Security Operations Integration - Enrichir le workflow des observables

Le workflow Security Operations Integration - Enrichir les observables vous permet d’enrichir les observables avec des informations supplémentaires issues de différentes sources à l’aide de workflows d’implémentation.

Avant de commencer

Rôle requis : sn_si.analyst

Pourquoi et quand exécuter cette tâche

Ce workflow peut être déclenché de deux manières Réponse aux incidents de sécurité ou Renseignements sur les menaces de deux manières.

• en sélectionnant un ou plusieurs observables dans la liste Observables et en sélectionnant Exécuter l’enrichissement des observables dans la liste de choix Actions sur les lignes sélectionnées .
• en ouvrant un enregistrement observable et en cliquant sur le lien connexe Exécuter l’enrichissement de l’observable .

L’une ou l’autre méthode vous permet ensuite de spécifier les implémentations à utiliser pour enrichir les observables sélectionnés. Les workflows d’implémentation associés sont exécutés pour effectuer l’enrichissement.

Figure 1. Enrichir les observables

Les activités spécifiques à ce workflow sont décrites ici. Pour plus d’informations sur d’autres activités, voir Activités courantes du workflow d’intégration.

• Activité Obtenir les options de sécurité prises en charge
  L’activité de workflow Obtenir les options prises en charge récupère le nom et le nombre d’intégrations actives qui prennent en charge l’option demandée.
• Suivi de l’exécution de l’aptitude : aucune activité Impls
  L’activité de workflow Suivi de l’exécution de l’aptitude - Aucune implémentation crée un enregistrement d’erreur lorsqu’aucune implémentation de l’aptitude d’intégration n’est trouvée.