Beispiel 3: Fügen Sie einer Implementierung bestimmte Eingaben für Laufzeitdetails hinzu: Zusätzliche Aktionen ausführen

Fügen Sie einer Implementierung bestimmte Eingaben für Laufzeitdetails hinzu, und führen Sie zusätzliche Aktionen aus.

Sie können ausführen Führen Sie Zusätzliche Aktionen Aus Aktion für zugehörige Integrationsfähigkeiten mit Untersuchung Registerkarte von SIR-Arbeitsbereich.

1. Auf der Untersuchung Registerkarte navigieren Sie zu Einstiegspunktlisten Abschnitt, der auf der linken Seite angezeigt wird.
2. Wählen Sie den entsprechenden Einstiegspunkt aus, und führen Sie die Aktion „Integrationsfähigkeit“ aus.
   Hinweis:

   Sie können auch zu navigieren Zugehörige Datensätze Registerkarte im Arbeitsbereich, um die Aktion „Integrationsfähigkeiten“ auszuführen.

Zugehörige Konzepte

• Beispiel 1: Implementierungen auswählen: Bedrohungssuche
• Beispiel 2: Allgemeine Eingaben: Sichtungssuche

Fügen Sie einer Implementierung bestimmte Eingaben hinzu

Fügen Sie je nach Bedarf bestimmte Laufzeiteingaben für jede der ausgewählten Implementierungen hinzu.

Vorbereitungen

Erforderliche Rolle: sn_si.Analyst

Die verfügbaren Implementierungen werden aufgelistet. Wählen Sie die Implementierung(en) aus. Nachdem Sie sie ausgewählt haben, werden nur die unterstützten Datensätze für jede ausgewählte(n) Implementierung(en) übermittelt.

Prozedur

1. Navigieren zu Arbeitsbereiche > Arbeitsbereich für Security Incident Responsean.
2. Öffnen Sie einen Security Incident.
3. Wechseln Sie zu Untersuchung Registerkarte des Arbeitsbereichs.
   Die Registerkarte Untersuchung mit den Einstiegspunktlisten wird angezeigt.

   

4. Wählen Sie das Konfigurationselement aus der Einstiegspunktliste aus.
   Wählen Sie beispielsweise aus Konfigurationselement Einstiegspunktliste. Die entsprechenden Konfigurationselementdatensätze werden angezeigt.

   Abbildung : 1. Wählen Sie Konfigurationselement Aus

   

5. Wählen Sie beliebig aus Konfigurationselement .
6. Navigieren Sie zur Dropdown-Liste „zugehörige Listen“, die oben auf der Seite angezeigt wird.
   Für das Security Incident Configuration Item (CI) enthält die Dropdown-Listen die folgende Liste von Fähigkeitsaktionen. Die aufgeführten CI-Aktionen erfassen die Ergebnisse und speichern sie als Ergänzungsdaten für einen Security Incident:

   • Datei abrufen: Diese Fähigkeit führt die Aktion aus, um Dateien mit einem bestimmten Hash-Wert oder Dateinamen abzurufen.
   • Host isolieren: Diese Fähigkeit schränkt Systemverbindungen zu anderen Geräten ein.
   • Hostdetails abrufen: Diese Fähigkeit ruft die Hostdetails, Details der angemeldeten Anwender und andere Ergänzungsfunktionen ab.
   • Zusätzliche Aktionen ausführen: Diese Fähigkeit führt die zusätzlichen Aktionen über die Standardaktionen hinaus aus.
   • Netzwerkstatistiken abrufen: Diese Fähigkeit ruft die Netzwerkstatistiken für eine betroffene Ressource ab.
   • Laufenden Prozess abrufen: Diese Fähigkeit ruft eine Liste der laufenden Prozesse für ein Konfigurationselement (CI) von einem Host ab.
   • Angemeldete Anwender abrufen: Diese Fähigkeit sammelt die Daten angemeldeter Anwender und verknüpft sie mit dem Security Incident.
7. Wählen Sie Aus Führen Sie Zusätzliche Aktionen Aus Zum Ausführen der Aktion „Threat intel-bezogene Integrationsfähigkeiten“.
   Das Dialogfeld „zusätzliche Implementierungen ausführen“ wird angezeigt.
8. Wählen Sie eine oder mehrere Implementierungen aus der Liste aus.
   
9. Klicken Sie auf Next (Weiter).
   Sie werden jetzt zum nächsten Schritt verschoben, um die Laufzeitdetails hinzuzufügen.
10. Geben Sie einen Kommentar ein, der der Aktion zugeordnet werden soll.
11. Klicken Sie auf Absenden.
    
    Nachdem die ausgewählten Datensätze übermittelt wurden, wird eine Nachricht angezeigt, dass die Anforderung für zusätzliche Aktionen ausgeführt wird. Außerdem wird der jeweilige Fortschritt der Implementierungsaktion in angezeigt Aktivität Abschnitt.
12. Zeigen Sie die Ergebnisse im Abschnitt „zugehörige EDR-Liste“ an.