SOAR Webhook を設定する

以下でサポートされています。

Google SecOps SOAR

Webhook は、組織からのアラートを Google Security Operations SOAR プラットフォームに取り込むための軽量ソリューションです。

Webhook で取り込まれたアラートは、コネクタを使用して取り込まれたアラートと同じ情報でプラットフォームに表示されます。

重複するケースを作成しないように、同じソースのコネクタまたは Webhook のいずれかを使用することをおすすめします。両方は使用しないでください。

Webhook は基本的なマッピング ロジックが必要なシナリオに最適ですが、コネクタは高度で柔軟なマッピングに適しています。

アラートを取り込むように Webhook を設定する

次のユースケースでは、アラートを取り込むプラットフォームとして CrowdStrike を使用することに焦点を当てています。

アラートを取り込むように Webhook を設定する手順は次のとおりです。

1. [SOAR 設定]> [取り込み]> [Webhook] に移動します。
2. [ add 受信 Webhook を追加] をクリックします。
3. 新しい Webhook の名前を入力し、環境を選択します。
4. [保存] をクリックします。
この例では、CrowdStrike を使用します。
保存すると、メインページに表示されます。

5. Webhook URL をコピーして、後で使用できるようにメモしておきます。CrowdStrike プラットフォームに Webhook の宛先として 入力する必要があります。
   
注: Webhook URL は保存後に表示されます。この URL は、ページを離れると表示されなくなるため、すぐにコピーしてください。この URL は、CrowdStrike プラットフォームで Webhook の宛先を構成するために必要です。URL をコピーせずに保存した場合は、[ cached ] [新しい URL を生成] をクリックして新しい URL を作成できます。

データをマッピングする

1. [**データ マッピング**] セクションで、[**JSON サンプルをアップロード**] をクリックします（CrowdStrike から取得したサンプルを使用します）。
2. Google Security Operations のフィールドを、 CrowdStrike JSON フィールドの対応するフィールドにマッピングします。たとえば、必須の Google SecOps アラート フィールド StartTime を選択し、CrowdStrike フィールド Detections.Last.Update を選択します。これは 式ビルダーに表示されます。詳細については、 式ビルダーを使用するをご覧ください。
   関数（右側）を追加して、このフィールドをさらに絞り込みます（例: 日付形式 ）。
3. Detections.Last.Format が表示されたら、 [**実行**] をクリックして結果を確認します。
   [開始] に緑色のチェックマークが表示され、フィールドがマッピングされていることを示します。
4. 必要なフィールドをすべてマッピングしたら、[保存] をクリックして Webhook を有効にします。

イベント タイムスタンプの表示に関する注意: Webhook を使用してイベントデータを取り込む場合、アラートの詳細リスト内のタイムスタンプ フィールドの表示は異なる場合があります。プラットフォームは、値がエポック ミリ秒で提供されていることを前提として、時間に関連するフィールドの書式設定を試みます。

タイムスタンプ フィールド（名前が「time」を含むもの（@timestamp など））がエポック ミリ秒以外の形式（MM/DD/YYYY HH:MM:SS や YYYY-MM-DDTHH:MM:SSz など）で送信されると、リストビューに時間が正しく表示されないことがあります。これは、システムがエポックからのミリ秒として解釈しようとするためです。

イベントリストでタイムスタンプ フィールドをダブルクリックすると、Webhook で送信された元の未加工の値を確認できます。

プラットフォーム全体で表示結果を最も一貫させるには、可能な限りエポック ミリ秒で時間値を送信するようにソースシステムを構成することをおすすめします。

Webhook をテストする

[テスト] 領域では、Webhook の エンドツーエンド機能をテストし、エラーの詳細な説明を確認できます。

1. [テスト] タブで、 Webhook URL をコピーします。
2. 関連データを含む JSON ファイルをアップロードします。
3. [実行] をクリックします。結果が出力とともに表示されます。

ユースケース: CrowdStrike プラットフォームを構成する

このユースケースでは、Webhook が Google SecOps プラットフォームへのアラートの取り込みを開始するための CrowdStrike の手順について説明します。

1. CrowdStrike Falcon ダッシュボードで、Falcon ストアに移動して Webhook アドオンをインストールします。
2. Google SecOps プラットフォームからコピーした名前と Webhook URL を使用して Webhook を構成し、[保存] をクリックします。
   
3. [ワークフロー] セクションに移動します。
4. [ワークフローを作成] をクリックします。
5. [新しい検出] などのトリガーを選択し、[次へ] をクリックします。
6. [操作を追加] を選択します。
7. [操作をカスタマイズ] セクションで、[通知] から [操作タイプ] メニューを選択し、[Webhook を呼び出す] から [操作] メニューを選択します。
8. 最初のステップで追加した名前と必要なすべてのフィールドを選択し、[完了] をクリックします。

さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。