Workflow „Security Incident Response – Laufende Services abrufen“.

Der Workflow „Security Incident Response – Laufende Services abrufen“ ruft eine Liste der ausgeführten Services aus Windows-basierten, ServiceNow, Konfigurationselementen (CIs) ab. Dieser Workflow wird für die Ergänzung von Incidents während Untersuchungen verwendet.

Vorbereitungen

Erforderliche Rolle: sn_si.analyst

Warum und wann dieser Vorgang ausgeführt wird

Der Workflow „Security Incident Response – Laufende Services abrufen “ wird automatisch ausgeführt, wenn Sie einem Windows-Security Incident ein neues Konfigurationselement hinzufügen, nachdem sich der Status in „Analyse“geändert hat. Die Informationen, die dieser Workflow erhält, werden auf den Registerkarten Ergänzungsdaten anzeigen für den Security Incident angezeigt.

Hinweis:

Wenn der Security Incident im Status „ Entwurf “ bleibt, wird der Workflow „Security Incident Response – Laufende Services abrufen “ nicht ausgeführt.

Zu den Workflow-Aktivitäten gehören:

• Aktivität „Audit-Protokollergänzungsskript“.
• Aktivität „FQDN für Konfigurationselement abrufen“.
• Bestimmen Sie das Shell-Skript nach Betriebssystemaktivität
• Ist Ausführung über PowerShell-Aktivität
• Aktivität „Laufende Services abrufen – WMI-Ergänzung“.
• Aktivität „Ergänzungsdatensätze erstellen“.

Abbildung : 1. Laufende Services abrufen

Prozedur

1. Öffnen Sie einen Security Incident.
2. Aktualisieren Sie den Status auf Analyse, falls erforderlich.
3. Fügen Sie ein Windows-basiertes Konfigurationselement (Server, Laptop oder ähnliches) hinzu.
4. Klicken Sie auf Aktualisieren.
   Security Incident Response stellt Informationen zu laufenden Services im bereit Zugehörige Links > Security Incident-ErgänzungenRegisterkarte. Weitere Informationen finden Sie unter Security Operations -Ergänzungsdatenzuordnung.

• Aktivität „FQDN für Konfigurationselement abrufen“.
  Die zugehörigen Listen namens Security Common Orchestration > Ruft den FQDN des Konfigurationselements ab Die Workflow-Aktivität ruft den vollständig qualifizierten Domänennamen (FQDN) eines Konfigurationselements ab. Diese Aktivität kann den Untersuchungs- und Korrekturprozess beschleunigen.
• Bestimmen Sie das Shell-Skript nach Betriebssystemaktivität
  Die Workflow-Aktivität „Shell-Skript nach Betriebssystem bestimmen“ bestimmt, welches Betriebssystem im Workflow verwendet werden soll
• Laufende Services abrufen – WMI-Ergänzung
  Der Workflow „ Security Incident Response – Laufende Services abrufen“ erfasst laufende Services für ein Konfigurationselement, das einem Security Incident hinzugefügt wurde.

Zugehörige Konzepte

• Aktivität „Ergänzungsdatensätze erstellen“.

Zugehörige Tasks

• Workflow „Suchanforderung für IoC-Änderungen erstellen“.
• Workflow „Security Incident Response – Netzwerkstatistiken abrufen“.
• Workflow „Security Operations System Command Integration – Laufende Prozesse abrufen“.
• Procdump-Workflow ausführen
• Security Incident – Workflow „Ergebnis der Antwortaufgabe auswerten“.