splunk.es.splunk_adaptive_response_notable_event – Управление адаптивными ответами на заметные события Splunk Enterprise Security
Примечание
Этот плагин входит в коллекцию splunk.es (версия 1.0.2).
Для его установки используйте: ansible-galaxy collection install splunk.es.
Для использования в плейбуке укажите: splunk.es.splunk_adaptive_response_notable_event.
Введено в версии 1.0.0: коллекции splunk.es
Обзор
- Этот модуль позволяет создавать, удалять и изменять адаптивные ответы Splunk Enterprise Security на заметные события, связанные с поиском корреляции
Параметры
| Параметр | Варианты/Значения по умолчанию | Комментарии |
|---|---|---|
| asset_extraction список / элементы=строка |
["src", "dest", "dvc", "orig_host"] | список активов для извлечения, выберите один или несколько доступных вариантов по умолчанию все доступные варианты |
| correlation_search_name строка / обязательно | Имя поиска корреляции, с которым будет связан этот адаптивный ответ на заметное событие | |
| default_owner строка | Владелец заметного события по умолчанию, если не указано, используется значение по умолчанию Splunk System | |
| default_status строка |
| Статус заметного события по умолчанию, если не указано, используется значение по умолчанию Splunk System |
| description строка / обязательно | Описание заметного события, это значение будет отображаться в поле описания консоли веб-интерфейса | |
| drill_down_earliest_offset строка | Значение по умолчанию: "$info_min_time$" | Установите временной интервал до запускающего события для поиска связанных событий. Например, 2 часа. Используйте "$info_min_time$", чтобы установить время детализации, соответствующее самому раннему времени поиска. |
| drill_down_latest_offset строка | Значение по умолчанию: "$info_max_time$" | Установите временной интервал после запускающего события для поиска связанных событий. Например, 1 минута. Используйте "$info_max_time$", чтобы установить время детализации, соответствующее самому позднему времени поиска. |
| drill_down_name строка | Имя поиска детализации, поддерживает подстановку переменных с полями из сопоставленного события. | |
| drill_down_search строка | Поиск детализации, поддерживает подстановку переменных с полями из сопоставленного события. | |
| identity_extraction список / элементы=строка |
["user", "src_user"] | список полей идентификации для извлечения, выберите один или несколько доступных вариантов по умолчанию все доступные варианты |
| investigation_profiles строка | Профиль расследования, с которым необходимо связать заметное событие. | |
| name строка / обязательно | Имя заметного события | |
| next_steps список / элементы=строка | Список адаптивных ответов, которые следует выполнить далее Опишите последующие шаги и действия по реагированию, которые может предпринять аналитик для устранения этой угрозы. | |
| recommended_actions список / элементы=строка | Список адаптивных ответов, которые рекомендуется выполнить далее Выявление рекомендованных адаптивных ответов выделит эти действия для аналитика при просмотре списка доступных действий по реагированию, что упростит их поиск среди более длинного списка доступных действий. | |
| security_domain строка |
| Домен безопасности Splunk |
| severity строка |
| Оценка уровня серьезности |
| state строка / обязательно |
| Добавление или удаление источника данных. |
Примеры
- name: Example of using splunk.es.adaptive_response_notable_event module
splunk.es.adaptive_response_notable_event:
name: "Example notable event from Ansible"
correlation_search_name: "Example Correlation Search From Ansible"
description: "Example notable event from Ansible, description."
state: "present"
next_steps:
- ping
- nslookup
recommended_actions:
- script
- ansiblesecurityautomation
Авторы
- Команда автоматизации безопасности Ansible (@maxamillion) <https://github.com/ansible-security>
© 2012–2018 Michael DeHaan
© 2018–2019 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/ansible/2.10/collections/splunk/es/splunk_adaptive_response_notable_event_module.html
