Workflow „Security Operations – McAfee ESM-Sichtungssuche“.

Der Workflow „Security Operations – McAfee ESM – Sichtungssuche “ ist die Implementierung für die Splunk-Integration, die vom Workflow „Security Operations Integration – Sightings Search“ gestartet wird.

Vorbereitungen

Erforderliche Rolle: sn_si_analyst

Warum und wann dieser Vorgang ausgeführt wird

Workflow-Prozessaktivitäten umfassen:

• Ausführungsnachverfolgung: Beginn der Aktivität
• Aktivität „McAfee-Konfigurationen erfassen“
• Aktivität „Nachverfolgung der Fähigkeitsausführung – Fehler“.
• Aktivität „McAfee ESM Event-Abfrage“.
• Überprüft, ob der MID-Server ausgeführt wird.
• Aktivität „Persistierende Sichtungen erkennbarer Elemente“ – gibt Suchergebnisse in einem Array zurück.
• Nachverfolgung der Fähigkeitsausführung: Aktivität abschließen

Abbildung : 1. McAfee ESM-Sichtungssuche

Spezifische Aktivitäten für diesen Workflow werden hier beschrieben. Weitere Informationen zu anderen Aktivitäten finden Sie unter Allgemeine Integrations-Workflow-Aktivitäten.

• Aktivität „McAfee-Konfigurationen erfassen“
  Die Workflow-Aktivität „ McAfee-Konfigurationen erfassen“ erfasst Konfigurationsinformationen, die im Workflow verwendet werden sollen.
• Aktivität „McAfee ESM Event-Abfrage“.
  Die Workflow-Aktivität „ McAfee ESM Event-Abfrage “ durchsucht die McAfee ESM-Ereignisprotokolle nach schädlichen Indikatoren.
• Aktivität „Persistierende Sichtungen erkennbarer Elemente“
  Die Workflow-Aktivität „Persistente Sichtungen erkennbarer Elemente “ ruft erkennbare Elemente aus der Drittpartei-Integration ab.