# Fiche connecteur Elastic Security
Catalogue Pipedream : connexion du compte et droits nécessaires. Les actions réellement utilisables sont vérifiées dans Bruno lors de la connexion. Les déclencheurs sont documentés à titre de référence et ne sont pas activés automatiquement dans Bruno.
Les noms et données des exemples sont fictifs ; toute exécution reste soumise aux droits et aux validations du connecteur.

## Elastic Security
URL : https://get-bruno.com/features/connectors/elastic-security
Référence texte : https://get-bruno.com/features/connectors/elastic-security/reference.txt
Origine : Catalogue Pipedream
Statut : Catalogue Pipedream — connexion à vérifier
Catégories : Sécurité
Description : Elastic Security sert à centraliser la détection, l'investigation et la réponse face aux menaces. Ce service couvre les cas, les règles de détection, les alertes et certaines opérations de triage.
Authentification : API key
Présentation : Elastic Security sert à centraliser la détection, l'investigation et la réponse face aux menaces. Ce service couvre les cas, les règles de détection, les alertes et certaines opérations de triage.
Usage : Ouvrir un cas d'incident à partir d'une alerte
Exemple de demande : Je veux ouvrir un cas Elastic Security nommé « Intrusion périmètre sud » avec une description courte, une sévérité élevée et le tag « incident-response ».
Résultat attendu : Un cas est créé avec son titre, sa description, sa sévérité et ses tags, ou le cas existant est mis à jour si un identifiant de cas est fourni.
À préciser : Un titre de cas ; Une description de l'incident ; La sévérité souhaitée ; Les tags à appliquer
Nature : Exemple sous réserve de connexion et de droits
Sources de l’exemple : https://pipedream.com/apps/elastic-security/actions/create-or-update-case ; https://pipedream.com/apps/elastic-security/actions/find-cases ; https://pipedream.com/apps/elastic-security/actions/list-tags
Usage : Ajouter une note d'enquête à un cas existant
Exemple de demande : Je veux ajouter au cas « a1c1... » la note « Les logs badge confirment l'accès non autorisé à 02 h 14 ».
Résultat attendu : Un commentaire est ajouté au cas ciblé sans modifier son statut ni ses champs principaux.
À préciser : L'identifiant du cas ; Le texte du commentaire
Nature : Exemple sous réserve de connexion et de droits
Sources de l’exemple : https://pipedream.com/apps/elastic-security/actions/add-case-comment ; https://pipedream.com/apps/elastic-security/actions/find-cases
Usage : Chercher une règle de détection à corriger puis la relancer
Exemple de demande : Je veux retrouver la règle « Suspicious PowerShell », vérifier sa définition, puis la relancer sur la dernière heure pour tester son comportement.
Résultat attendu : La règle trouvée est restituée, puis elle peut être exécutée manuellement sur une plage de temps si son identifiant est valide et si elle est activée.
À préciser : Le nom ou l'identifiant de la règle ; La plage temporelle si elle doit être précisée ; Le motif de contrôle de la règle
Nature : Exemple sous réserve de connexion et de droits
Sources de l’exemple : https://pipedream.com/apps/elastic-security/actions/find-detection-rules ; https://pipedream.com/apps/elastic-security/actions/run-detection-rule
Limites propres au service : Aucune action déclarée pour les objets en dehors des cas, règles, tags et alertes listés ici. La recherche de personnes assignables ne couvre que les utilisateurs ayant déjà signalé au moins un cas. La recherche et la mise a jour des alertes passent par des identifiants d'alerte valides trouvés au préalable. La suppression d'un cas ou d'une règle est définitive.
