Workflow „Security Operations – QRadar-Sichtungssuche“.

Der Workflow„Security Operations – QRadar-Sichtungssuche“ ist die Implementierung für die IBM QRadar-Integration, die vom Workflow „Security Operations Integration – Sightings Search“ gestartet wird.

Vorbereitungen

Erforderliche Rolle: sn_si_analyst

Warum und wann dieser Vorgang ausgeführt wird

Workflow-Prozessaktivitäten umfassen:

• Ausführungsnachverfolgung: Beginn der Aktivität
• Aktivität „QRadar-Konfigurationen erfassen“
• Aktivität „Nachverfolgung der Fähigkeitsausführung – Fehler“.
• Überprüft, ob der MID-Server ausgeführt wird.
• QRadar-Event-QueryActivity-Aktivität
• Aktivität „Persistierende Sichtungen erkennbarer Elemente“ – gibt Suchergebnisse in einem Array zurück.
• Nachverfolgung der Fähigkeitsausführung: Aktivität abschließen

Abbildung : 1. QRadar-Sichtungssuche

Spezifische Aktivitäten für diesen Workflow werden hier beschrieben. Weitere Informationen zu anderen Aktivitäten finden Sie unter Allgemeine Integrations-Workflow-Aktivitäten.

• Aktivität „QRadar-Konfigurationen erfassen“
  Die Workflow-Aktivität QRadar-Konfigurationen sammeln erfasst Konfigurationsinformationen, die im Workflow verwendet werden sollen.
• QRadar-Event-QueryActivity-Aktivität
  Die Workflow-Aktivität QRadar-Event-Abfrage durchsucht die QRadar-Event-Protokolle nach schädlichen Indikatoren.
• Aktivität „Persistierende Sichtungen erkennbarer Elemente“
  Die Workflow-Aktivität „Persistente Sichtungen erkennbarer Elemente “ ruft erkennbare Elemente aus der Drittpartei-Integration ab.