Manuell Workbench Insight Progression Update Playbooks erstellen

Prozedur

1. Navigieren Sie zu Workflow and Automation → Security Playbooks.
2. Wählen Sie auf der Registerkarte Playbooks Hinzufügen → Build manually aus.
3. Wählen Sie im Playbook Settings-Panel den XDR detection-Typ aus, geben Sie einen eindeutigen Namen für das Playbook an und klicken Sie auf Übernehmen.
4. Wählen Sie im Trigger Settings-Panel den Auslösetyp Automatic or manual (executed from Workbench) oder Manual (executed from Workbench) und klicken Sie auf Übernehmen.
   • Automatic or manual (executed from Workbench): Workbench-Einblicke lösen automatisch die Ausführung des Playbooks aus. Jedes Mal, wenn ein Einblick generiert oder aktualisiert wird, wird das Playbook ausgelöst. Sie können die Ausführung des Playbooks auch manuell von der Workbench auslösen.
     Wählen Sie Execute playbook automatically only during specified period und legen Sie die Tage und Zeiträume für die automatische Ausführung fest. Sie können maximal 10 Sätze von Tagen und Zeiträumen in Trigger Settings festlegen.
   • Manual (executed from Workbench): Sie müssen die Ausführung des Playbooks manuell aus dem Workbench auslösen.
5. Wählen und konfigurieren Sie im Target Settings-Panel das Ziel für das Playbook und klicken Sie auf Übernehmen.
   1. Wählen Sie im Listenfeld Ziel die Option Workbench insight aus.
   2. Wählen Sie im Dropdown-Menü Alert severity within insight den Schweregrad der Warnungen in den Workbench-Einblicken aus, die eine Fortschrittsbenachrichtigung benötigen.
   3. Wenn Sie möchten, dass Playbook-Aktionen nur für Workbench-Einblicke innerhalb eines bestimmten Bewertungsbereichs ausgelöst werden, wählen Sie Filter insights by score und wählen Sie einen Bereich aus der Dropdown-Liste oder konfigurieren Sie einen benutzerdefinierten Bereich.
   4. Wenn Sie möchten, dass Playbook-Aktionen nur für Workbench-Einblicke ausgelöst werden, die mit einer bestimmten Angriffsphase verbunden sind, wählen Sie Filter insights by attach phase und wählen Sie Angriffsphasen aus der Dropdown-Liste aus.
6. 1. Klicken Sie auf das Knoten hinzufügen () rechts neben dem Ziel-Knoten und klicken Sie auf !!Condition!!.
   2. Erstellen Sie eine Bedingungseinstellung, indem Sie Parameter, Operator und !!Value!! angeben.

      Einstellung	Beschreibung
      Parameter	Geben Sie eine der folgenden Optionen als Parameter an: Case Insight score Attack phase Alert severity within insight
      Operator	IS: Die Bedingung wird ausgelöst, wenn einer der Werte übereinstimmt IS NOT: Die Bedingung wird ausgelöst, wenn keiner der Werte übereinstimmt
      Wert	Geben Sie den Parameterwert an.

   3. Klicken Sie auf Übernehmen.
   4. Wenn Sie mehr als einen parallelen !!Condition!!-Knoten hinzufügen müssen, klicken Sie auf den Knoten hinzufügen () rechts neben dem Ziel-Knoten.
   5. Wenn Sie die Aktionseinstellungen für den !!Condition!!-Knoten konfigurieren müssen, fügen Sie einen Aktion-Knoten hinzu, indem Sie auf der rechten Seite auf Knoten hinzufügen () klicken.
      Weitere Informationen finden Sie in Schritt 7.
   6. Wenn Sie else-if-Bedingungen oder else-Aktionen konfigurieren müssen, fügen Sie einen Else-If Condition- oder Else Action-Knoten hinzu, indem Sie auf den Knoten hinzufügen () unter dem !!Condition!!-Knoten klicken.
      Weitere Informationen finden Sie unter Schritt 10.
7. Konfigurieren Sie Aktionen, indem Sie einen Aktion-Knoten hinzufügen.
   1. Klicken Sie auf das Hinzufügen-Symbol () rechts neben dem !!Condition!!-Knoten und klicken Sie auf Aktion.
   2. Konfigurieren Sie im Aktionseinstellungen-Panel die fallbezogenen Aktionen, die auf die anvisierten Workbench-Einblicke angewendet werden.

