"Run Adaptive Response Actions(적응형 응답 작업 실행)"에 Splunk의 모든 경고 작업이 나열되어 있지 않습니다.

적용 가능성

설명

설명:
1. Splunk ES 검색 헤드에 TA-hive & TA-PagerDuty를 설치했습니다.

2. 상관관계 검색을 편집하는 동안 적응형 응답 작업에서 이러한 앱 알림 옵션을 가져옵니다. 하지만 인시던트 검토 패널에서 "적응형 응답 작업 실행"을 추가하려는 경우 hive 및 PagerDuty가 아닌 기본 알림 작업만 가져옵니다.

조사

아키텍처: ES v 5.3.1 | Splunk v 7.3.1

관찰: Splunk 환경에서 Splunk 동작을 확인하기 위해 동일한 애드온을 설치했는데 동일한 애드온을 찾았습니다.

재현 단계:
1. ES 검색 헤드에 TA-thehive(https://splunkbase.splunk.com/app/4380/) 및 PagerDuty Addon(https://splunkbase.splunk.com/app/3742/)을 설치합니다.

2. 상관관계 검색을 편집하고 적응 응답 작업을 확인합니다. 그러면 hive & pagerduty가 경고 작업으로 표시됩니다. 

3. 인시던트 검토 패널로 이동합니다. 눈에 띄는 항목 앞에 있는 "Action(작업)"을 클릭하고 * "run adaptive response action(적응형 대응 작업 실행)"을 선택합니다. hive 및 pagerduty 옵션은 사용할 수 없습니다. *

해결

경고 작업에 대해 param._cam이 정의되지 않은 경우 "Designed"입니다. 또한 Incident Review(인시던트 검토)에서는 "supports_adhoc"를 true(참)로 설정해야 합니다.

해결 방법:

$Splunk_Home/etc/apps/TA-thehive/default[thehive_alert_create_alert]
is_custom = 1
label = create THEHIVE alert(s) (alert action)
description = Create alerts in theHive
icon_path = thehive_logo_small.png
payload_format = json
disabled = 0

참고: 작업의 이름이 "hive_alert_create_alert"이고 param._cam 정의가 없음을 나타냅니다. Incident Review(인시던트 검토)에 표시되지 않음을 확인했습니다.

다음으로, 간단한 매개변수(_Cam) 정의를 추가한 것뿐입니다.
 

[thehive_alert_create_alert]
is_custom = 1
label = create THEHIVE alert(s) (alert action)
description = Create alerts in theHive
icon_path = thehive_logo_small.png
payload_format = json
disabled = 0
param._cam = {"supports_adhoc": true}

참고: $Splunk_Home/etc/apps/app_name/local에서 변경