Options d'intégration

Le Options d'intégration cadre de travail fournit une architecture cohérente pour prendre en charge l’interopérabilité avec les intégrations tierces. Cette interface abstraite et ce modèle de données isolent les intégrations des modifications apportées à l’application principale et garantissent une expérience cohérente pour des types d’intégrations similaires.

Chaque option d’intégration est conservée dans la table Aptitude d’intégration [sn_sec_cmn_integration_capability]. Les flux d’aptitude d’intégration ne peuvent pas être exécutés seuls et nécessitent le lancement d’un flux d’implémentation. Tout module d’extension qui fournit une implémentation de l’aptitude ajoute son implémentation à la table enfant : Implémentation de l’option d’intégration [sn_sec_cmn_integration_capability_implementation].

L’implémentation spécifie le flux à exécuter, l’intégration connexe (ID de module d’extension) et l’aptitude qu’elle implémente. Ces flux peuvent être exécutés en parallèle à l’aide du lanceur de flux parallèle ; Toutefois, l’exécution séquentielle est la valeur par défaut dans le système de base. Si nécessaire, vous pouvez modifier l’ordre d’exécution.

Remarque :

Si aucune implémentation n’est disponible, les actions d’aptitude ne sont pas affichées dans les menus de produits.

• Security Operations Integration : option Demande de bloc
  L’aptitude Bloquer l’action bloque les observables associés à un incident de sécurité sur un pare-feu, un proxy web ou tout autre point de contrôle à l’aide de flux de mise en œuvre. Cette fonctionnalité est utilisée lors des enquêtes de réponse aux incidents pour contenir une menace identifiée.
• Security Operations Integration : option de recherche et de suppression d’e-mails
  L’option Recherche et suppression d’e-mails renvoie le nombre d’e-mails de menace à partir d’une recherche sur le serveur de messagerie et, éventuellement, renvoie les détails de chaque e-mail trouvé. Une fois la recherche d’e-mails terminée, vous pouvez supprimer les e-mails.
• Security Operations Integration : enrichir l’aptitude CI
  La fonctionnalité Enrichir le CI vous permet d’enrichir les données pour les éléments de configuration associés à un incident de sécurité.
• Security Operations Integration : enrichir l’aptitude des observables
  La fonctionnalité Enrichir les observables vous permet d’enrichir les observables avec des informations supplémentaires issues de diverses sources à l’aide de flux de mise en œuvre. Cette fonctionnalité est utilisée lors des enquêtes de réponse aux incidents pour contenir une menace identifiée.
• Security Operations Integration : obtenir l’aptitude de statistiques réseau
  L’aptitude Obtenir les statistiques réseau récupère une liste des connexions réseau actives à partir d’un hôte ou d’un point de terminaison. Il peut être utilisé pour l’enrichissement des incidents au cours des enquêtes. Cette aptitude est déclenchée automatiquement lorsqu’un élément de configuration est ajouté à un incident de sécurité.
• Security Operations Integration : obtenir l’aptitude d’exécution des processus
  L’aptitude Obtenir l’exécution des processus récupère une liste des processus en cours d’exécution sur un élément de configuration (CI) à partir d’un hôte ou d’un point de terminaison. Cette fonctionnalité est utilisée pour l’enrichissement des incidents au cours des enquêtes.
• Security Operations Integration : capacité d’isolement de l’hôte
  La fonctionnalité Isoler l’hôte limite les connexions système à d’autres périphériques. L’option Isoler l’hôte est exécutée par rapport à un élément de configuration (CI).
• Security Operations Integration : aptitude de publication dans la liste de surveillance
  L’aptitude Publier dans la liste de surveillance ajoute les observables et les indicateurs associés à un incident de sécurité à une liste de surveillance tierce qui surveille les événements de sécurité et génère des alertes. Cette fonctionnalité est utilisée dans le cadre de la réponse aux incidents au cours des enquêtes.
• Security Operations Integration - Option de recherche de perceptions
  L’aptitude Recherche de perceptions accepte un ensemble d’observables, recherche toutes les intégrations qui prennent en charge une recherche de perceptions, puis exécute ces recherches.
• Security Operations Integration - Aptitude de recherche de menace
  L’aptitude Recherches de menaces effectue des recherches de renseignements sur les menaces pour déterminer si un ou plusieurs observables sont associés à des menaces de sécurité connues.
• Modifier l’ordre d’exécution du flux
  Les implémentations de l’option d’intégration spécifient le flux à exécuter. Dans le système de base, les flux sont exécutés séquentiellement, dans l’ordre spécifié dans l’implémentation. Vous pouvez modifier l’ordre selon vos besoins.