Security Operations Integration - Workflow de recherche d’observations Splunk

Le workflow Security Operations - Splunk Sightings Search est l’implémentation de l’intégration Splunk lancée par le workflow Security Operations Integration - Sightings Search.

Avant de commencer

Rôle requis : sn_si_analyst

Pourquoi et quand exécuter cette tâche

Les activités de processus du workflow comprennent :

• Suivi des exécutions : commencer l’activité
• Activité Collecter les configurations Splunk
• Suivi de l’exécution de l’aptitude : activité de défaillance
• Vérifie si le MID Server est en cours d’exécution ou non.
• Activité de requête d’événement Splunk
• Activité de perceptions observables persistantes - Renvoie les résultats de la recherche sous forme de tableau.
• Suivi de l’exécution de l’aptitude : terminer l’activité

Figure 1. Recherche d’observations Splunk

Les activités spécifiques à ce workflow sont décrites ici. Pour plus d’informations sur d’autres activités, voir Activités courantes du workflow d’intégration.

• Activité Collecter les configurations Splunk
  L’activité de workflow Collecter les configurations Splunk collecte les informations de configuration à utiliser dans le workflow.
• Activité de requête d’événement Splunk
  L’activité de workflow de requête d’événement Splunk recherche des indicateurs malveillants dans les journaux d’événements Splunk.
• Activité de perceptions observables persistantes
  L’activité de workflow Observations observables persistantes récupère les observables de l’intégration tierce.