Security Operations Integration - Workflow de recherche de perceptions

Le workflow Security Operations Integration - Recherche de perceptions est un workflow de haut niveau indépendant des intégrations. Elle utilise les requêtes configurées pour rechercher un ensemble d’observables en fonction des intégrations configurées qui prennent en charge l’aptitude. Utilisez-le pour réaliser une intégration telle que Splunk ou Elasticsearch.

Avant de commencer

Rôle requis : sn_si.analyst

Pourquoi et quand exécuter cette tâche

Si un incident de sécurité est associé à un observable, ce workflow est déclenché lorsque vous cliquez sur Exécuter la recherche de perception dans le menu déroulant Actions sur les lignes sélectionnées... dans l’onglet Observables d’incident de sécurité .

Les activités de processus du workflow comprennent :

• Déterminer l’activité des observables
• Suivi des exécutions : démarrer l’activité
• Activité du workflow du minuteur : attend une seconde pour obtenir un verrou.
• Verrouiller l’activité du workflow
• Filtrer les éléments observables sur la liste d’autorisation
• Activité Obtenir les options de sécurité prises en charge
• Suivi de l’exécution de l’aptitude : aucune implémentation de l’activité
• Déverrouiller workflow activité
• Obtenir des observations d’observables Activité de requête
• Suivi d’exécution de l’aptitude : activité d’échec
• Exécuter le script workflow activité
• Lanceur de flux parallèle
• Si activité de workflow Si activité de workflow : itérez jusqu’à ce que tous les workflows appropriés se soient exécutés et stockez les résultats dans un tableau.
• Suivi d’exécution de l’aptitude : terminer l’activité

Figure 1. Recherche de perceptions

Les activités spécifiques à ce workflow sont décrites ici. Pour plus d’informations sur d’autres activités, voir Workflows d’intégration et activités d’orchestration courants pour Opérations de sécurité.

• Recherche de perceptions : déterminer l’activité des observables
  L’activité du workflow Recherche de perceptions - Déterminer les observables détermine les observables à inclure dans le workflow.
• Activité de perceptions observables persistantes
  L’activité de workflow Perceptions observables persistantes récupère les observables de l’intégration tierce.
• Obtenir des observations d’observables Activité de requête
  L’activité de workflow Obtenir des requêtes de perceptions d’observables récupère les requêtes de la configuration d’intégration.
• Opérations de sécurité : workflow de recherche de perceptions Arcsight Logger
  Le workflow de recherche de perceptions ArcSight Logger - Opérations de sécurité est l’implémentation de l’intégration Splunk lancée par le workflow de recherche de perceptions Intégration de Security Operations - Recherche de perceptions.
• Security Operations - Workflow de recherche de perceptions Elasticsearch
  Le workflow Security Operations - Elasticsearch Sightings Search est l’implémentation d’Elasticsearch lancée par le workflow Security Operations Integration - Sightings Search .
• Security Operations - Workflow de recherche d’observations McAfee ESM
  Le workflow Recherche de perceptions Security Operations - McAfee ESM est l’implémentation de l’intégration Splunk lancée par le workflow Intégration de Security Operations - Recherche de perceptions.
• Security Operations - Workflow de recherche de perceptions QRadar
  Le workflow Security Operations - QRadar Sightings Search est l’implémentation de l’intégration IBM QRadar lancée par le workflow Security Operations Integration - Sightings Search.
• Security Operations Integration : workflow de recherche d’observations Splunk
  Le workflow Security Operations - Splunk Sightings Search est l’implémentation de l’intégration Splunk lancée par le workflow Security Operations Integration - Sightings Search.