Definieren Sie Abfragen für die Sichtungssuche

Sie können Sichtungssuchkonfigurationen verwenden, um die Abfragen zu definieren, die verwendet werden, um die Verbreitung erkennbarer Elemente in Ihrer Umgebung im Rahmen der Untersuchung erkennbarer Elemente zu finden.

Zeigen Sie Abfragen für die Sichtungssuche an

Erforderliche Rolle: sn_sec_tisc.admin

Führen Sie die folgenden Schritte aus, um die Konfigurationen der Sichtungssuche anzuzeigen:

1. Navigieren zu Arbeitsbereiche > Threat Intelligence-Sicherheitszentrum > Integrationenan.
2. Navigieren Sie auf der Seite Integrationen zu Ergänzungsintegrationen > Sichtungssuchean.
3. Suchen Sie nach der Integration, für die Sie die Konfiguration der Sichtungssuche anzeigen möchten, und klicken Sie auf Bearbeiten .
4. Wählen Sie aus Sichtungssuchkonfigurationen Registerkarte.

   Sie können die Liste der Sichtungssuchkonfigurationen anzeigen.

   

5. Klicken Sie auf die erforderliche Sichtungssuchkonfiguration, um die Details der Konfiguration anzuzeigen.
6. Klicken Sie auf, um eine Testsichtungssuchabfrage zu generieren Testsichtungssuchabfrage Generieren Aktion.
   Hinweis:

   Die Testsichtungssuchabfrage Generieren Die Aktion funktioniert nur, wenn Sie Abfrageparameter für die Sichtungssuche konfiguriert haben. Weitere Informationen finden Sie unter Sichtungssuchparameter Werden Verwendet.
7. Geben Sie im Popup „Testsichtungssuchabfrage generieren“ mehrere erkennbare Elemente ein, oder fügen Sie sie mit Kommas, neuen Zeilen-, Registerkarten- oder Pipe-Trennzeichen ein, um eine Testabfrage zu generieren.
8. Klicken Sie Auf Generieren Dient zum Generieren der Testsichtungssuchabfrage.
9. Sie können auch die folgenden Aktionen auf der Registerkarte „Konfigurationen der Sichtungssuche“ ausführen:
   1. Klicken Sie auf, um die Liste der Sichtungssuchkonfigurationen zu aktualisieren Symbol.
   2. Um eine Listenaktion für die Konfigurationen der Sichtungssuche auszuführen, klicken Sie auf Symbol.
      Sie können die folgenden zwei Listenaktionen ausführen:

      • Bearbeiten Sie Spalten : Sie können diese Aktion verwenden, um vorhandene Spalten hinzuzufügen oder zu entfernen und die Reihenfolge entsprechend Ihren Anforderungen zu ändern.
      • Breiten zurücksetzen : Sie können diese Aktion verwenden, um die Breiten der Spalten zurückzusetzen.
   3. Klicken Sie auf, um Konfigurationen der Sichtungssuche basierend auf Bedingungen zu filtern Symbol.

      Der Wert 1 gibt an, dass eine Bedingung für die Filterung verwendet wird.

Erstellen Sie Konfigurationen Für Die Seufzersuche

Erforderliche Rolle: sn_sec_tisc.admin

Maximum observables per search = "maximum number of observables that can be substituted in a single search query"

Search = "Search query that should be executed in sighting search source. 
Search query can contain substitution variables that would be substituted with observables of specific type as configured in sighting search parameters when sighting search query is formed"

Führen Sie die folgenden Schritte aus, um eine Sichtungssuchkonfiguration zu erstellen:

1. Navigieren zu Arbeitsbereiche > Threat Intelligence-Sicherheitszentrum > Integrationenan.
2. Navigieren Sie auf der Seite Integrationen zu Ergänzungsintegrationen > Sichtungssuchean.
3. Suchen Sie nach der Integration, für die Sie die Konfiguration der Sichtungssuche anzeigen möchten, und klicken Sie auf Bearbeiten .
4. Wählen Sie aus Sichtungssuchkonfigurationen Registerkarte.

   Sie können die Liste der Sichtungssuchkonfigurationen anzeigen.

5. Klicken Sie auf, um eine Sichtungssuchkonfiguration zu erstellen Neu .

   

6. Füllen Sie die Felder im Formular aus.

   Tabelle : 1. Erstellen Sie eine Sichtungssuchkonfiguration

   Feld	Beschreibung
   Name	Name für die Sichtungssuchkonfiguration.
   Erkennbarer Typ	Definiert den Typ der Kategorie des erkennbaren Elements.
   Sichtungssuchquelle	Definiert die für die Integration konfigurierte Quelle.
   Maximale erkennbare Elemente pro Suche	Die Anzahl der erkennbaren Elemente bevor die Suchabfrage in mehrere Abfragen aufgeteilt wird. Legen Sie diesen Wert auf fest 500 Für diese Integration.
   Suchen	Fügen Sie eine native Suchzeichenfolge hinzu, um eine Abfrage zu erstellen. Beispiel: ${erkennbares Element} .
   Ist gespeicherte Suche	Führt eine gespeicherte Suche aus, d. h. das Feld „Name“ muss mit dem Namen der gespeicherten Suche übereinstimmen.
   Aktiv	Abfrage wird nur ausgeführt, wenn die aktive Option ausgewählt ist.

7. Klicken Sie auf Speichern.