SOAR-Webhook einrichten

Unterstützt in:

Webhooks sind eine einfache Lösung, um Benachrichtigungen aus Ihrer Organisation in die Google Security Operations SOAR-Plattform aufzunehmen.

Über Webhooks aufgenommene Benachrichtigungen enthalten auf der Plattform dieselben Informationen wie Benachrichtigungen, die über Connectors aufgenommen wurden.

Google empfiehlt, entweder einen Connector oder einen Webhook aus derselben Quelle zu verwenden, aber nicht beides, um doppelte Fälle zu vermeiden.

Webhooks eignen sich am besten für Szenarien, die eine einfache Zuordnungslogik erfordern, während Connectors besser für erweiterte und flexible Zuordnungen geeignet sind.

Webhook zum Aufnehmen von Benachrichtigungen einrichten

So richten Sie einen Webhook zum Aufnehmen von Benachrichtigungen ein:

  1. Rufen Sie SOAR-Einstellungen > Aufnahme > Webhooks auf.
  2. Klicken Sie auf „Hinzufügen“ Eingehenden Webhook hinzufügen.
  3. Geben Sie einen Namen für den neuen Webhook ein und wählen Sie eine Umgebung aus.
  4. Klicken Sie auf Speichern. Nach dem Speichern wird der neue Webhook auf der Hauptseite angezeigt.
  5. Kopieren Sie die Webhook-URL und notieren Sie sie für die spätere Verwendung. Sie müssen sie auf der Quellplattform als Webhook-Ziel eingeben.

Daten zuordnen

Nachdem Sie ein JSON-Beispiel hochgeladen haben, können Sie im Bereich Datenzuordnung Felder aus Ihrem Quell-JSON den entsprechenden Feldern in Google Security Operations SOAR zuordnen. Das System verarbeitet Ihr Roh-JSON und Sie verwenden die Benutzeroberfläche, um die Zuordnungen einzurichten.

  1. Klicken Sie im Bereich Datenzuordnung auf JSON-Beispiel hochladen. Geben Sie ein repräsentatives Beispiel für die JSON-Nutzlast an, die Ihr Webhook sendet.
  2. Ordnen Sie die Google Security Operations-Felder den entsprechenden Feldern in Ihrem JSON-Beispiel zu. Um beispielsweise das Pflichtfeld StartTime zuzuordnen, können Sie ein Zeitstempelfeld aus Ihrem JSON auswählen, z. B. Detections.Last.Update.
  3. Verwenden Sie den Ausdrucks-Generator, um die Daten zu verfeinern. Mit der Funktion Datumsformat können Sie beispielsweise Ihren Zeitstempel in das erforderliche Unix-Epochenzeit-Format in Millisekunden konvertieren. Weitere Informationen finden Sie unter Ausdrucks-Generator verwenden.
  4. Klicken Sie im Ausdrucks-Generator auf Ausführen , um die Zuordnung zu testen und das Ergebnis zu sehen. Ein grünes Häkchen bedeutet, dass die Zuordnung erfolgreich war.
  5. Die JSON-Nutzlast Ihres Webhooks muss die erforderlichen Felder für die Fallerstellung und die Aufnahme von Benachrichtigungen enthalten. Weitere Informationen finden Sie unter JSON-Schema für Webhooks.
  6. Nachdem Sie alle erforderlichen Felder zugeordnet haben, klicken Sie auf Speichern und aktivieren Sie dann den Webhook.

Zuordnungszielfelder

Wenn Sie Ihre JSON-Daten zuordnen, ordnen Sie sie standardisierten Feldern in Google Security Operations SOAR zu. Diese Felder sind in Kategorien unterteilt, damit Sie die eingehenden Daten normalisieren und strukturieren können. Die verfügbaren Felder auf der Benutzeroberfläche für die Datenzuordnung basieren auf der internen Systemontologie. Die Hauptkategorien sind:

  • Entitätsfelder:Verwenden Sie diese Felder für Datenpunkte, aus denen das System automatisch Entitäten wie IP-Adressen, Domainnamen, Dateihashes und Nutzernamen extrahieren und modellieren kann. Durch die Zuordnung zu diesen Feldern wird die Benachrichtigung angereichert und die Korrelation und Pivotierung verbessert.
  • Allgemeine Ereignisfelder:Verwenden Sie diese Felder für allgemeine Ereignismetadaten wie Zeitstempel (StartTime, EndTime), Ereignisbeschreibungen oder -nachrichten und andere allgemeine Ereignisattribute.
  • Technische Metadaten und Gerätemetadaten:Verwenden Sie diese Felder für technische Details zur Ereignisquelle, z. B. den Anbieter und das Produkt des meldenden Geräts (DeviceVendor, DeviceProduct), den Schweregrad des Ereignisses und andere ähnliche technische Attribute.

