Security Operations Integration - Workflow d’enrichissement de CI

Le workflow d’enrichissement de CI de Security Operations Integration vous permet d’enrichir les données des éléments de configuration (CI) associés à un incident de sécurité.

Avant de commencer

Rôle requis : sn_si.analyst

Pourquoi et quand exécuter cette tâche

Le workflow peut être déclenché Réponse aux incidents de sécurité de deux façons.

• en sélectionnant un ou plusieurs CI dans l’onglet Éléments de configuration (sous le lien connexe Éléments affectés ) et en sélectionnant Exécuter l’enrichissement de CI dans la liste de choix Actions sur les lignes sélectionnées .
• en ouvrant un enregistrement CI et en cliquant sur le lien connexe Exécuter l’enrichissement de CI .

L’une ou l’autre méthode vous permet ensuite de spécifier les implémentations à utiliser pour enrichir les CI sélectionnés. Les workflows d’implémentation associés sont exécutés pour effectuer l’enrichissement.

Remarque :

Le système de base n’inclut pas de workflow d’implémentation pour cette option. Pour enrichir les CI, vous devez créer votre propre workflow d’implémentation.

Figure 1. Enrichissement de CI

Les activités spécifiques à ce workflow sont décrites ici. Pour plus d’informations sur d’autres activités, voir Activités courantes du workflow d’intégration.

• Suivi des exécutions : commencer l’activité
  L’activité Suivi des exécutions - Commencer le workflow démarre le processus d’audit pour un workflow d’intégration Security Operations qui fonctionne sur des observables.
• Activité Obtenir les options de sécurité prises en charge
  L’activité de workflow Obtenir les options prises en charge récupère le nom et le nombre d’intégrations actives qui prennent en charge l’option demandée.
• Suivi de l’exécution de l’aptitude : aucune activité Impls
  L’activité de workflow Suivi de l’exécution de l’aptitude - Aucune implémentation crée un enregistrement d’erreur lorsqu’aucune implémentation de l’aptitude d’intégration n’est trouvée.