Workflow „Security Operations System Command Integration – Laufende Prozesse abrufen“.

Der Workflow „Security Operations System Command Integration - Get Running Processes“ ruft die laufenden Prozesse eines Konfigurationselements ab, wenn ein Windows- oder Unix-basierter Security Incident im Status „Analyse“hinzugefügt oder aktualisiert wird.

Vorbereitungen

Erforderliche Rolle: sn_si.analyst

Warum und wann dieser Vorgang ausgeführt wird

Bei neuen Security Incidents wird der Workflow automatisch ausgeführt, wenn Sie den Incident mit einem ausgewählten Konfigurationselement übermitteln und sich der Status automatisch in Analyseändert. Wenn er im Status Entwurf bleibt, wird er nicht ausgeführt.

Vorhandene Security Incidents werden automatisch aktualisiert, wenn Sie sich im Status „ Analyse “ befinden und ein neues Konfigurationselement hinzufügen.

Workflow-Prozessaktivitäten umfassen:

• Aktivität „FQDN für Konfigurationselement abrufen“.
• Bestimmen Sie das Shell-Skript nach Betriebssystemaktivität
• Ausführungsnachverfolgung: Beginn der Aktivität
• Ruft laufende Prozesse über PowerShell ab
• Aktivität „Shell-Skript ausführen“.
• Aktivität „Nachverfolgung der Fähigkeitsausführung – Fehler“.
• Aktivität „Shell-Skript aus MID-Skript extrahieren“
• Kombinieren Sie Ergebnisseund Rückgabewerte in einem Array
• Aktivität „Ergänzungsdatensätze erstellen“.
• Nachverfolgung der Fähigkeitsausführung: Aktivität abschließen

Abbildung : 1. Laufende Prozesse abrufen

Prozedur

1. Öffnen Sie einen Security Incident.
2. Aktualisieren Sie den Status auf Analyse, falls erforderlich.
3. Fügen Sie ein Konfigurationselement (Computer, Server oder ähnliches) hinzu.
4. Klicken Sie auf Aktualisieren.
   Security Incident Response Orchestration stellt Informationen zum laufenden Prozess in der bereit Zugehöriger Link > Security Incident-ErgänzungenRegisterkarte. Weitere Informationen finden Sie unter Security Operations -Ergänzungsdatenzuordnung.

   Spezifische Aktivitäten für diesen Workflow werden hier beschrieben. Weitere Informationen zu anderen Aktivitäten finden Sie unter Allgemeine Integrations-Workflow-Aktivitäten.

• Aktivität „FQDN für Konfigurationselement abrufen“.
  Die zugehörigen Listen namens Security Common Orchestration > Ruft den FQDN des Konfigurationselements ab Die Workflow-Aktivität ruft den vollständig qualifizierten Domänennamen (FQDN) eines Konfigurationselements ab. Diese Aktivität kann den Untersuchungs- und Korrekturprozess beschleunigen.
• Bestimmen Sie das Shell-Skript nach Betriebssystemaktivität
  Die Workflow-Aktivität „Shell-Skript nach Betriebssystem bestimmen“ bestimmt, welches Betriebssystem im Workflow verwendet werden soll
• Aktivität „Ergebnisse kombinieren“.
  Die Workflow-Aktivität Ergebnisse kombinieren führt die Ergebnisse von Drittanbieterintegrationen zusammen, um sie im Workflow zu verwenden.

Zugehörige Konzepte

• Aktivität „Ergänzungsdatensätze erstellen“.

Zugehörige Tasks

• Workflow „Suchanforderung für IoC-Änderungen erstellen“.
• Workflow „Security Incident Response – Netzwerkstatistiken abrufen“.
• Workflow „Security Incident Response – Laufende Services abrufen“.
• Procdump-Workflow ausführen
• Security Incident – Workflow „Ergebnis der Antwortaufgabe auswerten“.