Модуль splunk.es.splunk_adaptive_response_notable_events — управление ресурсом заметных событий адаптивного реагирования

Примечание

Этот модуль входит в коллекцию splunk.es (версия 4.0.0).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Для установки используйте: ansible-galaxy collection install splunk.es.

Чтобы использовать её в плейбуке, укажите: splunk.es.splunk_adaptive_response_notable_events.

Добавлено в splunk.es 2.1.0

Краткое описание
Параметры
Примеры
Возвращаемые значения

Краткое описание

Этот модуль позволяет создавать, удалять и изменять адаптивные действия для заметных событий Splunk Enterprise Security, связанные с поиском корреляции
Проверено на Splunk Enterprise Server 8.2.3

Примечание

Этому модулю соответствует плагин действия.

Параметры

Параметр	Комментарии
config list / elements=dictionary	Настройка мониторинга файлов и каталогов в системе
correlation_search_name string / обязательный	Имя поиска корреляции, с которым следует связать это адаптивное действие для заметного события
default_owner string	Владелец заметного события по умолчанию; если не задан, используется значение по умолчанию системы Splunk
default_status string	Статус заметного события по умолчанию; если не задан, используется значение по умолчанию системы Splunk Варианты: `"unassigned"` `"new"` `"in progress"` `"pending"` `"resolved"` `"closed"`
description string	Описание заметного события; оно будет указано в поле описания веб-консоли
drilldown_earliest_offset string	Задаёт интервал времени до инициирующего события, за который следует искать связанные события. Например, 2h. Используйте ‘$info_min_time$’, чтобы задать для детализации время начала поиска По умолчанию: `"$info_min_time$"`
drilldown_latest_offset string	Задаёт интервал времени после инициирующего события, за который следует искать связанные события. Например, 1m. Используйте ‘$info_max_time$’, чтобы задать для детализации время окончания поиска По умолчанию: `"$info_max_time$"`
drilldown_name string	Имя поиска с детализацией. Поддерживается подстановка переменных из полей соответствующего события.
drilldown_search string	Поиск с детализацией. Поддерживается подстановка переменных из полей соответствующего события.
extract_artifacts dictionary	Извлекаемые активы и идентификаторы
asset list / elements=string	Список извлекаемых активов; выберите один или несколько доступных вариантов по умолчанию используются все доступные варианты Варианты: `"src"` `"dest"` `"dvc"` `"orig_host"`
file list / elements=string	Список извлекаемых файлов
identity list / elements=string	Список извлекаемых полей идентификаторов; выберите один или несколько доступных вариантов по умолчанию используются ‘user’ и ‘src_user’ Варианты: `"user"` `"src_user"` `"src_user_id"` `"user_id"` `"src_user_role"` `"user_role"` `"vendor_account"`
url list / elements=string	Список извлекаемых URL-адресов
investigation_profiles list / elements=string	Профиль расследования, с которым следует связать заметное событие.
name string	Имя заметного события
next_steps list / elements=string	Список адаптивных действий, которые следует выполнить следующими Опишите дальнейшие шаги и ответные действия, которые аналитик может предпринять для устранения этой угрозы.
recommended_actions list / elements=string	Список адаптивных действий, рекомендуемых для выполнения следующими Указание рекомендуемых адаптивных действий выделит их для аналитика при просмотре списка доступных ответных действий и упростит поиск среди множества вариантов.
security_domain string	Домен безопасности Splunk Варианты: `"access"` `"endpoint"` `"network"` `"threat"` ← (по умолчанию) `"identity"` `"audit"`
severity string	Уровень серьёзности Варианты: `"informational"` `"low"` `"medium"` `"high"` ← (по умолчанию) `"critical"` `"unknown"`
running_config string	По умолчанию модуль подключается к удалённому устройству и получает текущую running-config, чтобы использовать её в качестве основы для сравнения с содержимым source. Иногда нежелательно получать текущую running-config для каждой задачи плейбука. Аргумент running_config позволяет передать конфигурацию, которая будет использоваться в качестве базовой при сравнении. Значением этого параметра должен быть вывод, полученный от устройства при выполнении команды.
state string	Состояние, в котором должна остаться конфигурация Варианты: `"merged"` ← (по умолчанию) `"replaced"` `"deleted"` `"gathered"`