Vocabulaire français : Ajouter un commentaire de cas — Ajoute un commentaire à un cas Elastic Security sans changer son statut ni ses champs principaux. (https://pipedream.com/apps/elastic-security/actions/add-case-comment)
Vocabulaire français : Créer ou mettre à jour un cas — Crée un cas ou modifie un cas existant sur la base de son identifiant. (https://pipedream.com/apps/elastic-security/actions/create-or-update-case)
Vocabulaire français : Créer ou mettre à jour une règle de détection — Crée une règle de détection ou remplace sa définition lorsqu'un identifiant est fourni. (https://pipedream.com/apps/elastic-security/actions/create-or-update-detection-rule)
Vocabulaire français : Supprimer un enregistrement — Supprime définitivement un cas ou une règle de détection à partir de son identifiant. (https://pipedream.com/apps/elastic-security/actions/delete-record)
Vocabulaire français : Trouver des utilisateurs assignables — Liste les utilisateurs ayant déjà signalé des cas afin d'obtenir une valeur valide pour l'assignation. (https://pipedream.com/apps/elastic-security/actions/find-assignable-users)
Vocabulaire français : Rechercher des cas — Recherche des cas ou récupère le détail complet d'un cas à partir de son identifiant. (https://pipedream.com/apps/elastic-security/actions/find-cases)
Vocabulaire français : Rechercher des règles de détection — Recherche des règles de détection ou récupère le détail complet d'une règle à partir de son identifiant. (https://pipedream.com/apps/elastic-security/actions/find-detection-rules)
Vocabulaire français : Lister les tags — Liste les tags déjà utilisés pour les cas ou les règles afin de réutiliser un tag existant. (https://pipedream.com/apps/elastic-security/actions/list-tags)
Vocabulaire français : Exécuter une règle de détection — Lance manuellement une ou plusieurs règles sur une plage temporelle donnée. (https://pipedream.com/apps/elastic-security/actions/run-detection-rule)
Vocabulaire français : Rechercher des alertes — Recherche des alertes de détection avec une requête Elasticsearch et renvoie les identifiants utiles au triage. (https://pipedream.com/apps/elastic-security/actions/search-alerts)
Vocabulaire français : Mettre à jour le statut d'une alerte — Change le statut de traitement d'une ou plusieurs alertes à partir de leurs identifiants. (https://pipedream.com/apps/elastic-security/actions/update-alert-status)
- action : Add Case Comment — Add a user comment to an Elastic Security case via POST /api/cases/{caseId}/comments. Use this to log investigation notes or updates on a case without changing its status or fields — use Create or Update Case for that. Run Find Cases first to obtain a valid case ID. Example: calling with caseId: "a1c1..." and comment: "Confirmed unauthorized access via badge logs." returns the updated case object with totalComment incremented and the new comment in comments . See the documentation (https://pipedream.com/apps/elastic-security/actions/add-case-comment)
- action : Create or Update Case — Create a new Elastic Security case, or update an existing one when caseId is provided, via POST /api/cases or PATCH /api/cases. Use this to open a new case, or to edit a case's title, description, severity, tags, category, assignees, or status. When caseId is provided, the tool fetches the case's current version internally before updating — never guess or supply a version yourself. Run Find Cases first to obtain a caseId for updates. Use Add Case Comment to attach comments instead of this tool. title and description are required when creating (no caseId ). Example: calling with title: "Perimeter Breach" , description: "..." , severity: "high" returns { id: "a1c1...", title: "Perimeter Breach", status: "open", version: "Wzc1LDFd", ... } ; calling again with that caseId and status: "closed" returns the same case updated. See the create documentation and the update documentation (https://pipedream.com/apps/elastic-security/actions/create-or-update-case)
- action : Create or Update Detection Rule — Create a new Elastic Security detection rule via POST /api/detection_engine/rules, or full-replace update an existing one when id is provided, via PUT /api/detection_engine/rules. On update, the tool first fetches the rule's current definition and merges your supplied fields into it, so you only need to pass the fields you want to change — Kibana's underlying PUT still requires the full definition, but this tool handles that for you. Run Find Detection Rules first to obtain the id for updates (it also accepts ruleId if that's all you have). name , description , riskScore , severity , and type are required when creating (no id ); optionally set ruleId on create to assign a custom rule_id instead of letting Kibana generate one. For type: threshold rules, set threshold . For type: threat_match rules, set threatIndex and threatMapping . Use additionalFields as an escape hatch for any other type-specific fields (e.g. anomaly_threshold for machine_learning rules). Example: calling with name: "Suspicious PowerShell" , description: "..." , riskScore: 60 , severity: "high" , type: "query" , query: "process.name: powershell.exe" returns { id: "7ac3...", rule_id: "f3bb...", name: "Suspicious PowerShell", enabled: true, ... } ; calling again with that id and riskScore: 80 returns the same rule with only the risk score changed. See the create documentation and the update documentation (https://pipedream.com/apps/elastic-security/actions/create-or-update-detection-rule)
- action : Delete Record — Permanently delete an Elastic Security case or detection rule by ID. Cases are deleted via DELETE /api/cases; detection rules via DELETE /api/detection_engine/rules. Run Find Cases or Find Detection Rules first to obtain a valid ID for the object you want to delete. Example: calling with objectType: "case" and recordId: "a1c1..." returns { success: true, objectType: "case", recordId: "a1c1..." } . This is destructive and cannot be undone. See the delete case documentation and the delete rule documentation (https://pipedream.com/apps/elastic-security/actions/delete-record)
