaux Splunk comme source.
   Actif	Option pour l’état de la recherche enregistrée. Seules les configurations de recherche actives peuvent être utilisées pour effectuer une recherche de perceptions.
   Type d'observable	Le type d’observable peut être n’importe quel type d’observable tel qu’une adresse IP, une valeur de hachage, une URL, un nom de domaine, etc.
   Nombre maximum d'observables par recherche	Nombre maximal d’observables à renvoyer à partir de la recherche.
   Rechercher	La chaîne de recherche par défaut est $(observable), mais vous pouvez définir votre propre requête de recherche en spécifiant les paramètres pris en charge par le magasin de journaux Splunk.

2. Cliquez sur Envoyer.

Résultats

Vous avez créé un enregistrement de configuration de recherche de perceptions.

Que faire ensuite

Après avoir défini la requête de recherche, cliquez sur Générer une requête de test de recherche de détections, puis spécifiez une liste de valeurs observables pour générer une requête de test basée sur cette configuration de recherche enregistrée.

• Exécuter une recherche d’observations
  Déterminer la prévalence d’une menace dans le temps ou tester les efforts de rattrapage ou d’éradication. Vous pouvez sélectionner un ou plusieurs observables et la plage de dates pour votre recherche à partir d’un incident de sécurité. Les résultats sont inclus dans la liste connexe Observables de l’incident de sécurité .
• Security Operations Integration - Workflow de recherche de perceptions
  Le workflow Security Operations Integration - Recherche de perceptions est un workflow de haut niveau indépendant des intégrations. Elle utilise les requêtes configurées pour rechercher un ensemble d’observables en fonction des intégrations configurées qui prennent en charge l’aptitude. Utilisez-le pour réaliser une intégration telle que Splunk ou Elasticsearch.
• Afficher les résultats de recherche d’observations
  Vous pouvez consulter les résultats de la recherche de perceptions à la recherche d’indicateurs malveillants internes et externes.
• Afficher les détails de la recherche d’observations
  Passez en revue les détails agrégés de toutes les recherches d’observations.