Menyiapkan webhook SOAR

Didukung di:

Google secops SOAR

Webhook adalah solusi ringan untuk memasukkan pemberitahuan dari organisasi Anda ke platform Google Security Operations SOAR.

Pemberitahuan yang dimasukkan melalui webhook akan muncul di platform dengan informasi yang sama seperti pemberitahuan yang dimasukkan menggunakan konektor.

Google merekomendasikan penggunaan konektor atau webhook dari sumber yang sama, tetapi tidak keduanya, untuk menghindari pembuatan kasus duplikat.

Webhook paling cocok untuk skenario yang memerlukan logika pemetaan dasar, sedangkan konektor lebih cocok untuk pemetaan yang canggih dan fleksibel.

Menyiapkan webhook untuk memasukkan pemberitahuan

Untuk menyiapkan webhook guna memasukkan pemberitahuan, ikuti langkah-langkah berikut:

1. Buka Setelan SOAR > Pemasukan > Webhook.
2. Klik tambahkan Tambahkan webhook masuk.
3. Masukkan nama untuk webhook baru, lalu pilih lingkungan.
4. Klik Simpan. Setelah disimpan, webhook baru akan muncul di halaman utama.
5. Salin URL webhook dan catat untuk digunakan nanti. Anda harus memasukkannya di platform sumber sebagai tujuan webhook.

Catatan: URL webhook akan muncul setelah Anda menyimpan. Salin URL ini segera, karena URL ini tidak akan terlihat lagi setelah Anda keluar dari halaman. Anda memerlukan URL ini untuk mengonfigurasi tujuan webhook di platform sumber. Jika Anda menyimpan tanpa menyalin URL, klik cached Buat URL baru untuk membuat URL baru.

Memetakan data

Setelah mengupload contoh JSON, Anda dapat menggunakan bagian Pemetaan data untuk memetakan kolom dari JSON sumber ke kolom yang sesuai di Google Security Operations SOAR. Sistem akan memproses JSON mentah Anda, dan Anda menggunakan antarmuka pengguna (UI) untuk membuat pemetaan.

1. Di bagian Pemetaan data, klik Upload contoh JSON. Berikan contoh representatif payload JSON yang dikirim webhook Anda.
2. Petakan kolom Google Security Operations dengan kolom yang sesuai dalam contoh JSON Anda. Misalnya, untuk memetakan kolom StartTime wajib, Anda dapat memilih kolom stempel waktu dari JSON, seperti Detections.Last.Update.
3. Gunakan Pembuat Ekspresi untuk menyempurnakan data. Misalnya, Anda dapat menggunakan fungsi Format tanggal untuk mengonversi stempel waktu ke format milidetik epoch Unix yang diperlukan. Untuk mengetahui informasi selengkapnya, lihat Menggunakan Pembuat Ekspresi.
4. Klik Jalankan di Pembuat Ekspresi untuk menguji pemetaan dan melihat hasilnya. Tanda centang hijau menunjukkan pemetaan berhasil.
5. Payload JSON webhook Anda harus berisi kolom yang diperlukan untuk pembuatan kasus dan pemasukan pemberitahuan. Untuk mengetahui detailnya, lihat Memahami skema JSON webhook.
6. Setelah memetakan semua kolom yang diperlukan, klik Simpan, lalu aktifkan webhook.

Memahami kolom target pemetaan

Saat memetakan data JSON, Anda memetakan ke kolom standar dalam Google Security Operations SOAR. Kolom ini diatur ke dalam kategori untuk membantu Anda menormalkan dan menyusun data yang masuk. Kolom yang tersedia di UI Pemetaan data didasarkan pada ontologi sistem internal. Kategori utamanya mencakup:

• Kolom entitas: Gunakan kolom ini untuk titik data yang dapat digunakan sistem untuk otomatis mengekstrak dan memodelkan entitas, seperti alamat IP, nama domain, hash file, dan nama pengguna. Pemetaan ke kolom ini akan memperkaya pemberitahuan dan meningkatkan korelasi serta pivoting.
• Kolom peristiwa umum: Gunakan kolom ini untuk metadata peristiwa umum, seperti stempel waktu (StartTime, EndTime), deskripsi atau pesan peristiwa, dan atribut peristiwa umum lainnya.
• Metadata teknis dan perangkat: Gunakan kolom ini untuk detail teknis tentang sumber peristiwa, seperti vendor dan produk perangkat pelaporan (DeviceVendor, DeviceProduct), tingkat keparahan peristiwa, dan atribut teknis serupa lainnya.

Jelajahi kolom yang tersedia dalam alat Pemetaan data di UI Google Security Operations SOAR untuk menemukan kolom target yang paling sesuai untuk setiap bagian data dalam payload JSON Anda.

