Workflow für die Sichtungssuche in Arcsight Logger

Der Workflow„Security Operations − ArcSight Logger Sightings Search“ ist die Implementierung der Splunk-Integration, die durch den Workflow „Security Operations Integration − Sightings Search“ gestartet wird.

Vorbereitungen

Erforderliche Rolle: sn_si_analyst

Warum und wann dieser Vorgang ausgeführt wird

Zu den Workflow-Prozessaktivitäten gehören:

• Ausführungsnachverfolgung: Start-Aktivität
• Aktivität „ArcSight-Konfigurationen erfassen“.
• Nachverfolgung der Fähigkeitsausführung: Fehleraktivität
• Aktivität „ArcSight-Ereignisabfrage“.
• Prüft, ob der MID-Server ausgeführt wird oder nicht.
• Aktivität „ArcSight-Ereignisabfrage“.
• Aktivität „Sichtungen von persistenten erkennbaren Elementen“. - gibt Suchergebnisse in einem Array zurück.
• Nachverfolgung der Fähigkeitsausführung – Aktivität abschließen

Abbildung : 1. Sichtungssuche in Arcsight Logger

Spezifische Aktivitäten für diesen Workflow werden hier beschrieben. Weitere Informationen zu anderen Aktivitäten finden Sie unter Workflows bei der Integration von Common Security Operations und Orchestration-Aktivitäten.

• Aktivität „ArcSight-Konfigurationen erfassen“.
  Mit der Workflow-Aktivität ArcSight-Konfigurationen sammeln werden Konfigurationsinformationen gesammelt, die im Workflow verwendet werden sollen.
• Aktivität „ArcSight-Ereignisabfrage“.
  Die Workflow-Aktivität „ ArcSight Event Query“ durchsucht die ArcSight-Ereignisprotokolle nach schädlichen Indikatoren.