Security Operations - Workflow de recherche de perceptions Elasticsearch

Le workflow Security Operations - Elasticsearch Sightings Search est l’implémentation d’Elasticsearch lancée par le workflow Security Operations Integration - Sightings Search .

Avant de commencer

Rôle requis : sn_si.analyst

Pourquoi et quand exécuter cette tâche

Les activités de processus du workflow comprennent :

• Suivi des exécutions : démarrer l’activité
• Collecter l’activité Elasticsearch Configurations
• Vérifie si le MID Server est en cours d’exécution ou non.
• Suivi d’exécution de l’aptitude : activité d’échec
• Activité QueryActivity d’événement Elasticsearch
• Activité de perceptions observables persistantes - renvoie les résultats de recherche dans un tableau.
• Suivi d’exécution de l’aptitude : terminer l’activitéSuivi de l’exécution de l’aptitude : aucune implémentation de l’activité

Figure 1. Recherche de perceptions Elasticsearch

Les activités spécifiques à ce workflow sont décrites ici. Pour plus d’informations sur d’autres activités, voir Workflows d’intégration et activités d’orchestration courants pour Opérations de sécurité.

• Collecter l’activité Elasticsearch Configurations
  L’activité de workflow Collecter les configurations Elasticsearch rassemble les informations de configuration à utiliser dans le workflow.
• Activité QueryActivity d’événement Elasticsearch
  L’activité de workflow de requête d’événement Elasticsearch recherche des indicateurs malveillants dans les journaux d’événements Elasticsearch.