Was macht security-case-management?
Erstellen, durchsuchen, aktualisieren und verwalten Sie SOC-Fälle über die Kibana Cases API. Verwenden Sie dies, wenn Sie Vorfälle verfolgen, Alarme mit Fällen verknüpfen, Untersuchungsnotizen hinzufügen oder die Ergebnisse der Triage verwalten.
Nutzung
Stellen Sie sicher, dass die folgenden Umgebungsvariablen gesetzt sind:
KIBANA_URL– die Basis-URL Ihrer Kibana-Instanz (z.B.https://your-elastic-cloud-instance.kb.us-east-1.aws.cloud.es.io)API_KEY– ein gültiger API-Schlüssel zur Authentifizierung
Beispiel: Fall erstellen
import requests
import os
kibana_url = os.environ["KIBANA_URL"]
api_key = os.environ["API_KEY"]
headers = {
"Authorization": f"ApiKey {api_key}",
"kbn-xsrf": "true",
"Content-Type": "application/json"
}
case_data = {
"title": "Verdächtige Anmeldung erkannt",
"description": "Mehrere fehlgeschlagene Anmeldeversuche von einer unbekannten IP.",
"severity": "high",
"category": "authentication",
"owner": "security-solution",
"tags": ["phishing", "untersuchung"]
}
response = requests.post(
f"{kibana_url}/api/cases",
headers=headers,
json=case_data
)
API-Endpunkte
| Aktion | Endpunkt | HTTP-Methode |
|---|---|---|
| Fall erstellen | /api/cases | POST |
| Fall aktualisieren | /api/cases/{case_id} | PATCH |
| Fall abrufen | /api/cases/{case_id} | GET |
| Alle Fälle abrufen | /api/cases/_find | GET |
| Fall löschen | /api/cases/{case_id} | DELETE |
Konfiguration
Der Skill unterstützt Optionen wie das Festlegen des Besitzers (z.B. security-solution, observability), das Hinzufügen benutzerdefinierter Felder und das Anhängen von Kommentaren oder Alarmen an Fälle.
Weitere Details finden Sie in der offiziellen Kibana Cases API Dokumentation.