De "Adaptieve responsacties uitvoeren" bevat niet alle waarschuwingsacties in Splunk.

toepasbaarheid

Beschrijving

Beschrijving:
1. Geïnstalleerd TA-thehive & TA-PagerDuty op Splunk ES zoekhoofd.

2. Tijdens het bewerken van de correlatiezoekopdrachten krijgen ze deze waarschuwingsopties voor apps onder Adaptieve responsacties. Maar in het incident review panel wanneer ze proberen om de "run adaptive response action" toe te voegen krijgen ze alleen de standaard waarschuwingsacties, niet de korf en PagerDuty.

onderzoek

Architectuur: ES v 5.3.1 | Splunk v 7.3.1

Waarneming: In mijn Splunk-omgeving installeerde ik dezelfde add-ons om het Splunk-gedrag te controleren, en ik vond hetzelfde.

Voortplantingsstappen:
1. Installeer TA-thehive (https://splunkbase.splunk.com/app/4380/) & PagerDuty Addon (https://splunkbase.splunk.com/app/3742/) op ES-zoekkop.

2. Bewerk de correlatie-zoekopdracht en controleer voor de Adaptive Response Actions, u ziet de hive- & pagerduty als een waarschuwingsactie. 

3. Ga naar het panel voor incidentbeoordeling. Klik op "Actie" voor een opmerkelijke en selecteer * "Aangepaste responsactie uitvoeren". de opties voor bijenkorf- en pagerduty zijn niet beschikbaar.  *

resolutie

"Dit is zoals ontworpen" als u geen param._cam hebt gedefinieerd voor uw waarschuwingsactie. De Incident Review vereist ook dat "supports_adhoc" is ingesteld op true.

Oplossen:

$Splunk_Home/etc/apps/TA-thehive/default[thehive_alert_create_alert]
is_custom = 1
label = create THEHIVE alert(s) (alert action)
description = Create alerts in theHive
icon_path = thehive_logo_small.png
payload_format = json
disabled = 0

OPMERKING: de actie heeft de naam "thehive_alert_create_alert" en heeft geen param._cam-definitie. Ik heb geverifieerd dat dit niet wordt weergegeven in Incident Review.

Vervolgens voegde ik alleen een eenvoudige param._cam-definitie toe:
 

[thehive_alert_create_alert]
is_custom = 1
label = create THEHIVE alert(s) (alert action)
description = Create alerts in theHive
icon_path = thehive_logo_small.png
payload_format = json
disabled = 0
param._cam = {"supports_adhoc": true}

OPMERKING: Breng de wijzigingen aan in $Splunk_Home/etc/apps/app_name/local