Agent Client Collector Réponse aux incidents de sécurité

Agent Client Collector Réponse aux incidents de sécurité (ACC-SIR) vous permet d'automatiser la collecte de données d'enrichissement des incidents de sécurité et les actions de réponse à l'aide d'Agent Client Collector. Cette fonctionnalité est mesurée par Security Operations Réponse aux incidents de sécurité (SIR).

Sélectionnez dans une liste d'actions (options) livrées avec le système de base, en vue de les exécuter sur les incidents de sécurité. La fonctionnalité Agent Client Collector Réponse aux incidents de sécurité utilise les définitions de vérification util.command.agent et util.osquery.agent (exécutées par Agent Client Collector Spoke) pour exécuter des commandes et des requêtes de système d'exploitation sur les incidents de sécurité. Les options font partie des flux secondaires système existants dans l'application d'intégration Agent Client Collector Réponse aux incidents de sécurité. Vous pouvez également ajouter des commandes personnalisées et des requêtes SQL OSquery à exécuter sur les incidents de sécurité.

• Options d'Agent Client Collector Réponse aux incidents de sécurité
  Agent Client Collector Réponse aux incidents de sécurité options associées au système de base sont répertoriées sur la page Options ACC (Intégration d'Agent Client Collector SIR > Options d'intégration ACC). Ces options s’exécutent sur les incidents de sécurité pour recueillir des informations sur l’incident.
• Effectuer une action sur un incident de sécurité
  Exécutez une action Agent Client Collector Réponse aux incidents de sécurité pour collecter des informations supplémentaires sur un incident de sécurité. Les actions sont appelées options dans le système et sont configurées avec le système de base.
• Créer une commande Agent Client Collector Réponse aux incidents de sécurité
  Définissez une commande ou une chaîne de commande à exécuter sur un ordinateur référencé par un incident de sécurité. Les commandes sont répertoriées par système d'exploitation. Par exemple, une commande ps sur un système d'exploitation Windows récupère l'état des processus Windows actifs dans le système.
• Exécuter une commande Agent Client Collector Réponse aux incidents de sécurité
  Exécutez une commande spécifiée sur un ordinateur référencé par un incident pour récupérer des informations sur le CI de l'incident. Par exemple, si vous exécutez une commande ps sur un incident, la commande récupère l'état des processus actifs dans le système. Les commandes sont répertoriées en fonction du système d'exploitation du CI associé à l'incident de sécurité.
• Créer une requête OSQuery Agent Client Collector Réponse aux incidents de sécurité
  Définissez une requête OSQuery pour collecter des informations sur le CI d'un incident de sécurité. La requête OSQuery, qui fournit une couche SQL au-dessus des tables du système d'exploitation, est livrée avec Agent Client Collector dans le cadre du système de base.
• Exécuter une requête OSQuery Agent Client Collector Réponse aux incidents de sécurité
  Exécutez une requête OSQuery sur un ordinateur référencé par un incident pour récupérer des informations sur le CI de chaque incident. Par exemple, si vous exécutez une requête select * from system_info sur un incident, celle-ci collecte toutes les informations de la table system_info de la requête OSQuery.