splunk.es.adaptive_response_notable_event 模块 – 管理 Splunk 企业安全值得注意的事件自适应响应

注意

此模块是 splunk.es 集合（版本 4.0.0）的一部分。

如果您正在使用 ansible 包，您可能已经安装了此集合。它不包含在 ansible-core 中。要检查它是否已安装，请运行 ansible-galaxy collection list。

要安装它，请使用：ansible-galaxy collection install splunk.es。

要在 playbook 中使用它，请指定：splunk.es.adaptive_response_notable_event。

splunk.es 1.0.0 中的新增功能

已弃用

在以下版本中删除:

2024-09-01 之后的重大版本

原因:

发布了具有更多功能的新版本和更新模块。

替代方案:

splunk_adaptive_response_notable_events

概要

  • 此模块允许创建、删除和修改与关联搜索相关的 Splunk 企业安全值得注意的事件自适应响应

别名：splunk_adaptive_response_notable_event

参数

参数

注释

asset_extraction

列表 / 元素=字符串

要提取的资产列表，选择任何一个或多个可用选项

默认为所有可用选项

选项

  • "src" ←（默认）

  • "dest" ←（默认）

  • "dvc" ←（默认）

  • "orig_host" ←（默认）

默认： ["src", "dest", "dvc", "orig_host"]

correlation_search_name

字符串 / 必需

要将此值得注意的事件自适应响应与之关联的关联搜索的名称

default_owner

字符串

值得注意的事件的默认所有者，如果未设置，则默认为 Splunk 系统默认值

default_status

字符串

值得注意的事件的默认状态，如果未设置，则默认为 Splunk 系统默认值

选项

  • "未分配"

  • "新"

  • "进行中"

  • "待定"

  • "已解决"

  • "已关闭"

description

字符串 / 必需

值得注意的事件的描述，这将填充 Web 控制台的描述字段

drill_down_earliest_offset

字符串

设置在触发事件之前搜索相关事件的时间量。例如，2h。使用 “$info_min_time$” 将向下钻取时间设置为与搜索的最早时间匹配

默认： "$info_min_time$"

drill_down_latest_offset

字符串

设置在触发事件之后搜索相关事件的时间量。例如，1m。使用 “$info_max_time$” 将向下钻取时间设置为与搜索的最新时间匹配

默认： "$info_max_time$"

drill_down_name

字符串

向下钻取搜索的名称，支持使用匹配事件的字段进行变量替换。

字符串

向下钻取搜索，支持使用匹配事件的字段进行变量替换。

identity_extraction

列表 / 元素=字符串

要提取的身份字段列表，选择任何一个或多个可用选项

默认为所有可用选项

选项

  • "user" ←（默认）

  • "src_user" ←（默认）

默认： ["user", "src_user"]

investigation_profiles

字符串

要将值得注意的事件与之关联的调查配置文件。

name

字符串 / 必需

值得注意的事件的名称

next_steps

列表 / 元素=字符串

接下来应运行的自适应响应列表

描述分析师可以采取的下一步骤和响应措施来解决此威胁。

默认： []

列表 / 元素=字符串

建议接下来运行的自适应响应列表

识别推荐的自适应响应将在分析师查看可用响应操作列表时突出显示这些操作，从而更容易在较长的可用操作列表中找到它们。

默认： []

security_domain

字符串

Splunk 安全域

选项

  • "访问"

  • "端点"

  • "网络"

  • "威胁" ←（默认）

  • "身份"

  • "审计"

严重性

字符串

严重性评级

选项

  • "信息"

  • "低"

  • "中"

  • "高" ←（默认）

  • "严重"

  • "未知"

状态

字符串 / 必需

添加或删除数据源。

选项

  • "存在"

  • "不存在"

示例

- name: Example of using splunk.es.adaptive_response_notable_event module
  splunk.es.adaptive_response_notable_event:
    name: "Example notable event from Ansible"
    correlation_search_name: "Example Correlation Search From Ansible"
    description: "Example notable event from Ansible, description."
    state: "present"
    next_steps:
      - ping
      - nslookup
    recommended_actions:
      - script
      - ansiblesecurityautomation

状态

  • 此模块将在 2024-09-01 之后的重大版本中删除。[已弃用]

  • 有关更多信息，请参阅 已弃用。

作者