Intégration de Security Operations Carbon Black : workflow Obtenir les processus en cours d’exécution

L’intégration de Security Operations Carbon Black - Get Running Processes est l’implémentation de l’intégration Carbon Black lancée par le workflow Security Operations Integration - Get Running Process.

Avant de commencer

Rôle requis : sn_si.analyst

Pourquoi et quand exécuter cette tâche

Les activités de processus du workflow comprennent :

• Obtenir l’adresse IP à partir de l’activité du CI
• Collecter l’activité Configurations Carbon Black
• Obtenir l’activité d’ID de capteur
• Suivi des exécutions : démarrer l’activité
• Créer une session
• Suivi d’exécution de l’aptitude : activité d’échec
• Activité Vérifier l’état de la session
• Activité du workflow du minuteur : attend 1 seconde
• Activité du workflow du tourniquet : vérifier que la session est prête 30 fois
• Créer une activité de processus de commande
• Vérifier l’état des commande et obtenir l’activité du processus
• Processus de mappage Activité des données et liste des processus de retour
• Créer une activité d’enregistrements de données d’enrichissement
• Suivi d’exécution de l’aptitude : terminer l’activité
• Fermer l’activité de la session

Figure 1. Carbon Black Obtenir les processus en cours d’exécution

Les activités spécifiques à ce workflow sont décrites ici. Pour plus d’informations sur d’autres activités, voir Workflows d’intégration et activités d’orchestration courants pour Opérations de sécurité.

• Collecter l’activité Configurations Carbon Black
  L’activité de workflow Collecter les configurations Carbon Black rassemble les informations de configuration à utiliser dans le workflow.
• Vérifier l’état du MID Server
  Détermine si le Serveur MID identifié dans le champ Hôte du Serveur MID de la configuration de l’intégration est en cours d’exécution. Si le champ est défini sur N’importe lequel, l’activité vérifie qu’un Serveur MID est opérationnel.
• Obtenir l’activité d’ID de capteur
  L’activité de workflow Obtenir l’ID de capteur rassemble les identificateurs de capteurs à utiliser dans le workflow.
• Créer une activité de session
  L’activité de workflow Créer une session établit une session Carbon Black à utiliser dans le workflow.
• Activité Vérifier l’état de la session
  Détermine l’état d’une session Carbon Black dans le workflow.
• Créer une activité de processus de commande
  L’activité de workflow Créer un processus de commande crée un processus de commande Carbon Black à utiliser dans le workflow.
• Vérifier l’état des commande et obtenir l’activité du processus
  Vérifie l’état de la commande Carbon Black et récupère les processus à utiliser dans le workflow.
• Processus de mappage Activité des données
  Les cartes d’activité du flux de travail des processus de carte Carbon Black traitent les données au sein du flux de travail.
• Suivi d’exécution de l’aptitude : terminer l’activité
  L’activité Suivi de l’exécution de l’aptitude - Terminer le workflow met à jour l’enregistrement d’audit lorsque le workflow est terminé.
• Fermer l’activité de la session
  Ferme une session Carbon Black dans le workflow.