Sehen Sie sich die verfügbaren Felder im Tool für die Datenzuordnung auf der Benutzeroberfläche von Google Security Operations SOAR an, um das am besten geeignete Zielfeld für die einzelnen Daten in Ihrer JSON-Nutzlast zu finden.

JSON-Schema für Webhooks

Damit Ihre Benachrichtigungen von Google Security Operations SOAR richtig aufgenommen und verarbeitet werden, muss die JSON-Nutzlast Ihres Webhooks einer bestimmten Struktur folgen. In den folgenden Tabellen sind die wichtigsten Felder aufgeführt, die in der JSON-Nutzlast erwartet werden.

Hauptfelder für Fälle und Benachrichtigungen

Diese Felder stellen die Eigenschaften der obersten Ebene der erstellten Benachrichtigung oder des erstellten Falls dar.

Feld Typ Empfohlenes Format Erforderlich Beschreibung Beispiel
TicketId String UUID Ja
  • Eine interne global eindeutige Kennung (GUID) für einen Fall auf der SOAR-Plattform.
  • Die Anforderung für die Eindeutigkeit von TicketId ist bedingt und hängt von DisplayId ab:
    • Wenn eine eindeutige DisplayId angegeben wird, muss die TicketId nicht eindeutig sein.
    • Wenn DisplayId nicht angegeben wird, muss die TicketId eindeutig sein.
  • Die TicketId hat oft denselben Wert wie die DisplayId.
 "f7167971-f641-432f-a06f-ebca3caaa9dd"
SourceSystemName String Text Ja Der Name des externen Systems (z. B. SIEM oder ein EDR-System), das die ursprünglichen Benachrichtigungen an SOAR gesendet hat. "Splunk"
Name String Text Ja Der Titel oder Name des Falls, der oft aus dem Quellbenachrichtigungstyp oder der Zusammenfassung stammt. "Suspicious Login Attempt"
DeviceVendor String Text Ja Der Anbieter des Geräts oder Produkts, das die Benachrichtigung generiert hat. Dies kann auch aus den Ereignisdaten zugeordnet werden. "Palo Alto Networks"
RuleGenerator String Text Ja Der Name der Regel im Quellsystem (z. B. eine SIEM-Korrelationsregel), die die Benachrichtigung generiert hat. "Brute Force Attempt Detected"
StartTime String oder Ganzzahl Epochenzeit in Millisekunden (UTC) oder ISO 8601-String (z. B. „2026-04-09T14:30:00Z“) Ja Die Startzeit des frühesten Ereignisses im Fall. Wenn Sie eine Ganzzahl angeben, muss sie in Unix-Epochenzeit in Millisekunden angegeben werden. 1670000000000 oder "2026-04-09T14:30:00Z"
Environment String Text Nein Der Name der SOAR-Umgebung, zu der diese Benachrichtigung gehört. Dies muss mit einer Umgebung übereinstimmen, die in Ihren SOAR-Einstellungen definiert ist. "Default Environment"
Description String Text Nein Eine kurze Beschreibung des Falls oder der Benachrichtigung. "Failed login followed by success from new IP"
DisplayId String UUID oder String Nein
  • Eine Kennung, die zu Anzeigezwecken auf der SOAR-Benutzeroberfläche verwendet wird.
  • Dieses Feld ist der Primärschlüssel, den das System verwendet, um doppelte Benachrichtigungen zu erkennen.
  • Eine Benachrichtigung wird als Duplikat abgelehnt, wenn die DisplayId nicht eindeutig ist. Diese Eindeutigkeitsprüfung für DisplayId hat Vorrang vor TicketId.
  • Die DisplayId hat oft denselben Wert wie die TicketId.
 "f7167971-f641-432f-a06f-ebca3caaa9dd"
Reason String Text Nein Der Grund, warum die Benachrichtigung erstellt oder ausgelöst wurde. "Unusual file access patterns detected."
DeviceProduct String Text Nein Der Produktname des Anbieters, der die Benachrichtigung generiert hat. Dies kann auch aus den Ereignisdaten zugeordnet werden. "Cortex XDR"
EndTime String oder Ganzzahl Epochenzeit in Millisekunden (UTC) oder ISO 8601-String (z. B. „2026-04-09T14:30:00Z“) Nein Die Endzeit des letzten Ereignisses im Fall. Wenn Sie eine Ganzzahl angeben, muss sie in Unix-Epochenzeit in Millisekunden angegeben werden. 1670000060000 oder "2026-04-09T14:31:00Z"
Priority Ganzzahl 0–100 Nein Die Prioritätsstufe des Falls. Wenn nicht angegeben, wird standardmäßig 40 verwendet. (0–19: informativ, 20–39: niedrig, 40–59: mittel, 60–79: hoch, 80–100: kritisch) 80
EventsList Array Array von JSON-Objekten Nein Ein Array mit einem oder mehreren Rohereignisobjekten, wie sie von der Quelle empfangen wurden. Weitere Informationen finden Sie unter Rohereignisdaten senden. [ { ... }, { ... } ]
EventProduct String Text Nein Produkt, das die Ereignisse erstellt hat. "Cortex XDR"
EventName String Text Nein Der Titel oder Name des Ereignisses, der oft aus dem Quellbenachrichtigungstyp oder der Zusammenfassung stammt. "Suspicious Login Attempt"

