Splunk SOAR での新しいロールの作成は、特別なラベルへのアクセスなど、特定のアクセス権を持つ一連のユーザーを定義するために行われることがよくあります。SOAR のラベルを使用して、データを分類し、アクセスを制御できます。特定のラベルへのアクセス権を持つロールを割り当てることで、管理者は、特定のユーザー グループのみがそのラベルでタグ付けされたコンテナ、イベント、またはアーティファクトを表示または操作できるようにすることで、機密データや操作の制御を維持できます。

DECIDED プロセスは、プレイブックとアクションの実行を処理する SOAR 自動化エンジンのコア コンポーネントです。DECIDED プロセスは、オートメーション サービスを再起動することで再起動できます。これは、サービス ファントム再起動コマンド 2 を使用してコマンド ラインから実行できます。自動化サービスを再起動すると、Playbook デーモンも再起動されます。これは、Playbook のロードとアンロードを処理する SOAR 自動化エンジンのもう 1 つのコア コンポーネントです3。したがって、DECIDED プロセスと Playbook デーモンの両方を再起動するため、オプション D が正解です。Playbook デーモンを再起動するだけでは DECIDED プロセスは再起動されないため、オプション A は不正解です。オプション B は不正解です。システムの状態ページには、DECIDED プロセスまたは自動化サービスを再起動するオプションが提供されていません。オプション C は不正解です。「管理 > サーバー設定」ページには、DECIDED プロセスまたは自動化サービスを再起動するオプションが提供されていません。
Splunk SOAR では、プレイブックの実行を担当する DECIDED プロセスを再起動する必要がある場合、通常は自動化 (またはファントム) サービスを再起動することで実行できます。このサービスは、プレイブックの実行を含む自動化プロセスを管理します。再起動すると DECIDED プロセスがリセットされ、Playbook の実行やプロセスのハングに関連する問題が解決されます。

説明
カスタマイズされたワークブックを使用する主な目的は、イベント分析およびケース操作中にユーザーのアクティビティと調整をガイドすることです。ワークブックをカスタマイズして、さまざまなフェーズ、タスク、ユーザーへの指示を含めることができます。他のオプションは、カスタマイズされたワークブックを使用する有効な目的ではありません。詳細については、「ワークブック」を参照してください。

決定ブロックは、プレイブックで 1 つ (または 0 つ) の可能なパスを選択する場合に最も役立ちます。意思決定ブロックを使用すると、ユーザーはアクションの結果、アーティファクト、またはカスタム式に基づいて 1 つ以上の条件を定義し、条件が満たされた場合に対応するパスを実行できます。どの条件も満たされない場合、プレイブックの実行は終了します。デシジョン ブロックは、異なるデータの並列処理、複雑な複数値の結果やアーティファクトの評価、または Playbook 内の 1 つ以上のパスの下流データの変更には使用されません。Splunk Phantom プレイブック内の決定ブロックは、特定の基準に基づいて実行フローを制御するために使用されます。
これらは、指定された条件の評価に基づいて、プレイブックがたどるパスを 1 つ選択する必要がある場合、または選択しない可能性がある場合に最も役立ちます。これは、プログラミングにおける if-else または switch-case ロジックに似ており、満たされた条件に応じて、以降のアクションのために特定のパスが選択されます。意思決定ブロックはデータを評価し、それに応じてプレイブックをさまざまなパスに誘導し、動的で応答性の高い自動化ワークフローを作成するための基本的なコンポーネントとします。