Security Operations – Workflow für McAfee ESM-Sichtungssuche

Der Workflow „Security Operations – McAfee ESM-Sichtungssuche “ ist die Implementierung für die Splunk-Integration, die durch den Workflow „Security Operations-Integration – Sichtungssuche“ gestartet wird.

Vorbereitungen

Erforderliche Rolle: sn_si_analyst

Warum und wann dieser Vorgang ausgeführt wird

Zu den Workflow-Prozessaktivitäten gehören:

• Ausführungsnachverfolgung: Start-Aktivität
• Aktivität „McAfee-Konfigurationen erfassen“.
• Nachverfolgung der Fähigkeitsausführung: Fehleraktivität
• Aktivität „McAfee ESM-Ereignisabfrage“.
• Überprüft, ob der MID-Server ausgeführt wird.
• Aktivität „Sichtungen von persistenten erkennbaren Elementen“. - gibt Suchergebnisse in einem Array zurück.
• Nachverfolgung der Fähigkeitsausführung – Aktivität abschließen

Abbildung : 1. McAfee ESM Sichtungssuche

Spezifische Aktivitäten für diesen Workflow werden hier beschrieben. Weitere Informationen zu anderen Aktivitäten finden Sie unter Workflows bei der Integration von Common Security Operations und Orchestration-Aktivitäten.

• Aktivität „McAfee-Konfigurationen erfassen“.
  Mit der Workflow-Aktivität „ McAfee-Konfigurationen erfassen“ werden Konfigurationsinformationen gesammelt, die im Workflow verwendet werden sollen.
• Aktivität „McAfee ESM-Ereignisabfrage“.
  Die Workflow-Aktivität „ McAfee ESM-Ereignisabfrage“ durchsucht die McAfee ESM-Ereignisprotokolle nach schädlichen Indikatoren.