Rohereignisdaten senden – das EventsList-Array

Sie sollten die JSON-Rohdaten, die die Ereignisse darstellen, so senden, wie sie aus dem Quellsystem stammen, und zwar im EventsList-Array. Dieses Objekt ist ein Element im EventsList-Array. Anschließend ordnen Sie Felder wie source_ip und timestamp über die Benutzeroberfläche für die Datenzuordnung zu.

Beispiel für ein Ereignisobjekt im EventsList-Array

{
  "event_id": "9a8b7c-1234-5678",
  "timestamp": "2026-07-01T07:29:50Z",
  "signature": "UserLoginFailed",
  "severity": "Medium",
  "user_name": "administrator",
  "source_ip": "192.168.1.50",
  "destination_ip": "10.0.0.10",
  "domain": "CORP",
  "status": "Failure",
  "Reason": "Wrong Password",
  "EventProduct": "Acme Firewall",
  "EventName": "Failed Login Attempt"
}

Wichtige Überlegungen und Best Practices

  • Zeitstempel:Verwenden Sie für alle StartTime- und EndTime-Felder auf der obersten Ebene die Unix-Epochenzeit in Millisekunden (als Ganzzahl). Geben Sie in den Ereignisdaten Zeitstempel so an, wie sie aus der Quelle stammen. Sie konvertieren sie auf der Benutzeroberfläche für die Datenzuordnung.
  • Pflichtfelder:Achten Sie darauf, dass alle Felder, die in der Spalte „Erforderlich“ mit „Ja“ gekennzeichnet sind, in Ihrer JSON-Nutzlast vorhanden sind.
  • EventsList-Array:Dieses Array ist entscheidend. Auch wenn die Benachrichtigung ein einzelnes Ereignis darstellt, muss sie im EventsList-Array enthalten sein.
  • Benutzeroberfläche für die Datenzuordnung:Verwenden Sie das Tool für die Datenzuordnung auf der Benutzeroberfläche Webhook-Konfiguration , um Felder aus Ihrem Roh-JSON den entsprechenden Google Security Operations SOAR-Feldern zuzuordnen.
  • Eindeutigkeit:DisplayId muss für jede neue Benachrichtigung eindeutig sein, um die Deduplizierung zu vermeiden. TicketId muss eindeutig sein, wenn DisplayId nicht angegeben wird.
  • Tests:Verwenden Sie auf der Seite Webhook-Konfiguration in SOAR die Tabs JSON-Beispiel hochladen und Tests , um die Struktur und die Zuordnungen Ihrer Nutzlast zu validieren.

Webhook testen

Auf dem Tab Tests können Sie die End-to-End-Funktionalität des Webhooks testen und detaillierte Fehlerbeschreibungen ansehen.

  1. Kopieren Sie auf dem Tab Tests die Webhook-URL.
  2. Laden Sie eine JSON-Datei mit den relevanten Daten hoch.
  3. Klicken Sie auf Ausführen. Die Ergebnisse werden zusammen mit der Ausgabe angezeigt.

CrowdStrike-Plattform konfigurieren

In diesem Anwendungsfall werden die Schritte in CrowdStrike beschrieben, die erforderlich sind, damit der Webhook Benachrichtigungen in die Google SecOps-Plattform aufnehmen kann.

  1. Rufen Sie im CrowdStrike Falcon-Dashboard den Falcon Store auf und installieren Sie das Webhooks-Add-on.
  2. Konfigurieren Sie den Webhook mit dem Namen und der Webhook-URL, die Sie von der Google SecOps-Plattform kopiert haben, und klicken Sie dann auf Speichern.
  3. Rufen Sie den Bereich Workflows auf.
  4. Klicken Sie auf Workflow erstellen.
  5. Wählen Sie einen Trigger aus, z. B. Neue Erkennung, und klicken Sie auf Weiter.
  6. Wählen Sie Aktion hinzufügen aus.
  7. Wählen Sie im Bereich Aktion anpassen im Menü Aktionstyp die Option Benachrichtigungen und im Menü Aktion die Option Webhook aufrufen aus.
  8. Wählen Sie den Namen aus, den Sie im ersten Schritt hinzugefügt haben, und alle erforderlichen Felder aus und klicken Sie dann auf Fertigstellen.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten