splunk.es.splunk_correlation_search – Управление корреляционными поисками Splunk Enterprise Security
Примечание
Этот плагин является частью коллекции splunk.es (версия 1.0.2).
Для его установки используйте: ansible-galaxy collection install splunk.es
Для использования в книге задач укажите: splunk.es.splunk_correlation_search
Введено в версии 1.0.0: of splunk.es
Обзор
- Этот модуль позволяет создавать, удалять и изменять корреляционные поиски Splunk Enterprise Security
Параметры
| Параметр | Варианты/Значения по умолчанию | Комментарии |
|---|---|---|
| app строка | По умолчанию: "SplunkEnterpriseSecuritySuite" | Приложение Splunk, с которым связан корреляционный поиск |
| cron_schedule строка | По умолчанию: "*/5 * * * *" | Введите расписание в формате cron. Например, '*/5 * * * *' (каждые 5 минут) или '0 21 * * *' (каждый день в 21:00).Поиски в реальном времени используют расписание по умолчанию '*/5 * * * *' |
| description строка / обязательно | Описание корреляционного поиска, которое будет отображаться в описании в веб-консоли | |
| name строка / обязательно | Имя корреляционного поиска | |
| schedule_priority строка |
| Увеличьте приоритет планирования отчета. Установите значение "Higher", чтобы поместить его выше других поисков с тем же режимом планирования, или "Highest", чтобы поместить его выше других поисков независимо от режима. Используйте с осторожностью. |
| schedule_window строка | По умолчанию: "0" | Разрешить выполнение отчета в любое время в рамках окна, открывающегося в запланированное время выполнения, для повышения эффективности при наличии многих одновременно запланированных отчетов. Настройка "auto" автоматически определяет оптимальную ширину окна для отчета. |
| scheduling строка |
| Управляет тем, как планировщик вычисляет следующее время выполнения запланированного поиска. Дополнительная информация: https://docs.splunk.com/Documentation/Splunk/7.2.3/Report/Configurethepriorityofscheduledreports#Real-time_scheduling_and_continuous_scheduling |
| search строка / обязательно | Строка поиска SPL | |
| state строка / обязательно |
| Добавить, удалить, включить или выключить корреляционный поиск. |
| suppress_alerts булево |
| Отключить или включить оповещения от этого корреляционного поиска |
| throttle_fields_to_group_by строка | Введите поля, которые следует учитывать для сопоставления событий при регулировании скорости. | |
| throttle_window_duration строка | Сколько времени игнорировать другие события, соответствующие значениям полей, указанным в Полях для группировки. | |
| time_earliest строка | По умолчанию: "-24h" | Начальное время с использованием модификаторов относительного времени. |
| time_latest строка | По умолчанию: "now" | Конечное время с использованием модификаторов относительного времени. |
| trigger_alert_when строка |
| Увеличьте приоритет планирования отчета. Установите значение "Higher", чтобы поместить его выше других поисков с тем же режимом планирования, или "Highest", чтобы поместить его выше других поисков независимо от режима. Используйте с осторожностью. |
| trigger_alert_when_condition строка |
| Условие для передачи в trigger_alert_when |
| trigger_alert_when_value строка | По умолчанию: "10" | Значение для передачи в trigger_alert_when |
| ui_dispatch_context строка | Укажите приложение для использования для ссылок, таких как поиск по детализации в заметном событии или ссылки в адаптивном ответе по электронной почте. Если None, используется контекст приложения. |
Примечания
Примечание
- Следующие параметры пока не поддерживаются: throttle_window_duration, throttle_fields_to_group_by и adaptive_response_actions
Примеры
- name: Example of creating a correlation search with splunk.es.coorelation_search
splunk.es.correlation_search:
name: "Example Coorelation Search From Ansible"
description: "Example Coorelation Search From Ansible, description."
search: 'source="/var/log/snort.log"'
state: "present"
Авторы
- Команда автоматизации Ansible Security (@maxamillion) <https://github.com/ansible-security>
© 2012–2018 Michael DeHaan
© 2018–2019 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/ansible/2.10/collections/splunk/es/splunk_correlation_search_module.html