Примеры

# Using gathered
# --------------

- name: Gather adaptive response notable events config
  splunk.es.splunk_adaptive_response_notable_events:
    config:
      - correlation_search_name: Ansible Test
      - correlation_search_name: Ansible Test 2
    state: gathered

# RUN output:
# -----------

# "gathered": [
#     {
#         "correlation_search_name": "Ansible Test",
#         "description": "test notable event",
#         "drilldown_earliest_offset": "$info_min_time$",
#         "drilldown_latest_offset": "$info_max_time$",
#         "drilldown_name": "test_drill_name",
#         "drilldown_search": "test_drill",
#         "extract_artifacts": {
#             "asset": [
#                 "src",
#                 "dest",
#                 "dvc",
#                 "orig_host"
#             ],
#             "identity": [
#                 "src_user",
#                 "user",
#                 "src_user_id",
#                 "src_user_role",
#                 "user_id",
#                 "user_role",
#                 "vendor_account"
#             ]
#         },
#         "investigation_profiles": [
#             "test profile 1",
#             "test profile 2",
#             "test profile 3"
#         ],
#         "next_steps": [
#             "makestreams",
#             "nbtstat",
#             "nslookup"
#         ],
#         "name": "ansible_test_notable",
#         "recommended_actions": [
#             "email",
#             "logevent",
#             "makestreams",
#             "nbtstat"
#         ],
#         "security_domain": "threat",
#         "severity": "high"
#     },
#     { } # there is no configuration associated with "/var"
# ]

# Using merged
# ------------

- name: Example to add config
  splunk.es.splunk_adaptive_response_notable_events:
    config:
      - correlation_search_name: Ansible Test
        description: test notable event
        drilldown_earliest_offset: $info_min_time$
        drilldown_latest_offset: $info_max_time$
        extract_artifacts:
          asset:
            - src
            - dest
          identity:
            - src_user
            - user
            - src_user_id
        next_steps:
          - makestreams
        name: ansible_test_notable
        recommended_actions:
          - email
          - logevent
        security_domain: threat
        severity: high
    state: merged

# RUN output:
# -----------

# "after": [
#     {
#         "correlation_search_name": "Ansible Test",
#         "description": "test notable event",
#         "drilldown_earliest_offset": "$info_min_time$",
#         "drilldown_latest_offset": "$info_max_time$",
#         "drilldown_name": "test_drill_name",
#         "drilldown_search": "test_drill",
#         "extract_artifacts": {
#             "asset": [
#                 "src",
#                 "dest",
#                 "dvc",
#                 "orig_host"
#             ],
#             "identity": [
#                 "src_user",
#                 "user",
#                 "src_user_id",
#                 "src_user_role",
#                 "user_id",
#                 "user_role",
#                 "vendor_account"
#             ]
#         },
#         "investigation_profiles": [
#             "test profile 1",
#             "test profile 2",
#             "test profile 3"
#         ],
#         "next_steps": [
#             "makestreams",
#             "nbtstat",
#             "nslookup"
#         ],
#         "name": "ansible_test_notable",
#         "recommended_actions": [
#             "email",
#             "logevent",
#             "makestreams",
#             "nbtstat"
#         ],
#         "security_domain": "threat",
#         "severity": "high"
#     }
# ],
# "before": [],

# Using replaced
# --------------

- name: Example to Replace the config
  splunk.es.splunk_adaptive_response_notable_events:
    config:
      - correlation_search_name: Ansible Test
        description: test notable event
        drilldown_earliest_offset: $info_min_time$
        drilldown_latest_offset: $info_max_time$
        extract_artifacts:
          asset:
            - src
            - dest
          identity:
            - src_user
            - user
            - src_user_id
        next_steps:
          - makestreams
        name: ansible_test_notable
        recommended_actions:
          - email
          - logevent
        security_domain: threat
        severity: high
    state: replaced

