手動建立 Workbench Insight Progression Update Playbooks

步驟

1. 移至「Workflow and Automation」 → 「Security Playbooks」
2. 在「Playbooks」標籤上，選擇「新增」 → 「Build manually」。
3. 在「Playbook Settings」面板上，選擇「XDR detection」類型，指定一個唯一的名稱給劇本，然後點擊「Apply」。
4. 在「Trigger Settings」面板上，選擇「Automatic or manual (executed from Workbench)」或「Manual (executed from Workbench)」作為觸發類型，然後點擊「Apply」。
   • Automatic or manual (executed from Workbench)：Workbench洞察會自動觸發劇本執行。每次生成或更新洞察時，劇本都會被觸發。您也可以從Workbench手動觸發劇本執行。
     選擇「Execute playbook automatically only during specified period」並指定自動執行的日期和時間段。您可以在「Trigger Settings」中最多指定10組日期和時間段。
   • Manual (executed from Workbench)：您需要從Workbench手動觸發劇本執行。
5. 在Target Settings面板上，選擇並配置Target以用於劇本，然後點選Apply。
   1. 在「Target」下拉列表中，選擇「Workbench insight」。
   2. 在「Alert severity within insight」下拉選單中，選擇需要進度通知的Workbench洞察警報的嚴重性等級。
   3. 如果您希望劇本操作僅在特定分數範圍內觸發Workbench洞察，請選擇「Filter insights by score」，然後從下拉列表中選擇一個範圍或配置自定義範圍。
   4. 如果您希望劇本動作僅針對與特定攻擊階段相關的Workbench洞察觸發，請選擇「Filter insights by attach phase」，然後從下拉列表中選擇附加階段。
6. 1. 點選Target節點右側的新增節點()，然後點選Condition。
   2. 通過指定Parameter、Operator和Value來創建條件設置。

      設定	說明
      參數	請指定以下選項之一作為參數： Case Insight score Attack phase Alert severity within insight
      操作員	IS：如果任何值匹配，則觸發條件 IS NOT：如果沒有符合的值，則觸發此條件
      值	請指定參數值。

   3. 點選Apply。
   4. 如果您需要新增多個平行的Condition節點，請點選Target節點右側的新增節點()。
   5. 如果您需要為Condition節點配置處理行動設定，請點擊右側的新增節點()來新增一個處理行動節點。
      如需詳細資訊，請參閱步驟7。
   6. 如果您需要配置 else-if 條件或 else 動作，請在 Condition 節點下點擊新增節點 () 來新增 Else-If Condition 或 Else Action 節點。
      如需詳細資訊，請參閱步驟10。
7. 透過新增處理行動節點來配置操作。
   1. 點擊「條件」節點右側的新增節點()，然後點擊「處理行動」。
   2. 在「處理行動設定」面板上，配置針對目標Workbench洞察的案件相關操作。

      處理行動	設定
      開啟新案件	若要在新案例中包含生成式 AI 生成的洞察摘要，請點擊「Turn on Generative AI」並選擇「Workbench insight summary」。 要從其他案例匯入相關內容，請選擇「Import case contents from cases with correlated alerts」。 要為案件指派優先級別，請選擇「Assign case priority」並選擇優先級別。 要從 TrendAI Vision One™ 指定案件負責人，請選擇 「Assign TrendAI Vision One™ case owners」，然後從 「Owners」 下拉清單中選擇負責人。 如果目標Workbench洞察已經存在案例，新的案例設定將覆蓋現有的案例。
      更新現有案件	從可用選項中選擇案件的新狀態。 待辦 進行中 已關閉 選擇與案件相關的調查結果。 真正偵測 良性真正陽性 誤判 值得注意 其他發現 如果您有其他資訊或備註，請將其輸入到「Comment」文字框中。

   3. 點選Apply。
   4. 如果您需要添加多個平行動作，請點擊「目標」或「條件」節點右側的。
8. 透過新增「處理行動」節點來配置通知設定。
   1. 點擊前一個節點右側的新增節點 ()，然後點擊「處理行動」。
   2. 在「處理行動設定」面板上，指定如何通知接收者洞察信息。

