[Security Operations - Elasticsearch サイティング検索] ワークフロー

[Security Operations - Elasticsearch サイティング検索] ワークフローは、[Security Operations Integration - サイティング検索] ワークフローによって起動される Elasticsearch 実装です。

始める前に

必要なロール：sn_si.analyst

このタスクについて

ワークフロープロセスアクティビティには次のものが含まれます。

• [トラッキング：開始] アクティビティ
• [Elasticsearch 設定の収集] アクティビティ
• MID Server が実行されているかどうかを確認します。
• [機能トラッキング - エラー] アクティビティ
• [Elasticsearch イベントクエリ] アクティビティ
• [永続的な観測事象の発生] アクティビティ - 検索結果をアレイで返します。
• [機能トラッキング - 完了] アクティビティ

図 : 1. Elasticsearch サイティング検索

ここでは、このワークフローに固有のアクティビティについて説明します。他のアクティビティの詳細については、「一般的な統合ワークフローアクティビティ」を参照してください。

• [Elasticsearch 設定の収集] アクティビティ
  [Elasticsearch 設定の収集] ワークフローアクティビティは、ワークフローで使用する構成情報を収集します。
• [Elasticsearch イベントクエリ] アクティビティ
  [Elasticsearch イベントクエリ] ワークフローアクティビティは、Elasticsearch イベントログを検索して、悪意のあるインジケーターを確認します。
• [永続的な観測事象の発生] アクティビティ
  [永続的な観測事象の発生] ワークフローアクティビティは、サードパーティ統合から観測事象を取得します。