Operações de segurança - Fluxo de trabalho de pesquisa de detecções do Elasticsearch

O fluxo de trabalhoOperações de segurança - Pesquisa de detecções do Elasticsearch é a implementação do Elasticsearch iniciada pelo fluxo de trabalho Integração de operações de segurança - Pesquisa de detecções.

Antes de Iniciar

Função necessária: sn_si.analyst

Por Que e Quando Desempenhar Esta Tarefa

As atividades do processo de fluxo de trabalho incluem:

• Acompanhamento de execução - Iniciar atividade
• Atividade Coletar configurações do Elasticsearch
• Verifica se o MID Server está em execução ou não.
• Acompanhamento da execução da capacidade - Atividade com falha
• Atividade Elasticsearch Event QueryActivity
• Atividade de detecções de observável persistente - retorna resultados de pesquisa em uma matriz.
• Acompanhamento da execução da capacidade - Concluir atividadeAcompanhamento de execução de capacidade - atividade sem implementações

Figura 1. Pesquisa de detecções do Elasticsearch

As atividades específicas deste fluxo de trabalho são descritas aqui. Para obter mais informações sobre outras atividades, consulte Fluxos de trabalho de integração de Operações de segurança comuns e atividades de orquestração.

• Atividade Coletar configurações do Elasticsearch
  A atividade de fluxo de trabalho Coletar configurações do Elasticsearch reúne informações de configuração a serem usadas no fluxo de trabalho.
• Atividade Elasticsearch Event QueryActivity
  A atividade de fluxo de trabalho Consulta de evento do Elasticsearch pesquisa indicadores mal-intencionados nos logs de eventos do Elasticsearch.