      處理行動	設定
      發送洞察資訊的電子郵件通知	指定出現在通知主題行開頭的前綴。 若要在電子郵件通知中包含生成式 AI 生成的洞察摘要，請點擊「Turn on Generative AI」並選擇「Workbench insight summary」。 若要包含擴展的Workbench洞察詳細資訊及附件，請選擇「Attachments of alert list」、「Attachments of impact scope」和「Attachments of highlighted objects」。 指定收件人的電子郵件地址。

   3. 點選Apply。
9. 透過新增處理行動節點來配置操作。
   1. 點擊「條件」節點右側的新增節點()，然後點擊「處理行動」。
   2. 在「處理行動設定」面板中，於「Endpoint actions」下，選擇「Collect evidence」。
      Playbook 會自動使用 Workbench 洞察影響範圍中的端點作為收集目標。您不需要手動指定端點。

      從目標端點收集forensic證據並上傳至Forensics應用程式以進行調查。

      重要 要使用此操作，必須啟用 Forensics 「Evidence Collection」 功能並分配點數。如果該選項不可用，請前往 Forensics 應用程式並啟用證據收集。 目標端點必須安裝TrendAI Vision One™ XDR for Endpoint (XDR Endpoint Sensor)。

   3. 在「Evidence type」中，選擇要收集的證據類型。
      選擇一個或多個要收集的證據類型。「Basic information」 是必需的，並預設選取。可用的選項取決於端點作業系統。

      Windows

      • 基本資訊
      • 帳號資訊
      • 網路資訊
      • 處理資訊
      • 服務資訊
      • 系統執行資訊
      • 使用者活動
      • 事件記錄檔
      • 檔案時間軸
      • 登錄

      Linux

      • 基本資訊
      • 處理資訊
      • 網路資訊
      • 服務資訊
      • 帳號資訊
      • 使用者活動
      • 檔案時間軸
      • 記錄

      如需了解每種證據類型的詳細資訊，請參閱Windows 證據類型或Linux 證據類型。
   4. （可選）如果您希望在每個端點上執行操作之前進行審核和批准，請選擇「Require manual approval for actions」。
      選擇後，此操作需要在執行每個目標端點之前獲得手動批准。要批准或拒絕暫停中的操作，請前往操作的執行結果並選擇「Approve all pending」或「Reject all pending」。
   5. 點選Apply。
   當 Playbook 執行時，收集證據的動作會從 Workbench 洞察的影響範圍內的端點收集 forensic 證據。收集到的證據會自動上傳到 Forensics 應用程式。

   若要查看結果，請開啟 Playbook 的執行結果。整體狀態顯示為「成功」、「Partially approved」或「未成功」。選擇「查看詳細資訊」以查看每個端點的動作狀態，並選擇「View collection details in Forensics」以在 Forensics 應用程式中開啟收集的證據。

   每次 Playbook 執行會自動建立一個名為 Security Playbooks - execution-id 的 Forensics 工作區。對於由洞察觸發的執行，工作區描述中也會提及來源的 Workbench 洞察。
10. 如有需要，請配置Else-If Conditions或Else Actions。
    1. 點擊Condition節點下方的新增節點()，然後點擊Else-If Condition或Else Action。
    2. 透過遵循步驟6來配置條件節點，或透過遵循步驟7、步驟8或步驟9來配置動作節點。
    • 您可以新增的節點 () 取決於前面的節點。例如，「處理行動」 節點之後只能可能跟隨另一個 「處理行動」 節點；「條件」 節點之後可以跟隨 「處理行動」 節點，或附加 「Else-If Condition」 或 「Else Action」。
    • 當條件為假時，劇本會執行Else Action或檢查其Else-If Condition是否符合。如果Else-If Condition符合，劇本會繼續執行相應的Else Action。
    • 多個處理行動節點以串行模式配置時會依次執行。
11. 通過切換啟動控制來啟用劇本。
12. 點選儲存。
    劇本顯示在 安全劇本 應用程式的 Playbooks 標籤上。