Activité QueryActivity d’événement Elasticsearch

L’activité de workflow de requête d’événement Elasticsearch recherche des indicateurs malveillants dans les journaux d’événements Elasticsearch.

L’activité QueryActivity de l’événement Elasticsearch peut être utilisée avec n’importe quel workflow pour effectuer des recherches dans les journaux d’événements Elasticsearch.

Résultats

Les résultats possibles pour cette activité sont les suivants :

Tableau 1. Résultats

Résultat	Description
Succès	La requête a réussi.
Échec	Une erreur s’est produite lors de la tentative de vérification de la requête. D’autres informations sur l’erreur sont disponibles dans l’erreur de sortie d’activité.

Variables d'entrée

Les variables d'entrée déterminent le comportement initial de l'activité.

Variable	Description
utilisateur	Nom d’utilisateur pour le système Elasticsearch.
mot de passe	Mot de passe du système Elasticsearch.
observables	Liste des observables de Trusted Security Circles ou de la tâche d’incident de sécurité à rechercher. Renvoyé au format JSON.
base_url	URL de base de l’API d’intégration tierce.
link_base_url	[Facultatif] Lien vers une instance Kibana, lorsqu’elle est disponible.
source	Source de la demande d’exécution du workflow. Les entrées prises en charge sont : Trusted Security Circles ou tâche d’incident de sécurité.
max_rows	Nombre maximal de lignes à renvoyer à partir de la requête. La limite dépend de l’intégration tierce.
days_to_search	Jours pour effectuer une recherche à partir du jour actuel en arrière. La valeur par défaut est 7.
query	Syntaxe de la recherche. $(observable) est la valeur par défaut.

Variables de sortie

Les variables de sortie contiennent des données qui peuvent être utilisées dans les activités suivantes.

Tableau 2. Variables de sortie

Variable	Description
sortie	Sortie de la requête au format JSON.