Activité de requête d’événement Splunk

  • Rversion finale: Xanadu
  • Mis à jour 1 août 2024
  • 1 minute de lecture

    • L’activité de workflow de requête d’événement Splunk recherche des indicateurs malveillants dans les journaux d’événements Splunk.

    L’activité QueryActivity d’événement Splunk peut être utilisée avec n’importe quel workflow pour effectuer des recherches dans les journaux d’événements Splunk.

    Résultats

    Les résultats possibles pour cette activité sont les suivants :

    Tableau 1. Résultats
    Résultat Description
    Réussite Splunk
    Échec Une erreur s’est produite lors de la tentative de vérification de la requête Splunk. Plus d’informations sur l’erreur sont disponibles dans l’erreur de sortie d’activité.

    Variables d'entrée

    Les variables d'entrée déterminent le comportement initial de l'activité.

    Variable Description
    utilisateur Nom d’utilisateur du système Splunk.
    mot de passe Mot de passe du système Splunk.
    observables Liste des observables ou Trusted Security Circle de la tâche d’incident de sécurité à rechercher. Renvoyé au format JSON.
    base_url URL du point de terminaison d’intégration Splunk.
    link_base_url Lien vers l’interface Web, lorsqu’il Splunk est disponible.
    source Source de la demande d’exécution du workflow. Les entrées prises en charge sont : Trusted Security Circles ou la tâche d’incident de sécurité.
    max_rows Nombre maximal de lignes à renvoyer à partir de la requête. La limite dépend de l’intégration tierce.
    days_to_search Jours pour rechercher à partir du jour actuel dans l’envers. La valeur par défaut est 7.
    requête Syntaxe de recherche. $(observable) est la valeur par défaut.

    Variables de sortie

    Les variables de sortie contiennent des données qui peuvent être utilisées dans les activités suivantes.

    Tableau 2. Variables de sortie
    Variable Description
    output Sortie de la requête au format JSON.