Definieren Sie Abfragen für die Sichtungssuche

  • Freigeben Version: Xanadu
  • Aktualisiert 1. August 2024
  • 2 Minuten Lesedauer

    • Sie können Sichtungssuchkonfigurationen verwenden, um die Abfragen zu definieren, die verwendet werden, um die Verbreitung von erkennbaren Elementen in Ihrer Umgebung im Rahmen der Untersuchung von erkennbaren Elementen zu ermitteln.

    Zeigen Sie Abfragen für die Sichtungssuche an

    Erforderliche Rolle: sn_sec_tisc.admin

    Um die Konfigurationen für die Sichtungssuche anzuzeigen, gehen Sie wie folgt vor:
    1. Navigieren zu Arbeitsbereiche > Threat Intelligence-Sicherheitszentrum > Integrationenan.
    2. Navigieren Sie auf der Seite Integrationen zu Ergänzungsintegrationen > Sichtungssuchean.
    3. Suchen Sie nach der Integration, für die Sie die Sichtungssuchkonfiguration anzeigen möchten, und klicken Sie auf Bearbeiten.
    4. Wählen Sie die Registerkarte Sichtungssuchkonfigurationen aus.

      Sie können die Liste der Sichtungssuchkonfigurationen anzeigen.

      Registerkarte Konfigurationen der Sichtungssuche

    5. Klicken Sie auf die erforderliche Sichtungssuche-Konfiguration, um die Details der Konfiguration anzuzeigen.
    6. Um eine Testabfrage für die Sichtungssuche zu generieren, klicken Sie auf die Aktion Testabfrage für Sichtungssuche generieren.
      Hinweis:
      Die Aktion „ Testabfrage für Sichtungssuche generieren “ funktioniert nur, wenn Sie Abfrageparameter für die Sichtungssuche konfiguriert haben. Weitere Informationen finden Sie unter Sichtungssuchparameter werden verwendet.
    7. Geben Sie im Popup-Fenster „Testabfrage für Sichtungssuche generieren“ mehrere erkennbare Elemente ein, oder fügen Sie sie mithilfe von Kommas, neuen Zeilen, Registerkarten oder Pipe-Trennzeichen ein, um eine Testabfrage zu generieren.
    8. Klicken Sie auf Generieren, um die Testabfrage für die Sichtungssuche zu generieren.
    9. Sie können auf der Registerkarte Sichtungssuchkonfigurationen auch die folgenden Aktionen ausführen:
      1. Um die Liste der Sichtungssuchkonfigurationen zu aktualisieren, klicken Sie auf das Symbol Option aktualisieren.
      2. Um eine Listenaktion für die Sichtungssuchkonfigurationen auszuführen, klicken Sie auf das Symbol Listenaktionen.
        Sie können die folgenden beiden Listenaktionen ausführen:
        • Spalten bearbeiten: Sie können diese Aktion verwenden, um vorhandene Spalten hinzuzufügen oder zu entfernen und die Reihenfolge entsprechend Ihren Anforderungen zu ändern.
        • Breitenzurücksetzen: Mit dieser Aktion können Sie die Breiten der Spalten zurücksetzen.
      3. Um Konfigurationen für die Sichtungssuche basierend auf Bedingungen zu filtern, klicken Sie auf das Symbol Filterbereich.

        Der Wert 1 gibt an, dass eine Bedingung für die Filterung verwendet wird.

    Erstellen Sie Konfigurationen für die Sichtungssuche

    Erforderliche Rolle: sn_sec_tisc.admin

    Maximum observables per search = "maximum number of observables that can be substituted in a single search query"

Search = "Search query that should be executed in sighting search source. 
Search query can contain substitution variables that would be substituted with observables of specific type as configured in sighting search parameters when sighting search query is formed"
    Um eine Sichtungssuchkonfiguration zu erstellen, führen Sie die folgenden Schritte aus:
    1. Navigieren zu Arbeitsbereiche > Threat Intelligence-Sicherheitszentrum > Integrationenan.
    2. Navigieren Sie auf der Seite Integrationen zu Ergänzungsintegrationen > Sichtungssuchean.
    3. Suchen Sie nach der Integration, für die Sie die Sichtungssuchkonfiguration anzeigen möchten, und klicken Sie auf Bearbeiten.
    4. Wählen Sie die Registerkarte Sichtungssuchkonfigurationen aus.

      Sie können die Liste der Sichtungssuchkonfigurationen anzeigen.

    5. Zum Erstellen einer Sichtungssuchkonfiguration klicken Sie auf Neu.

      Erstellt eine Sichtungssuche-Konfiguration

    6. Füllen Sie die Felder im Formular aus.
      Tabelle : 1. Erstellen Sie eine Sichtungssuche-Konfiguration
      Feld Beschreibung
      Name Name für die Sichtungssuche-Konfiguration.
      Erkennbarer Typ Definiert den Typ der Kategorie des erkennbaren Elements.
      Sichtungssuchquelle Definiert die für die Integration konfigurierte Quelle.
      Maximale erkennbare Elemente pro Suche Die Anzahl der erkennbaren Elemente bevor die Suchabfrage in mehrere Abfragen aufgeteilt wird. Legen Sie diesen Wert für diese Integration auf 500 fest.
      Suchen Fügen Sie eine native Suchzeichenfolge hinzu, um eine Abfrage zu bilden. Beispiel: ${observable}.
      Ist gespeicherte Suche Führt eine gespeicherte Suche aus, d. h. das Feld Name muss mit dem Namen der gespeicherten Suche übereinstimmen.
      Aktiv Abfrage wird nur ausgeführt, wenn die Option „Aktiv“ ausgewählt ist.
    7. Klicken Sie auf Speichern.