Security Operations Integration - Splunk-Sichtungssuch-Workflow

Der Workflow„Security Operations – Splunk-Sichtungssuche“ ist die Implementierung für die Splunk-Integration, die durch den Workflow „Security Operations Integration – Sightings Search“ gestartet wird.

Vorbereitungen

Erforderliche Rolle: sn_si_analyst

Warum und wann dieser Vorgang ausgeführt wird

Workflow-Prozessaktivitäten umfassen:

• Ausführungsnachverfolgung: Beginn der Aktivität
• Aktivität „Splunk-Konfigurationen erfassen“
• Aktivität „Nachverfolgung der Fähigkeitsausführung – Fehler“.
• Überprüft, ob der MID-Server ausgeführt wird oder nicht.
• Aktivität „Splunk Event-Abfrage“.
• Aktivität „Persistierende Sichtungen erkennbarer Elemente“ – gibt Suchergebnisse in einem Array zurück.
• Nachverfolgung der Fähigkeitsausführung: Aktivität abschließen

Abbildung : 1. Splunk-Sichtungssuche

Spezifische Aktivitäten für diesen Workflow werden hier beschrieben. Weitere Informationen zu anderen Aktivitäten finden Sie unter Allgemeine Integrations-Workflow-Aktivitäten.

• Aktivität „Splunk-Konfigurationen erfassen“
  Die Workflow-Aktivität „Splunk-Konfigurationen erfassen“ erfasst Konfigurationsinformationen, die im Workflow verwendet werden sollen.
• Aktivität „Splunk Event-Abfrage“.
  Die Workflow-Aktivität „ Splunk-Event-Abfrage“ durchsucht die Splunk-Event-Protokolle nach schädlichen Indikatoren.
• Aktivität „Persistierende Sichtungen erkennbarer Elemente“
  Die Workflow-Aktivität „Persistente Sichtungen erkennbarer Elemente “ ruft erkennbare Elemente aus der Drittpartei-Integration ab.