Memahami skema JSON webhook

Untuk memastikan pemberitahuan Anda dimasukkan dan diproses dengan benar oleh Google Security Operations SOAR, payload JSON webhook Anda harus mengikuti struktur tertentu. Tabel berikut menjelaskan kolom utama yang diharapkan dalam payload JSON.

Kolom kasus dan pemberitahuan utama

Kolom ini mewakili properti tingkat atas dari pemberitahuan atau kasus yang dibuat.

Kolom	Jenis	Format yang direkomendasikan	Wajib	Deskripsi	Contoh
TicketId	String	UUID	Ya	ID unik global (GUID) internal untuk kasus dalam platform SOAR. Persyaratan untuk keunikan TicketId bersifat kondisional dan bergantung pada DisplayId: Jika DisplayId unik diberikan, TicketId tidak harus unik. Jika DisplayId tidak diberikan, TicketId harus unik. TicketId sering kali memiliki nilai yang sama dengan DisplayId.	"f7167971-f641-432f-a06f-ebca3caaa9dd"
SourceSystemName	String	Teks	Ya	Nama sistem eksternal (misalnya, SIEM atau sistem deteksi dan respons endpoint (EDR)) yang mengirimkan pemberitahuan asli ke SOAR.	"Splunk"
Name	String	Teks	Ya	Judul atau nama Kasus, yang sering kali diambil dari jenis atau ringkasan pemberitahuan sumber.	"Suspicious Login Attempt"
DeviceVendor	String	Teks	Ya	Vendor perangkat atau produk yang menghasilkan pemberitahuan. Kolom ini juga dapat dipetakan dari data peristiwa.	"Palo Alto Networks"
RuleGenerator	String	Teks	Ya	Nama aturan dalam sistem sumber (misalnya, aturan korelasi SIEM) yang menghasilkan pemberitahuan.	"Brute Force Attempt Detected"
StartTime	String atau bilangan bulat	Milidetik epoch (UTC) atau string ISO8601 (misalnya, "2026-04-09T14:30:00Z")	Ya	Waktu mulai peristiwa paling awal dalam kasus ini. Jika memberikan bilangan bulat, bilangan bulat tersebut harus dalam milidetik epoch Unix.	1670000000000 atau "2026-04-09T14:30:00Z"
Environment	String	Teks	Tidak	Nama lingkungan SOAR tempat pemberitahuan ini berada. Nama ini harus cocok dengan lingkungan yang ditentukan dalam setelan SOAR Anda.	"Default Environment"
Description	String	Teks	Tidak	Deskripsi singkat kasus atau pemberitahuan.	"Failed login followed by success from new IP"
DisplayId	String	UUID atau String	Tidak	ID yang digunakan untuk tujuan tampilan dalam UI SOAR. Kolom ini adalah kunci utama yang diperiksa sistem untuk mendeteksi pemberitahuan duplikat. Pemberitahuan akan ditolak sebagai duplikat jika DisplayId tidak unik. Pemeriksaan keunikan pada DisplayId lebih diutamakan daripada TicketId. DisplayId sering kali memiliki nilai yang sama dengan TicketId.	"f7167971-f641-432f-a06f-ebca3caaa9dd"
Reason	String	Teks	Tidak	Alasan pemberitahuan dibuat atau dipicu.	"Unusual file access patterns detected."
DeviceProduct	String	Teks	Tidak	Nama produk dari vendor yang menghasilkan pemberitahuan. Kolom ini juga dapat dipetakan dari data peristiwa.	"Cortex XDR"
EndTime	String atau bilangan bulat	Milidetik epoch (UTC) atau string ISO8601 (misalnya, "2026-04-09T14:30:00Z")	Tidak	Waktu berakhir peristiwa terbaru dalam kasus ini. Jika memberikan bilangan bulat, bilangan bulat tersebut harus dalam milidetik epoch Unix.	1670000060000 atau "2026-04-09T14:31:00Z"
Priority	Bilangan bulat	0-100	Tidak	Tingkat prioritas kasus. Nilai defaultnya adalah 40 jika tidak diberikan. (0-19: Informatif, 20-39: Rendah, 40-59: Sedang, 60-79: Tinggi, 80-100: Kritis)	80
EventsList	Array	Array objek JSON	Tidak	Array yang berisi satu atau beberapa objek peristiwa mentah seperti yang diterima dari sumber. Lihat Mengirim data peristiwa mentah.	[ { ... }, { ... } ]
EventProduct	String	Teks	Tidak	Produk yang membuat peristiwa.	"Cortex XDR"
EventName	String	Teks	Tidak	Judul atau nama peristiwa, yang sering kali diambil dari jenis atau ringkasan pemberitahuan sumber.	"Suspicious Login Attempt"

Mengirim data peristiwa mentah - array EventsList

Anda harus mengirim payload JSON mentah yang mewakili peristiwa seperti yang berasal dari sistem sumber dalam array EventsList. Objek ini adalah satu elemen dalam array EventsList. Kemudian, Anda memetakan kolom seperti source_ip dan timestamp menggunakan UI Pemetaan data.

