Security Operations Integration - Sichtungssuch-Workflow

Der Workflow„Security Operations Integration - Sichtungssuche “ ist ein allgemeiner Workflow, der unabhängig von Integrationen ist. Sie verwendet die konfigurierten Abfragen, um basierend auf den konfigurierten Integrationen, die die Fähigkeit unterstützen, nach einer Reihe von erkennbaren Elementen zu suchen. Verwenden Sie es, um eine Integration wie Splunk oder Elasticsearch zu erfüllen.

Vorbereitungen

Erforderliche Rolle: sn_si.analyst

Warum und wann dieser Vorgang ausgeführt wird

Wenn einem Security Incident ein erkennbares Element zugeordnet ist, wird dieser Workflow ausgelöst, wenn Sie im Dropdown-Menü Aktionen für ausgewählte Zeilen... auf der Registerkarte Erkennbare Elemente des Security Incident auf Sichtungssuche ausführen klicken.

Workflow-Prozessaktivitäten umfassen:

• Bestimmen Sie die Aktivität „Erkennbare Elemente“.
• Ausführungsnachverfolgung: Beginn der Aktivität
• Timer-Workflow-Aktivität – Wartet eine Sekunde, um eine Sperre zu erhalten.
• Workflow-Aktivität sperren
• Filtern Sie aufgelistete erkennbare Elemente
• Aktivität „Unterstützte Sicherheitsfunktionen abrufen“
• Nachverfolgung der Fähigkeitsausführung – keine implementierte Aktivität
• Entsperren Workflow Aktivität
• Aktivität „Abfragen erkennbarer Sichtungen abrufen“.
• Aktivität „Nachverfolgung der Fähigkeitsausführung – Fehler“.
• Skript ausführen Workflow Aktivität
• Startprogramm für parallele Flows
• Wenn Workflow-Aktivität Wenn Workflow-Aktivität – Iterieren, bis alle entsprechenden Workflows ausgeführt wurden, und die Ergebnisse in einem Array speichern.
• Nachverfolgung der Fähigkeitsausführung: Aktivität abschließen

Abbildung : 1. Sichtungssuche

Spezifische Aktivitäten für diesen Workflow werden hier beschrieben. Weitere Informationen zu anderen Aktivitäten finden Sie unter Allgemeine Integrations-Workflow-Aktivitäten.

• Sichtungssuche – Aktivität „Erkennbare Elemente bestimmen“.
  Die Workflow-Aktivität „Sichtungssuche – Erkennbare Elemente bestimmen“ bestimmt, welche erkennbaren Elemente in den Workflow aufgenommen werden sollen.
• Aktivität „Erkennbare Elemente auf Allow-Liste filtern“.
  Die Workflow-Aktivität Gefilterte erkennbare Elemente auf der Allow-Liste entfernt erkennbare Elemente, die ignoriert werden können, aus der Liste der erkennbaren Elemente. Diese Aktivität kann den Untersuchungs- und Korrekturprozess beschleunigen.
• Aktivität „Unterstützte Sicherheitsfunktionen abrufen“
  Die Workflow-Aktivität „Unterstützte Fähigkeiten abrufen“ ruft den Namen und die Anzahl der Integrationen ab, die aktiv sind und die angeforderte Fähigkeit unterstützen.
• Nachverfolgung der Fähigkeitsausführung – keine implementierte Aktivität
  Die Workflow-Aktivität „Fähigkeitsausführungsnachverfolgung – keine Implementierungen“ erstellt einen Fehlerdatensatz, wenn keine Implementierung der Integrationsfähigkeit gefunden wird.
• Aktivität „Abfragen erkennbarer Sichtungen abrufen“.
  Die Workflow-Aktivität „Abfragen erkennbarer Sichtungen abrufen“ ruft Abfragen aus der Integrationskonfiguration ab.
• Security Operations – Arcsight Logger Sichtungs-Workflow
  Der Workflow„Security Operations – ArcSight Logger – Sichtungssuche“ ist die Implementierung für die Splunk-Integration, die vom Workflow „Security Operations Integration – Sightings Search“ gestartet wird.
• Security Operations – Elasticsearch-Sichtungssuch-Workflow
  Security Operations - Elasticsearch-Sichtungssuch- Workflow ist die Elasticsearch-Implementierung, die vom Security Operations-Integration - Sichtungssuch- Workflow gestartet wird.
• Workflow „Security Operations – McAfee ESM-Sichtungssuche“.
  Der Workflow „Security Operations – McAfee ESM – Sichtungssuche “ ist die Implementierung für die Splunk-Integration, die vom Workflow „Security Operations Integration – Sightings Search“ gestartet wird.
• Workflow „Security Operations – QRadar-Sichtungssuche“.
  Der Workflow„Security Operations – QRadar-Sichtungssuche“ ist die Implementierung für die IBM QRadar-Integration, die vom Workflow „Security Operations Integration – Sightings Search“ gestartet wird.
• Security Operations Integration - Splunk-Sichtungssuch-Workflow
  Der Workflow„Security Operations – Splunk-Sichtungssuche“ ist die Implementierung für die Splunk-Integration, die durch den Workflow „Security Operations Integration – Sightings Search“ gestartet wird.