- action : Find Assignable Users — List users who have created or reported Elastic Security cases, via GET /api/cases/reporters, to discover valid profile_uid values for the assignees parameter on Create or Update Case . Kibana has no public endpoint for listing every org user or for listing who is eligible for assignment — this endpoint only covers people who have reported at least one case, which is a subset of valid assignees, not the full set. If the person you need doesn't appear here (e.g. they've never reported a case), ask the user for their profile_uid directly instead of guessing. Example: calling with no parameters returns [{ username: "jsmith", full_name: "Jane Smith", email: "jane@example.com", profile_uid: "u_abc123_cloud" }] ; pass that profile_uid as an entry in Create or Update Case 's assignees array. See the documentation (https://pipedream.com/apps/elastic-security/actions/find-assignable-users)
- action : Find Cases — Find and list Elastic Security cases via GET /api/cases/_find, or fetch a single case directly via GET /api/cases/{caseId} when caseId is provided. Use this to search/browse cases, or to look up one case's full details (including its version token) once you have an ID. Run this first to obtain a caseId before using Create or Update Case , Add Case Comment , or Delete Record . Example: calling with search: "perimeter breach" and status: "open" returns { total: 1, cases: [{ id: "a1c1...", title: "Isla Nublar Perimeter Breach", severity: "high", status: "open", ... }] } ; use fields to shrink each case down to just the fields you need. See the documentation (https://pipedream.com/apps/elastic-security/actions/find-cases)
- action : Find Detection Rules — Find and list Elastic Security detection rules via GET /api/detection_engine/rules/_find, or fetch a single rule directly via GET /api/detection_engine/rules when id or ruleId is provided. Use this to search/browse rules, or to look up one rule's full definition once you have an ID. Run this first to obtain an id / ruleId before using Create or Update Detection Rule , Run Detection Rule , or Delete Record . Example: calling with filter: 'alert.attributes.enabled: true' returns { total: 3, data: [{ id: "7ac3...", name: "InGen Perimeter Query Rule", type: "query", enabled: true, ... }] } ; use fields to shrink each rule down to just the fields you need — rule objects carry many advanced fields ( exceptions_list , related_integrations , threat , etc.) that are rarely relevant. See the documentation (https://pipedream.com/apps/elastic-security/actions/find-detection-rules)
- action : List Tags — List all unique tags currently in use across Elastic Security cases via GET /api/cases/tags, or detection rules via GET /api/detection_engine/tags. Use this before tagging a case or rule so you reuse an existing tag instead of creating a near-duplicate (e.g. incident-response vs. incident_response ). Cross-referenced by the tags parameter on Create or Update Case , Create or Update Detection Rule , and Find Cases . Example: calling with objectType: "case" returns ["council-jurassic-eval", "ransomware", "insider-threat"] . See the case tags documentation and the rule tags documentation (https://pipedream.com/apps/elastic-security/actions/list-tags)
- action : Run Detection Rule — Manually run one or more Elastic Security detection rules over a time range via POST /api/detection_engine/rules/_bulk_action (bulk action run ). Use this to test a rule immediately instead of waiting for its next scheduled interval, or to backfill detections over a past window. Provide the rule ids to execute. Run Find Detection Rules first to obtain valid ids. Defaults to roughly the last hour if not specified: endDate defaults to one minute ago (a small buffer so clock skew/latency can't push it into the future, which Kibana rejects), and startDate defaults to one hour before that. Note: Kibana rejects manual runs against disabled rules — the rule must have enabled: true (see Create or Update Detection Rule ). Example: calling with ids: ["7ac3..."] and no dates returns { attributes: { results: { created: [{ id: "7ac3...", name: "..." }] }, summary: { succeeded: 1, failed: 0 } } } . See the documentation (https://pipedream.com/apps/elastic-security/actions/run-detection-rule)
- action : Search Alerts — Search Elastic Security detection alerts (signals) via POST /api/detection_engine/signals/search using raw Elasticsearch Query DSL. Use this to find alert IDs before running Update Alert Status , or to investigate alert volume/details for a case. Returns the raw Elasticsearch search response with a hits.hits array; each hit's _id is the signal ID and _source holds the alert's full ECS document. Example: calling with query: {"bool":{"filter":[{"term":{"kibana.alert.workflow_status":"open"}}]}} and size: 5 returns { hits: { total: { value: 12 }, hits: [{ _id: "abc123", _source: { "@timestamp": "...", "kibana.alert.workflow_status": "open", "host.name": "..." } }, ...] } } . Omit query to match all alerts. _source always holds the full ECS document; use fields to additionally get a compact, array-valued view of just the fields you need (under each hit's fields key) without parsing the full document yourself. See the documentation (https://pipedream.com/apps/elastic-security/actions/search-alerts)
- action : Update Alert Status — Set the workflow status of one or more Elastic Security alerts (signals) by ID via POST /api/detection_engine/signals/status. Run Search Alerts first to obtain signal IDs. Example: calling with alertStatus: "closed" , signalIds: ["abc123"] , reason: "false_positive" returns { updated: 1, version_conflicts: 0 } . See the documentation (https://pipedream.com/apps/elastic-security/actions/update-alert-status)