Security Operations - Fluxo de trabalho de pesquisa de detecções do Elasticsearch

O fluxo de trabalhoSecurity Operations - Elasticsearch Sightings Search é a implementação do Elasticsearch iniciada pelo fluxo de trabalho Security Operations Integration - Sightings Search.

Antes de Iniciar

Função necessária: sn_si.analyst

Por Que e Quando Desempenhar Esta Tarefa

As atividades do processo de fluxo de trabalho incluem:

• Acompanhamento de execução - Iniciar atividade
• Atividade Coletar configurações do Elasticsearch
• Verifica se o MID Server está sendo executado ou não.
• Acompanhamento de execução de capacidade - Atividade com falha
• Consulta de evento do ElasticsearchAtividade de atividade
• Atividade de vistas de observável persistente - retorna resultados de pesquisa em uma matriz.
• Acompanhamento de execução de capacidade - Concluir atividade

Figura 1. Pesquisa de detecções do Elasticsearch

Atividades específicas para este fluxo de trabalho são descritas aqui. Para obter mais informações sobre outras atividades, consulte Atividades de fluxo de trabalho de integração comuns.

• Atividade Coletar configurações do Elasticsearch
  A atividade de fluxo de trabalho Coletar configurações do Elasticsearch coleta informações de configuração para usar no fluxo de trabalho.
• Consulta de evento do ElasticsearchAtividade de atividade
  A atividade de fluxo de trabalho Elasticsearch Event Query pesquisa os logs de eventos do Elasticsearch em busca de indicadores maliciosos.
• Atividade de vistas de observável persistente
  A atividade de fluxo de trabalho Observações de observáveis persistentes recupera observáveis da integração de terceiros.