「Run Adaptive Response Actions」には、Splunkのすべてのアラートアクションが表示されません。

適用性

説明

説明:
1. Splunk ES検索ヘッドにTA-thehiveとTA-PagerDutyをインストールしました。

2.相関検索を編集している間、これらのアプリケーションは適応応答アクションの下にアラートオプションを取得しています。 ただし、インシデントレビューパネルで「適応型応答アクションの実行」を追加しようとすると、デフォルトのアラートアクションのみが取得され、ハイブとPagerDutyは取得されません。

調査

アーキテクチャ：ES v 5.3.1 | Splunk v 7.3.1

確認：Splunk環境に、Splunkの動作を確認するための同じアドオンをインストールしたところ、同じものが見つかりました。

再現手順：
1. ES検索ヘッドにTA-thehive (https://splunkbase.splunk.com/app/4380/)とPagerDuty Addon (https://splunkbase.splunk.com/app/3742/)をインストールします。

2. 相関検索を編集し、Adaptive Response Actionsを確認します。アラートアクションとしてThe-hive & pagerdutyが表示されます。 

3. インシデントレビューパネルに移動します。任意の特筆すべき項目の前にある「アクション」をクリックし、* 「適応型応答アクションの実行」を選択します。  *

解決方法

アラートアクションにparam._camが定義されていない場合は、「This is as Designed」と表示されます。また、インシデントレビューでは「supports_adhoc」をtrueに設定する必要があります。

解決するには：

$Splunk_Home/etc/apps/TA-thehive/default[thehive_alert_create_alert]
is_custom = 1
label = create THEHIVE alert(s) (alert action)
description = Create alerts in theHive
icon_path = thehive_logo_small.png
payload_format = json
disabled = 0

注：アクションの名前は「thehive_alert_create_alert」で、param._cam定義がないことに注意してください。これがインシデントレビューに表示されないことを確認しました。

次に、単純なparam._cam定義を追加しました。
 

[thehive_alert_create_alert]
is_custom = 1
label = create THEHIVE alert(s) (alert action)
description = Create alerts in theHive
icon_path = thehive_logo_small.png
payload_format = json
disabled = 0
param._cam = {"supports_adhoc": true}

注：$Splunk_Home/etc/apps/app_name/localを変更します。