      Aktion	Einstellungen
      Neuen Fall öffnen	Um eine von der generativen KI erstellte Zusammenfassung der Erkenntnis in den neuen Fall aufzunehmen, klicken Sie auf Turn on Generative AI und wählen Sie Workbench insight summary. Um relevante Inhalte aus anderen Fällen zu importieren, wählen Sie Import case contents from cases with correlated alerts. Um dem Fall eine Prioritätsstufe zuzuweisen, wählen Sie Assign case priority und wählen Sie die Prioritätsstufe aus. Um Fallinhaber aus TrendAI Vision One™ zu bestimmen, wählen Sie Assign TrendAI Vision One™ case owners und wählen Sie Besitzer aus der Owners-Dropdown-Liste aus. Wenn bereits ein Fall für die anvisierten Workbench-Einblicke existiert, überschreiben die neuen Falleinstellungen den bestehenden Fall.
      Bestehenden Fall aktualisieren	Wählen Sie den neuen Status für den Fall aus den verfügbaren Optionen aus. Zu erledigen Wird ausgeführt Geschlossen Wählen Sie die relevanten Ergebnisse im Zusammenhang mit dem Fall aus. Wahr positiv Gutartiger wahrer Positiver Falschmeldung Beachtenswert Weitere Funde Wenn Sie zusätzliche Informationen oder Anmerkungen haben, geben Sie diese in das Textfeld Kommentar ein.

   3. Klicken Sie auf Übernehmen.
   4. Wenn Sie mehr als eine parallele Aktion hinzufügen müssen, klicken Sie auf rechts neben dem Ziel- oder !!Condition!!-Knoten.
8. Konfigurieren Sie die Benachrichtigungseinstellungen, indem Sie einen Aktion-Knoten hinzufügen.
   1. Klicken Sie auf den Knoten hinzufügen () rechts vom vorhergehenden Knoten und klicken Sie auf Aktion.
   2. Geben Sie im Aktionseinstellungen-Panel an, wie die Empfänger über Erkenntnisinformationen benachrichtigt werden sollen.

      Aktion

      Einstellungen

      E-Mail-Benachrichtigung über Erkenntnisinformationen senden

      Geben Sie das Präfix an, das am Anfang der Betreffzeile der Benachrichtigung erscheint. Um eine von der generativen KI erstellte Zusammenfassung der Erkenntnis in die E-Mail-Benachrichtigung aufzunehmen, klicken Sie auf Turn on Generative AI und wählen Sie Workbench insight summary aus. Um die erweiterten Workbench-Einblicke mit Anhängen einzuschließen, wählen Sie Attachments of alert list, Attachments of impact scope und Attachments of highlighted objects. Geben Sie die E-Mail-Adressen der Empfänger an.

   3. Klicken Sie auf Übernehmen.
9. Konfigurieren Sie Aktionen, indem Sie einen Aktion-Knoten hinzufügen.
   1. Klicken Sie auf das Hinzufügen-Symbol () rechts neben dem !!Condition!!-Knoten und klicken Sie auf Aktion.
   2. Wählen Sie im Aktionseinstellungen-Panel unter Endpoint actions Collect evidence aus.
      Das Playbook verwendet automatisch die Endpunkte aus dem Wirkungsspektrum der Workbench-Einblicke als Sammlungstargets. Sie müssen die Endpunkte nicht manuell angeben.

      Sammelt forensische Beweise von den Zielendpunkten und lädt sie zur Untersuchung in die Forensics-App hoch.

      Wichtig Um diese Aktion zu verwenden, muss die Forensics Evidence Collection-Funktion aktiviert und Guthaben zugewiesen werden. Wenn die Option nicht verfügbar ist, gehen Sie zur Forensics-App und aktivieren Sie die Beweissammlung. Zielendpunkte müssen TrendAI Vision One™ XDR für Endpunkt (XDR Endpoint Sensor) installiert haben.

