Flux d’intégration et activités d’orchestration courants de Security Operations

La plupart des flux associés aux intégrations tierces incluent les mêmes activités. Par exemple, les activités pour commencer et terminer le traitement.

• Suivi de l’exécution : commencer l’action de flux
  L’action Suivi de l’exécution - Commencer le flux démarre le processus d’audit pour un Opérations de sécurité flux d’intégration qui fonctionne sur les observables.
• Suivi de l’exécution de l’aptitude : terminer l’action de flux
  L’action Suivi de l’exécution de l’aptitude : terminer le flux met à jour l’enregistrement d’audit lorsque le flux est terminé.
• Suivi de l’exécution de l’aptitude : action de flux d’échec
  L’action de flux Suivi de l’exécution de l’aptitude : défaillance enregistre une défaillance dans l’enregistrement d’audit.
• Aptitude : déterminer l’activité des CI
  L’activité du workflow Aptitude - Déterminer les CI détermine les éléments de configuration (CI) à inclure dans le workflow.
• Créer des enregistrements de données d’enrichissement Action de flux
  L’action Créer un flux d’enregistrements de données d’enrichissement crée ou met à jour les enregistrements d’enrichissement à utiliser dans le flux.
• Obtenir le FQDN de l’élément de configuration Action de flux
  Le champ Orchestration courante de sécurité > Obtenir le FQDN de l'élément de configuration L’action de flux récupère le nom de domaine complet (FQDN) d’un élément de configuration. Cette action de flux peut accélérer le processus d’enquête et de correction.
• Activité Déterminer les observables
  L’activité de workflow Déterminer les observables détermine l’observable à inclure dans le workflow
• Action Obtenir les options de sécurité prises en charge
  L’action de flux Obtenir les options prises en charge récupère le nom et le nombre d’intégrations qui sont actives et prennent en charge l’aptitude demandée.
• Suivi de l’exécution de l’aptitude : aucune action d’implémentation
  L’action de flux Suivi de l’exécution de l’aptitude - aucune implémentation crée un enregistrement d’erreur lorsqu’aucune implémentation d’aptitude d’intégration n’est trouvée.
• Créer une action de recherche de conformité
  L’action Créer une recherche de conformité crée une recherche de conformité pour les e-mails dans le ou les serveurs Exchange désignés à l’aide des requêtes de recherche définies et renvoie le nom de la recherche de conformité créée.
• Obtenir l’adresse IP à partir de l’activité du CI
  Cette activité de workflow détermine l’adresse IPV4 associée à un élément de configuration (CI).
• Obtenir les statistiques réseau via netstat Action de flux
  L’action de flux Orchestration commune de sécurité - Obtenir les statistiques réseau via netstat récupère les statistiques réseau d’une ressource affectée sur un système Windows. Cette action de flux peut accélérer le processus d’enquête et de correction.
• Obtenir les processus en cours d’exécution via l’activité WMI
  L’activité de workflowObtenir l’exécution des processus récupère les processus en cours d’exécution d’un élément de configuration sur un système Windows. Cette activité peut accélérer le processus d’enquête et de correction.
• Vérifier la conformité Action d’état de recherche
  L’action Vérifier l’état de la recherche de conformité vérifie l’état de la recherche de conformité créée sur le serveur Exchange et, si l’état est terminé, renvoie les informations relatives à la recherche d’e-mails trouvée pour la recherche de conformité.
• Mettre à jour l’activité des notes de travail de la tâche
  L’activité de workflow Orchestration commune de sécurité - Mettre à jour les notes de travail de tâche met à jour la section Activité (notes de travail) d’un enregistrement de tâche. Ceci est utile pour les informations de journalisation.
• Déployer les informations de recherche dans l’activité d’incident de sécurité
  La recherche d’informations de déploiement sur l’activité d’incident de sécurité peut être utilisée avec n’importe quel workflow pour recueillir des informations à partir d’une recherche de menaces et générer un résumé du contenu ainsi que l’ID de l’incident de sécurité d’origine dans les notes de travail de la tâche.
• Workflow Mettre à jour l’incident de sécurité avec les résultats de la recherche
  Le workflow Mettre à jour l’incident de sécurité avec les résultats de la recherche met à jour les incidents de sécurité existants avec les résultats de la recherche.
• Filtrer l’activité des observables sur la liste d’autorisation
  L’activité de workflow Observables filtrés sur liste d’autorisation supprime les observables qui peuvent être ignorés de la liste des observables. Cette activité peut accélérer le processus d’enquête et de correction.
• Écrire le contenu à enregistrer en tant qu’activité de pièce jointe
  Cette activité écrit le contenu transmis à partir d’une entrée et crée une pièce jointe désignée à un enregistrement donné.
• Obtenir l’adresse IP à partir de l’activité du CI
  L’activité Obtenir l’adresse IP à partir du flux CI rassemble l’adresse IP à partir des éléments de configuration (CI) à utiliser dans le flux.