Workflow „Security Incident Response – Netzwerkstatistiken abrufen“.

Die zugehörigen Listen namens Security Incident Response > Netzwerkstatistiken abrufen Der Workflow ruft die Netzwerkstatistiken für eine betroffene Windows-basierte Ressource ab, wenn sie einem Security Incident im Status „Analyse“hinzugefügt wird.

Vorbereitungen

Erforderliche Rolle: sn_si.analyst

Warum und wann dieser Vorgang ausgeführt wird

Bei neuen Security Incidents, die Konfigurationselemente enthalten, wird der Workflow automatisch ausgeführt, wenn sich der Status in Analyseändert.

Vorhandene Security Incidents werden automatisch aktualisiert, wenn Sie sich im Status „ Analyse “ befinden und ein neues Konfigurationselement hinzufügen.

Abbildung : 1. Netzwerkstatistiken abrufen

Workflow-Prozessaktivitäten umfassen:

• Aktivität „FQDN für Konfigurationselement abrufen“.
• Bestimmen Sie das Shell-Skript nach Betriebssystem
• If-Anweisung wird von PowerShell ausgeführt
• Ausführungsnachverfolgung: Beginn der Aktivität
• Ruft Netzwerkstatistiken über die Aktivität „netstat“ ab
• Aktivität „Nachverfolgung der Fähigkeitsausführung – Fehler“.
• Aktivität „Ergänzungsdatensätze erstellen“.
• Aktivität „Nachverfolgung der Fähigkeitsausführung – Fehler“. Gibt die Ergänzungs-ID zurück.
• Nachverfolgung der Fähigkeitsausführung: Aktivität abschließen

Prozedur

1. Öffnen Sie einen Security Incident.
2. Aktualisieren Sie den Status auf Analyse, falls erforderlich.
3. Fügen Sie ein Konfigurationselement (Computer, Server oder ähnliches) hinzu.
4. Klicken Sie auf Aktualisieren.
   Security Incident Response Orchestration stellt Netzwerkstatistikinformationen im bereit Zugehörige Links > Security Incident-Ergänzungen Registerkarte. Weitere Informationen finden Sie unter Security Operations -Ergänzungsdatenzuordnung.

   Spezifische Aktivitäten für diesen Workflow werden hier beschrieben. Weitere Informationen zu anderen Aktivitäten finden Sie unter Allgemeine Integrations-Workflow-Aktivitäten.

• Aktivität „FQDN für Konfigurationselement abrufen“.
  Die zugehörigen Listen namens Security Common Orchestration > Ruft den FQDN des Konfigurationselements ab Die Workflow-Aktivität ruft den vollständig qualifizierten Domänennamen (FQDN) eines Konfigurationselements ab. Diese Aktivität kann den Untersuchungs- und Korrekturprozess beschleunigen.
• Ruft Netzwerkstatistiken über die Aktivität „netstat“ ab
  Die Workflow-Aktivität „Security Common Orchestration – Netzwerkstatistiken über Netstat abrufen“ ruft die Netzwerkstatistiken für eine betroffene Ressource auf einem Windows-basierten System ab. Diese Aktivität kann den Untersuchungs- und Korrekturprozess beschleunigen.
• Aktivität „Nachverfolgung der Fähigkeitsausführung – Fehler“.
  Die Workflow-Aktivität „Fähigkeitsausführungsnachverfolgung – Fehler“ zeichnet einen Fehler im Audit-Datensatz auf.

Zugehörige Konzepte

• Aktivität „Ergänzungsdatensätze erstellen“.

Zugehörige Tasks

• Workflow „Suchanforderung für IoC-Änderungen erstellen“.
• Workflow „Security Operations System Command Integration – Laufende Prozesse abrufen“.
• Workflow „Security Incident Response – Laufende Services abrufen“.
• Procdump-Workflow ausführen
• Security Incident – Workflow „Ergebnis der Antwortaufgabe auswerten“.