Steg 2: Anslut flödet för skapande av TheHive-ärenden

Konfigurera noderna som skapar och promoverar alertar till TheHive-ärenden, och hämta sedan ärendet för analys.

1. Öppna Create Hive Alert och ställ in Tags på Email, Type på Email och Source på Outlook.
2. Ställ in Title på {{$node["Inbound Mail Fetch"].binary.attachment_0.fileName}}, Source Ref på {{$node["Inbound Mail Fetch"].json["messageId"]}} och Description på {{$node["Inbound Mail Fetch"].binary.attachment_0.fileName}}.
3. I Create Hive Alert, mappa Artifact Values med Data Type file och Binary Property attachment_0.
4. Öppna Promote to Case och ställ in ID på {{$node["Create Hive Alert"].json["_id"]}} med Operation promote.
5. Öppna Retrieve Case och ställ in Resource på case, Operation på get och ID på {{$node["Promote to Case"].json["_id"]}}.
6. Autentiseringsuppgifter krävs: Anslut era theHiveApi-autentiseringsuppgifter till alla TheHive-noder (11 noder för skapande av ärende, observables och körning av analyzer).

Steg 3: Sätt upp analys och IOC-detektering

Analysera e-postbilagan, hämta Cortex-rapporten och kontrollera efter IOCs innan ni förgrenar flödet.

1. Öppna Delay Window och ställ in Unit på seconds och Amount på 5 för att ge TheHive-ärendedata tid att propagera.
2. Öppna List Observables och ställ in Case ID på {{$node["Retrieve Case"].json["_id"]}}, med Resource observable och Return All aktiverat.
3. Öppna Run File Analyzer och ställ in ID på {{$node["List Observables"].json["_id"]}}, Data Type på file, och använd analyzern 24a64a086a410e1c7d7ace74003c4480::CORTEX.
4. Öppna Fetch Cortex Report och ställ in Job ID på {{$node["Run File Analyzer"].json["cortexJobId"]}}, med Resource job och Operation report.
5. Öppna IOC Presence Check och verifiera att de tre talvillkoren använder uttrycken {{$node["Fetch Cortex Report"].json["report"]["full"]["iocs"]["domain"].length}}, {{$node["Fetch Cortex Report"].json["report"]["full"]["iocs"]["email"].length}} och {{$node["Fetch Cortex Report"].json["report"]["full"]["iocs"]["ip"].length}} med Combine Operation satt till any.
6. Autentiseringsuppgifter krävs: Anslut era cortexApi-autentiseringsuppgifter i Fetch Cortex Report.

Steg 4: Konfigurera skapande av IOC och hot-skanningar

Skapa observables för upptäckta IOCs och kör ytterligare analyzer-skanningar parallellt.

1. Konfigurera Add Domain IOC med Data satt till {{$node["Fetch Cortex Report"].json["report"]["full"]["iocs"]["domain"]}}, Case ID till {{$node["Retrieve Case"].json["_id"]}}, Status till Ok, Message till {{$node["Fetch Cortex Report"].json["analyzerName"]}} och Data Type till domain.
2. Konfigurera Add Email IOC med Data satt till {{$node["Fetch Cortex Report"].json["report"]["full"]["iocs"]["email"]}}, Case ID till {{$node["Retrieve Case"].json["_id"]}}, Status till Ok, Message till {{$node["Fetch Cortex Report"].json["analyzerName"]}} och Data Type till mail.
3. Konfigurera Add IP IOC med Data satt till {{$node["Fetch Cortex Report"].json["report"]["full"]["iocs"]["ip"]}}, Case ID till {{$node["Retrieve Case"].json["_id"]}}, Status till Ok, Message till {{$node["Fetch Cortex Report"].json["analyzerName"]}} och Data Type till ip.
4. IOC Presence Check skickar utdata till både Add Domain IOC och Add Email IOC och Add IP IOC parallellt.
5. Konfigurera Domain Threat Scan för att köra analyzern b084bf78d1aea92966b6ef6a4f6193a5::CORTEX med ID satt till {{$node["Add Domain IOC"].json["id"]}} och Data Type domain.
6. Konfigurera Check Email Reputation för att köra analyzern 9902b4e5c58015184b177de13f2151c7::CORTEX med ID satt till {{$node["Add Email IOC"].json["id"]}} och Data Type mail.
7. Konfigurera IP Threat Scan för att köra analyzern b084bf78d1aea92966b6ef6a4f6193a5::CORTEX med ID satt till {{$node["Add IP IOC"].json["id"]}} och Data Type ip.

Steg 5: Testa och aktivera ert arbetsflöde

Kör ett manuellt test för att validera analysen end-to-end och aktivera sedan arbetsflödet för användning i produktion.

1. Klicka på Execute Workflow och skicka ett testmejl med en bilaga till den övervakade inkorgen.
2. Verifiera att Create Hive Alert skapar en alert med titel {{$node["Inbound Mail Fetch"].binary.attachment_0.fileName}} och att Promote to Case returnerar ett ärende-id.
3. Bekräfta att Run File Analyzer returnerar ett cortexJobId och att Fetch Cortex Report innehåller IOC-data i report.full.iocs.
4. Kontrollera att IOC-noderna skapar observables och att varje analyzer-nod (Domain Threat Scan, Check Email Reputation, IP Threat Scan) körs utan fel.
5. Växla arbetsflödet till Active för att aktivera kontinuerlig övervakning.