Intégration des commandes du système Security Operations : obtenir le flux d’exécution des processus

Le flux d’intégration des commandes du système Security Operations : obtenir l’exécution des processus récupère les processus en cours d’exécution d’un élément de configuration lorsqu’il est ajouté ou mis à jour dans un incident de sécurité Windows ou Unix à l’état Analyse.

Avant de commencer

Rôle requis : sn_si.analyst

Pourquoi et quand exécuter cette tâche

Pour les nouveaux incidents de sécurité, le flux s’exécute automatiquement lorsque vous soumettez l’incident avec un élément de configuration sélectionné, lorsque l’état passe automatiquement à Analyse. S’il reste à l’état Brouillon , il ne s’exécute pas.

Les incidents de sécurité existants sont automatiquement mis à jour lorsque vous êtes dans l’état Analyse et que vous ajoutez un nouvel élément de configuration.

Les actions de processus de flux comprennent :

• Obtenir le FQDN de l’élément de configuration Action de flux
• Déterminer le script Shell par activité du système d’exploitation
• Suivi de l’exécution : commencer l’action de flux
• Obtenir les exécutions de processus via PowerShell
• Exécuter l’activité de script Shell
• Suivi de l’exécution de l’aptitude : action de flux d’échec
• Extraire le script Shell de l’activité de script MID
• Combiner les résultats et les valeurs renvoyées dans un tableau
• Créer des enregistrements de données d’enrichissement Action de flux
• Suivi de l’exécution de l’aptitude : terminer l’action de flux

Figure 1. Obtenir les processus en cours d'exécution

Procédure

1. Ouvrez un incident de sécurité.
2. Mettez à jour l’état sur Analyse, si nécessaire.
3. Ajoutez un élément de configuration (ordinateur, serveur ou similaire).
4. Cliquez sur Mettre à jour.
   Orchestration de la réponse aux incidents de sécurité Fournit des informations sur le processus en cours d’exécution dans le Lien connexe > Enrichissements des incidents de sécuritéonglet. Pour plus d'informations, consultez Opérations de sécurité Mappage des données d’enrichissement.

   Les actions spécifiques à ce flux sont décrites ici. Pour en savoir plus sur les autres actions, reportez-vous à la section Flux d’intégration et activités d’orchestration courants de Security Operations.

• Combiner l’activité des résultats
  L’activité de workflow Combiner les résultats fusionne les résultats provenant d’intégrations tierces à utiliser dans le workflow.
• Exécuter l’activité de script Shell
  L’activité de workflow Exécuter le script Shell exécute un script shell de Serveur MID dans le workflow.
• Extraire le script Shell de l’activité de script MID
  L’activité de workflow Extraire le script Shell du script MID extrait un script shell de Serveur MID à utiliser dans le workflow.
• Obtenir les exécutions de processus via l’activité PowerShell
  L’activité de workflow Obtenir l’ID de capteur rassemble les processus en cours d’exécution à l’aide de PowerShell pour les utiliser dans le workflow.