Configurer la recherche de perception

Vous pouvez effectuer une recherche de perception sur un ou plusieurs observables pour déterminer le nombre de fois que les observables sont vus dans les journaux de votre organisation. Vous pouvez effectuer une recherche de perception sur les observables dans un certain nombre de jours ou dans une plage de dates.

Avant de commencer

Rôle requis : sn_sec_tisc.admin

Remarque :

Le module d’intégrations d’enrichissement n’est affiché que si au moins une des intégrations prenant en charge l’une des fonctionnalités est installée dans l’application.

Le Centre de sécurité des renseignements sur les menaces prend en charge la recherche de perception uniquement pour les intégrations suivantes :

• Recherche Splunk
• Elasticsearch

Pourquoi et quand exécuter cette tâche

La section Recherche de perceptions contient uniquement les intégrations dont le type d’intégration est Recherche de perceptions.

Cette section affiche des cartes pour chacune des implémentations d’intégration configurées que vous pouvez activer et utiliser.

Procédure

1. Accédez à la Espaces de travail > Threat Intelligence Security Center.
2. Cliquez sur l’icône Intégrations , puis sélectionnez la section Recherche de perceptions .
   
3. Cliquez sur l’action Configurer un nouvel enrichissement .
   Vous accédez alors à la fenêtre contextuelle qui affiche les intégrations disponibles. Vous devez choisir l’intégration que vous avez à configurer.
4. Sélectionnez une intégration dans la liste des intégrations disponibles, puis cliquez sur Sélectionner.
   Vous accédez alors à la page Créer une intégration d’enrichissement de l’intégration sélectionnée. Par défaut, cette page est pré-remplie avec les détails de l’intégration sélectionnée. Par exemple, Intégration Splunk.

   

5. Renseignez les champs du formulaire Créer une intégration.

   Champ	Description
   Intégration de l'enrichissement
   Nom	Entrez un nom pour la nouvelle intégration d’enrichissement. Par exemple, Splunk-1.
   Nom du fournisseur	Nom du fournisseur. Les détails du fournisseur sélectionné sont pré-remplis par défaut. Par exemple, Splunk.
   Type d'intégration	Type d’intégration que vous avez sélectionné, à savoir Recherche de perceptions. Les détails du type d’intégration sélectionné sont pré-remplis par défaut.
   Description	Entrez une description unique pour la nouvelle intégration d’enrichissement.

   
6. Dans la section Configuration de l’intégration, configurez les détails d’intégration en fonction de vos besoins.
   La section Configuration de l’intégration inclut des détails de configuration tels que la clé API, l’ID ou le secret du client API, le nom d’utilisateur, le mot de passe, etc., que vous devez renseigner. Ces détails de configuration varient selon les applications.
7. Cliquez sur l’action Enregistrer pour stocker et créer la nouvelle configuration de l’intégration d’enrichissement.
   Les détails fournis sont validés et, par défaut, l’état de l’intégration de l’enrichissement est désactivé.
8. Cliquez sur l’action Enregistrer comme brouillon pour stocker uniquement les mises à jour apportées à la configuration d’enrichissement et ne pas la créer.
   Si vous n’êtes pas sûr des détails de la configuration, vous pouvez utiliser l’option Enregistrer comme brouillon . Une fois que vous avez obtenu les détails de la configuration, vous pouvez remplir les informations restantes dans la version brouillon et la créer.
9. Pour activer l’intégration de l’enrichissement, cliquez sur Activer.
   L’intégration de l’enrichissement est activée. Vous pouvez également activer une intégration d’enrichissement particulière à l’aide du menu Actions de la vignette d’intégration requise sur la page Catalogue ou sur la page Toutes les intégrations.

• Définir des requêtes pour la recherche de perception
  Vous pouvez utiliser des configurations de recherche de perception pour définir les requêtes utilisées pour trouver la récurrence des observables dans votre environnement dans le cadre des enquêtes sur les observables.
• Utilisation des paramètres de recherche de perception
  Vous pouvez utiliser des paramètres de recherche de perception qui définissent des requêtes plus complexes, qui incluent la logique et d’autres opérateurs pris en charge par le magasin de journaux spécifié.