# RUN output:
# -----------

# "after": [
#     {
#         "correlation_search_name": "Ansible Test",
#         "description": "test notable event",
#         "drilldown_earliest_offset": "$info_min_time$",
#         "drilldown_latest_offset": "$info_max_time$",
#         "extract_artifacts": {
#             "asset": [
#                 "src",
#                 "dest"
#             ],
#             "identity": [
#                 "src_user",
#                 "user",
#                 "src_user_id"
#             ]
#         },
#         "next_steps": [
#             "makestreams"
#         ],
#         "name": "ansible_test_notable",
#         "recommended_actions": [
#             "email",
#             "logevent"
#         ],
#         "security_domain": "threat",
#         "severity": "high"
#     }
# ],
# "before": [
#     {
#         "correlation_search_name": "Ansible Test",
#         "description": "test notable event",
#         "drilldown_earliest_offset": "$info_min_time$",
#         "drilldown_latest_offset": "$info_max_time$",
#         "drilldown_name": "test_drill_name",
#         "drilldown_search": "test_drill",
#         "extract_artifacts": {
#             "asset": [
#                 "src",
#                 "dest",
#                 "dvc",
#                 "orig_host"
#             ],
#             "identity": [
#                 "src_user",
#                 "user",
#                 "src_user_id",
#                 "src_user_role",
#                 "user_id",
#                 "user_role",
#                 "vendor_account"
#             ]
#         },
#         "investigation_profiles": [
#             "test profile 1",
#             "test profile 2",
#             "test profile 3"
#         ],
#         "next_steps": [
#             "makestreams",
#             "nbtstat",
#             "nslookup"
#         ],
#         "name": "ansible_test_notable",
#         "recommended_actions": [
#             "email",
#             "logevent",
#             "makestreams",
#             "nbtstat"
#         ],
#         "security_domain": "threat",
#         "severity": "high"
#     }
# ],

# USING DELETED
# -------------

- name: Example to remove the config
  splunk.es.splunk_adaptive_response_notable_events:
    config:
      - correlation_search_name: Ansible Test
    state: deleted

# RUN output:
# -----------

# "after": [],
# "before": [
#     {
#         "correlation_search_name": "Ansible Test",
#         "description": "test notable event",
#         "drilldown_earliest_offset": "$info_min_time$",
#         "drilldown_latest_offset": "$info_max_time$",
#         "drilldown_name": "test_drill_name",
#         "drilldown_search": "test_drill",
#         "extract_artifacts": {
#             "asset": [
#                 "src",
#                 "dest",
#                 "dvc",
#                 "orig_host"
#             ],
#             "identity": [
#                 "src_user",
#                 "user",
#                 "src_user_id",
#                 "src_user_role",
#                 "user_id",
#                 "user_role",
#                 "vendor_account"
#             ]
#         },
#         "investigation_profiles": [
#             "test profile 1",
#             "test profile 2",
#             "test profile 3"
#         ],
#         "next_steps": [
#             "makestreams",
#             "nbtstat",
#             "nslookup"
#         ],
#         "name": "ansible_test_notable",
#         "recommended_actions": [
#             "email",
#             "logevent",
#             "makestreams",
#             "nbtstat"
#         ],
#         "security_domain": "threat",
#         "severity": "high"
#     }
# ]

Возвращаемые значения

Общие возвращаемые значения описаны здесь; ниже перечислены поля, уникальные для этого модуля:

Ключ	Описание
after list / elements=string	Конфигурация в виде структурированных данных после выполнения модуля. Возвращается: при изменении Пример: `["The configuration returned will always be in the same format of the parameters above."]`
before list / elements=string	Конфигурация в виде структурированных данных до вызова модуля. Возвращается: всегда Пример: `["The configuration returned will always be in the same format of the parameters above."]`
gathered dictionary	Сведения о сетевом ресурсе, собранные с удалённого устройства в виде структурированных данных. Возвращается: если state равен gathered Пример: `"This output will always be in the same format as the module argspec.\n"`

Авторы

Команда Ansible Security Automation (@pranav-bhatt) <https://github.com/ansible-security>

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/splunk/es/splunk_adaptive_response_notable_events_module.html