   3. Wählen Sie in Evidence type die Arten von Beweismitteln aus, die gesammelt werden sollen.
      Wählen Sie einen oder mehrere Beweisarten zum Sammeln aus. Basic information ist erforderlich und standardmäßig ausgewählt. Die verfügbaren Optionen hängen vom Betriebssystem des Endpunkts ab.

      Windows

      • Grundlegende Informationen
      • Konto-Informationen
      • Netzwerkinformationen
      • Prozessinformationen
      • Serviceinformationen
      • Systemausführungsinformationen
      • Benutzeraktivität
      • Ereignisprotokoll
      • Datei-Zeitachse
      • Registrierung

      Linux

      • Grundlegende Informationen
      • Prozessinformationen
      • Netzwerkinformationen
      • Serviceinformationen
      • Konto-Informationen
      • Benutzeraktivität
      • Datei-Zeitachse
      • Protokoll

      Weitere Informationen zu den einzelnen Beweisarten finden Sie unter Windows-Beweisarten oder Linux-Beweisarten.
   4. (Optional) Wählen Sie Require manual approval for actions, wenn Sie die Aktion überprüfen und genehmigen möchten, bevor sie auf jedem Endpunkt ausgeführt wird.
      Wenn ausgewählt, erfordert die Aktion eine manuelle Genehmigung, bevor sie auf jedem Zielendpunkt ausgeführt wird. Um ausstehende Aktionen zu genehmigen oder abzulehnen, gehen Sie zu den Ausführungsergebnissen der Aktion und wählen Sie Approve all pending oder Reject all pending.
   5. Klicken Sie auf Übernehmen.
   Wenn das Playbook ausgeführt wird, sammelt die Aktion "Beweise sammeln" forensische Beweise von den Endpunkten im Wirkungskreis der Workbench-Einblicke. Die gesammelten Beweise werden automatisch in die Forensics-App hochgeladen.

   Um die Ergebnisse zu überprüfen, öffnen Sie die Ausführungsergebnisse des Playbooks. Der Gesamtstatus zeigt Erfolgreich, Partially approved oder Nicht erfolgreich an. Wählen Sie Details anzeigen, um den Aktionsstatus pro Endpunkt anzuzeigen, und wählen Sie View collection details in Forensics, um die gesammelten Beweise in der Forensics-App zu öffnen.

   Jede Playbook-Ausführung erstellt automatisch einen Forensics-Arbeitsbereich mit dem Namen Security Playbooks - execution-id. Bei durch Einblicke ausgelösten Ausführungen verweist die Arbeitsbereichsbeschreibung auch auf den ursprünglichen Workbench-Einblick.
10. Konfigurieren Sie Else-If Conditions oder Else Actions bei Bedarf.
    1. Klicken Sie auf das Hinzufügen-Symbol () unter dem !!Condition!!-Knoten und klicken Sie auf Else-If Condition oder Else Action.
    2. Konfigurieren Sie einen Bedingungsknoten, indem Sie Schritt 6 folgen, oder konfigurieren Sie einen Aktionsknoten, indem Sie Schritt 7, Schritt 8 oder Schritt 9 folgen.
    • Welche Knoten Sie hinzufügen können () variiert je nach dem vorhergehenden Knoten. Zum Beispiel kann ein Aktion-Knoten nur von einem weiteren Aktion-Knoten gefolgt werden; ein !!Condition!!-Knoten kann von einem Aktion-Knoten gefolgt werden oder ein Else-If Condition oder Else Action angehängt haben.
    • Wenn eine Bedingung falsch ist, führt das Playbook die Else Action aus oder überprüft, ob die Else-If Condition erfüllt ist. Wenn die Else-If Condition erfüllt ist, setzt das Playbook die entsprechende Else Action fort.
    • Mehrere Aktion-Knoten, die im seriellen Modus konfiguriert sind, werden nacheinander verarbeitet.
11. Aktivieren Sie das Playbook, indem Sie die Steuerung Aktivieren einschalten.
12. Klicken Sie auf Save.
    Das Playbook erscheint auf der Playbooks-Registerkarte in der Security Playbooks-App.