Integração do Security Operations - Fluxo de trabalho de pesquisa de detecções

O fluxo de trabalhoSecurity Operations Integration - Sightings Search é um fluxo de trabalho de alto nível independente de integrações. Ele usa as consultas configuradas para pesquisar um conjunto de observáveis com base nas integrações configuradas que oferecem suporte ao recurso. Use-o para realizar uma integração como Splunk ou Elasticsearch.

Antes de Iniciar

Função necessária: sn_si.analyst

Por Que e Quando Desempenhar Esta Tarefa

Se um incidente de segurança tiver um observável anexado a ele, este fluxo de trabalho será acionado quando você clicar em Executar pesquisa de detecções no menu suspenso Ações em linhas selecionadas... na guia Observáveis de incidente de segurança.

As atividades do processo de fluxo de trabalho incluem:

• Atividade Determinar observáveis
• Acompanhamento de execução - Iniciar atividade
• Atividade de fluxo de trabalho Temporizador : aguarda um segundo para obter um bloqueio.
• Bloquear atividade de fluxo de trabalho
• Filtrar observáveis listados como permitidos
• Atividade Obter capacidades de segurança compatíveis
• Rastreamento de execução de capacidade - Nenhuma atividade de implementação
• Desbloquear fluxo de trabalho atividade
• Atividade Obter consultas de vistas de observável
• Acompanhamento de execução de capacidade - Atividade com falha
• Executar script fluxo de trabalho atividade
• Inicializador de Fluxo paralelo
• Se a atividade do fluxo de trabalho Se a atividade do fluxo de trabalho : iterar até que todos os fluxos de trabalho apropriados tenham sido executados e armazenar os resultados em uma matriz.
• Acompanhamento de execução de capacidade - Concluir atividade

Figura 1. Pesquisa de Vistas

Atividades específicas para este fluxo de trabalho são descritas aqui. Para obter mais informações sobre outras atividades, consulte Atividades de fluxo de trabalho de integração comuns.

• Pesquisa de vistas - Atividade Determinar observáveis
  A atividade de fluxo de trabalho Pesquisa de vistas - Determinar observáveis determina quais observáveis serão incluídos no fluxo de trabalho.
• Atividade Filtrar observáveis na lista de permissões
  A atividade de fluxo de trabalho Observáveis na lista de permissões filtrados remove observáveis que podem ser ignorados da lista de observáveis. Esta atividade pode acelerar o processo de investigação e correção.
• Atividade Obter capacidades de segurança compatíveis
  A atividade de fluxo de trabalho Obter capacidades compatíveis recupera o nome e o número de integrações que estão ativas e oferecem suporte à funcionalidade solicitada.
• Rastreamento de execução de capacidade - Nenhuma atividade de implementação
  A atividade de fluxo de trabalho Rastreamento de execução de capacidade - sem implementações cria um registro de erro quando nenhuma implementação de capacidade de integração é encontrada.
• Atividade Obter consultas de vistas de observável
  A atividade de fluxo de trabalho Obter consultas de vistas de observável recupera consultas da configuração de integração.
• Security Operations - Fluxo de trabalho de pesquisa de detecções do agente de log do Arcsight
  O fluxo de trabalhoSecurity Operations - ArcSight Logger Sightings Search é a implementação da integração do Splunk iniciada pelo fluxo de trabalho Security Operations Integration - Sightings Search.
• Security Operations - Fluxo de trabalho de pesquisa de detecções do Elasticsearch
  O fluxo de trabalhoSecurity Operations - Elasticsearch Sightings Search é a implementação do Elasticsearch iniciada pelo fluxo de trabalho Security Operations Integration - Sightings Search.
• Security Operations - Fluxo de trabalho de pesquisa de detecções do McAfee ESM
  O fluxo de trabalhoSecurity Operations - McAfee ESM Sightings Search é a implementação da integração Splunk iniciada pelo fluxo de trabalho Security Operations Integration - Sightings Search.
• Security Operations - Fluxo de trabalho de pesquisa de detecções do QRadar
  O fluxo de trabalhoSecurity Operations - QRadar Sightings Search é a implementação da integração do IBM QRadar iniciada pelo fluxo de trabalho Security Operations Integration - Sightings Search.
• Fluxo de trabalho do Security Operations Integration - Splunk Sightings Search
  O fluxo de trabalhoSecurity Operations - Splunk Sightings Search é a implementação da integração Splunk iniciada pelo fluxo de trabalho Security Operations Integration - Sightings Search.