La voce "Esegui azioni di risposta adattive" non elenca tutte le azioni di allarme in Splunk.

Applicabilità

Descrizione

Descrizione:
1. Installato TA-thehive & TA-PagerDuty su Splunk ES testa di ricerca.

2. Durante la modifica delle ricerche di correlazione ottengono le opzioni di avviso di queste app in Azioni di risposta adattiva. Ma nel pannello di revisione degli incidenti quando cercano di aggiungere l'"esecuzione dell'azione di risposta adattiva" ottengono solo le azioni di avviso predefinite, non l'hive e PagerDuty.

Indagine

Architettura: ES v 5.3.1 | Splunk v 7.3.1

Osservazione: nel mio ambiente Splunk, ho installato gli stessi componenti aggiuntivi per controllare il comportamento Splunk, e ho trovato lo stesso.

Fasi di riproduzione:
1. Installare TA-thehive (https://splunkbase.splunk.com/app/4380/) e PagerDuty Addon (https://splunkbase.splunk.com/app/3742/) sull'intestazione di ricerca ES.

2. Modificando la ricerca di correlazione e controllando le azioni di risposta adattive, verrà visualizzata l'azione di avviso the-hive & pagerduty. 

3. Passare al pannello di esame degli incidenti. Fare clic su "Action" (Azione) davanti a qualsiasi notable e selezionare * "run adaptive response action" (Esegui azione di risposta adattiva). le opzioni hive-hive e pagerduty non sono disponibili. *

Risoluzione

"This is as Designed" se non avete definito param._cam per l'azione di allarme. Inoltre, la revisione dell'incidente richiede che "supported_adhoc" sia impostato su true.

Per risolvere:

$Splunk_Home/etc/apps/TA-thehive/default[thehive_alert_create_alert]
is_custom = 1
label = create THEHIVE alert(s) (alert action)
description = Create alerts in theHive
icon_path = thehive_logo_small.png
payload_format = json
disabled = 0

NOTA: che l'azione sia denominata "thehive_alert_create_alert" e non abbia una definizione param._cam. Ho verificato che non viene visualizzato nella sezione Incident Review.

Successivamente, tutto quello che ho fatto è stato aggiungere un semplice param._cam definizione:
 

[thehive_alert_create_alert]
is_custom = 1
label = create THEHIVE alert(s) (alert action)
description = Create alerts in theHive
icon_path = thehive_logo_small.png
payload_format = json
disabled = 0
param._cam = {"supports_adhoc": true}

NOTA: Apportare le modifiche in $Splunk_Home/etc/apps/app_name/local