Contoh objek peristiwa dalam array EventsList

{
  "event_id": "9a8b7c-1234-5678",
  "timestamp": "2026-07-01T07:29:50Z",
  "signature": "UserLoginFailed",
  "severity": "Medium",
  "user_name": "administrator",
  "source_ip": "192.168.1.50",
  "destination_ip": "10.0.0.10",
  "domain": "CORP",
  "status": "Failure",
  "Reason": "Wrong Password",
  "EventProduct": "Acme Firewall",
  "EventName": "Failed Login Attempt"
}

Pertimbangan utama dan praktik terbaik

• Stempel waktu: Gunakan milidetik epoch Unix untuk semua kolom StartTime dan EndTime di tingkat atas (sebagai bilangan bulat). Dalam data peristiwa, berikan stempel waktu seperti yang berasal dari sumber; Anda mengonversinya di UI Pemetaan data.
• Kolom wajib: Pastikan semua kolom yang ditandai sebagai "Ya" di kolom Wajib ada dalam payload JSON Anda.
• Array EventsList: Array ini sangat penting. Meskipun pemberitahuan mewakili satu peristiwa, pemberitahuan tersebut harus dienkapsulasi dalam array EventsList.
• UI Pemetaan data: Gunakan alat Pemetaan data di UI Konfigurasi webhook untuk memetakan kolom dari JSON mentah ke kolom Google Security Operations SOAR yang sesuai.
• Keunikan: DisplayId harus unik untuk setiap pemberitahuan baru guna menghindari penghapusan duplikat. TicketId harus unik jika DisplayId tidak diberikan.
• Pengujian: Gunakan tab Upload contoh JSON dan Pengujian dalam halaman Konfigurasi webhook di SOAR untuk memvalidasi struktur dan pemetaan payload Anda.

Catatan tentang tampilan stempel waktu peristiwa: Saat memasukkan data peristiwa menggunakan webhook, tampilan kolom stempel waktu dalam daftar detail pemberitahuan dapat bervariasi. Platform akan mencoba memformat kolom yang tampaknya terkait waktu, dengan asumsi nilai diberikan dalam milidetik epoch. Jika kolom stempel waktu (sering kali kolom yang berisi "time" dalam namanya, seperti `@timestamp`) dikirim dalam format selain milidetik epoch (misalnya, `MM/DD/YYYY HH:MM:SS` atau `YYYY-MM-DDTHH:MM:SSz`), tampilan daftar mungkin tidak menampilkan waktu seperti yang diharapkan. Hal ini karena sistem mencoba menafsirkannya sebagai milidetik sejak epoch. Anda dapat melihat nilai mentah asli seperti yang dikirim dalam webhook dengan mengklik dua kali kolom stempel waktu dalam daftar peristiwa. Untuk hasil tampilan yang paling konsisten di seluruh platform, konfigurasi sistem sumber untuk mengirim nilai waktu dalam milidetik epoch jika memungkinkan, atau pastikan konversi sudah benar di UI Pemetaan data.

Menguji webhook

Di tab Pengujian, Anda dapat menguji fungsi webhook end-to-end dan melihat deskripsi error mendetail.

1. Di tab Pengujian, salin URL webhook.
2. Upload file JSON dengan data yang relevan.
3. Klik Jalankan. Hasilnya akan ditampilkan bersama dengan output.

Mengonfigurasi platform CrowdStrike

Kasus penggunaan ini akan memandu Anda melalui langkah-langkah di CrowdStrike agar webhook mulai memasukkan pemberitahuan ke platform Google SecOps.

1. Di dasbor CrowdStrike Falcon, buka Falcon store dan instal add-on Webhooks.
2. Konfigurasi webhook dengan nama dan URL webhook yang Anda salin dari platform Google SecOps, lalu klik Simpan.
3. Buka bagian Alur kerja.
4. Klik Buat alur kerja.
5. Pilih pemicu, seperti Deteksi baru, lalu klik Berikutnya.
6. Pilih Tambahkan tindakan.
7. Di bagian Sesuaikan tindakan, pilih Notifikasi dari menu Jenis tindakan, lalu pilih Panggil webhook dari menu Tindakan.
8. Pilih nama yang Anda tambahkan pada langkah awal dan semua kolom yang diperlukan, lalu klik Selesai.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.