Security Operations – Arcsight Logger Sichtungs-Workflow

Der Workflow„Security Operations – ArcSight Logger – Sichtungssuche“ ist die Implementierung für die Splunk-Integration, die vom Workflow „Security Operations Integration – Sightings Search“ gestartet wird.

Vorbereitungen

Erforderliche Rolle: sn_si_analyst

Warum und wann dieser Vorgang ausgeführt wird

Workflow-Prozessaktivitäten umfassen:

• Ausführungsnachverfolgung: Beginn der Aktivität
• Aktivität „ArcSight-Konfigurationen erfassen“
• Aktivität „Nachverfolgung der Fähigkeitsausführung – Fehler“.
• Aktivität „ArcSight Event-Abfrage“.
• Überprüft, ob der MID-Server ausgeführt wird oder nicht.
• Aktivität „ArcSight Event-Abfrage“.
• Aktivität „Persistierende Sichtungen erkennbarer Elemente“ – gibt Suchergebnisse in einem Array zurück.
• Nachverfolgung der Fähigkeitsausführung: Aktivität abschließen

Abbildung : 1. Arcsight Logger Sichtungssuche

Spezifische Aktivitäten für diesen Workflow werden hier beschrieben. Weitere Informationen zu anderen Aktivitäten finden Sie unter Allgemeine Integrations-Workflow-Aktivitäten.

• Aktivität „ArcSight-Konfigurationen erfassen“
  Die Workflow-Aktivität „ArcSight-Konfigurationen erfassen“ erfasst Konfigurationsinformationen, die im Workflow verwendet werden sollen.
• Aktivität „ArcSight Event-Abfrage“.
  Die Workflow-Aktivität „ ArcSight-Event-Abfrage“ durchsucht die ArcSight-Event-Protokolle nach schädlichen Indikatoren.
• Aktivität „Persistierende Sichtungen erkennbarer Elemente“
  Die Workflow-Aktivität „Persistente Sichtungen erkennbarer Elemente “ ruft erkennbare Elemente aus der Drittpartei-Integration ab.