Armis in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Armis in Google Security Operations einbinden.

Anwendungsbereiche

1. Anreicherungsaktionen ausführen
2. Führen Sie die Aufnahme der Benachrichtigungen durch.
3. Führen Sie eine Selektierungsaktion aus (Benachrichtigungsstatus aktualisieren).

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
API-Stamm	String		Ja	Armis API-Stamm
API-Secret	Passwort	–	Ja	Armis API-Secret
SSL überprüfen	Kästchen	Aktiviert	Ja	Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Armis-Server gültig ist.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Ping

Testen Sie die Verbindung zu Armis.

Parameter

–

Ausführen am

Die Aktion verwendet keine Entitäten und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

Fall-Repository

Ergebnistyp	Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen: Bei Erfolg: „Successfully connected to the Armis server with the provided connection parameters!“ (Verbindung zum Armis-Server mit den angegebenen Verbindungsparametern erfolgreich hergestellt!) Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn nicht erfolgreich: „Verbindung zum Armis-Server konnte nicht hergestellt werden! Error is {0}".format(exception.stacktrace)	Allgemein

Entitäten anreichern

Entitäten mit Informationen von Armis anreichern. Unterstützte Entitäten: IP, Mac-Adresse.

Parameter

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
Endpunktstatistik erstellen	Kästchen	Aktiviert	Ja	Wenn diese Option aktiviert ist, erstellt die Aktion eine Statistik mit Informationen zu den Endpunkten.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• IP-Adresse
• MAC-Adresse

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "accessSwitch": null,
    "category": "Computers",
    "dataSources": [
        {
            "firstSeen": "2021-03-07T04:04:22.562873+00:00",
            "lastSeen": "2021-03-07T04:04:22.562873+00:00",
            "name": "Example",
            "types": [
                "Asset & System Management",
                "Virtualization"
            ]
        },
        {
            "firstSeen": "2021-03-07T04:04:22.562873+00:00",
            "lastSeen": "2021-03-07T04:04:22.562873+00:00",
            "name": "Armis Smart Scanner",
            "types": [
                "Vulnerability Management"
            ]
        }
    ],
    "firstSeen": "2021-03-07T04:04:22.562873+00:00",
    "id": 1616,
    "ipAddress": "192.0.2.120",
    "ipv6": null,
    "lastSeen": "2021-03-21T08:05:40.244960+00:00",
    "macAddress": "01:23:45:ab:cd:ef",
    "manufacturer": "VMware",
    "model": "VMware Virtual Platform",
    "name": "Example",
    "operatingSystem": "CentOS",
    "operatingSystemVersion": "6.6",
    "purdueLevel": 4.0,
    "riskLevel": 5,
    "sensor": {
        "name": "North conference room",
        "type": "Physical Sensor"
    },
    "site": {
        "location": "Palo Alto",
        "name": "Palo Alto Offices"
    },
    "tags": [
        "Discover",
        "Example"
    ],
    "type": "Virtual Machines",
    "user": "",
    "visibility": "Full"
}

Entitätsanreicherung

Name des Anreicherungsfelds	Logik – Wann anwenden
Kategorie	Wenn in JSON verfügbar
id	Wenn in JSON verfügbar
ipAddress	Wenn in JSON verfügbar
macAddress	Wenn in JSON verfügbar
Name	Wenn in JSON verfügbar
os	Wenn in JSON verfügbar
purdue_level	Wenn in JSON verfügbar
risk_level	Wenn in JSON verfügbar
Tags	Wenn in JSON verfügbar
Typ	Wenn in JSON verfügbar
Nutzer	Wenn in JSON verfügbar
visibility	Wenn in JSON verfügbar
Website	Wenn in JSON verfügbar
Link	Wenn in JSON verfügbar

Fall-Repository

Ergebnistyp	Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen: if enriched some(is_success = true): "Successfully enriched the following entities using Armis:\n".format(entity.identifier) Wenn einige Entitäten nicht angereichert wurden (is_success = true): „Action wasn't able to enriche the following entities using Armis:\n".format(entity.identifier) Wenn nicht alle angereichert wurden (is_success = false): „Es wurden keine Entitäten angereichert.“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Bei einem schwerwiegenden Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Entitäten anreichern‘. Reason: {0}''.format(error.Stacktrace)	Allgemein
Tabelle mit Elementen		Entität

Benachrichtigungsverbindungen auflisten

Listen Sie Verbindungen im Zusammenhang mit der Benachrichtigung in Armis auf.

Parameter

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
Benachrichtigungs-ID	Ganzzahl		Ja	Geben Sie die ID der Benachrichtigung an, für die Sie Verbindungsdaten abrufen möchten.
Niedrigster abzurufender Schweregrad	DDL	Mittel Mögliche Werte: Niedrig Mittel Hoch	Nein	Geben Sie den niedrigsten Schweregrad der Verbindungen an, der beim Abrufen verwendet werden soll.
Maximale Anzahl zurückzugebender Verbindungen	Ganzzahl	50	Nein	Geben Sie an, wie viele Verbindungen zurückgegeben werden sollen.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "band": null,
    "channel": null,
    "dhcpAuthenticationDuration": null,
    "duration": 12339,
    "endTimestamp": "2021-03-18T20:19:31.562873+00:00",
    "id": 33355,
    "inboundTraffic": 12412512,
    "outboundTraffic": 19626489,
    "protocol": "Bluetooth",
    "radiusAuthenticationDuration": null,
    "risk": "Medium",
    "rssi": null,
    "sensor": {
        "name": "EXAMPLE",
        "type": "Switch"
    },
    "site": {
        "location": "Location",
        "name": "Location HQ"
    },
    "snr": null,
    "sourceId": 2097,
    "startTimestamp": "2021-03-18T16:53:52.562873+00:00",
    "targetId": 217,
    "title": "Connection between Example and user's iPhone",
    "totalAssociationDuration": null,
    "traffic": 32039001,
    "wlanAssociationDuration": null
}

Fall-Repository

Ergebnistyp	Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen: Wenn 200 und Daten verfügbar sind (is_success = true): „Verbindungen im Zusammenhang mit der Benachrichtigung {alertId} wurden basierend auf den angegebenen Kriterien in Armis erfolgreich zurückgegeben.“ Wenn 200 und keine Daten verfügbar sind (is_success=false): „No connections were found related to the alert {alertId} based on the provided criteria in Armis.“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Benachrichtigungsverbindungen auflisten‘. Reason: {0}''.format(error.Stacktrace)	Allgemein
Tabelle mit Fall-Repository	Name: Verfügbare Kommunikation Spalten: Titel Protokoll Schweregrad Beginn Ende	Allgemein

Benachrichtigungsstatus aktualisieren

Aktualisieren Sie den Status der Benachrichtigung in Armis.

Parameter

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
Benachrichtigungs-ID	Ganzzahl		Ja	Geben Sie die ID der Benachrichtigung an, deren Status Sie aktualisieren möchten.
Status	DDL	Nicht verarbeitet Mögliche Werte: Nicht verarbeitet Unterdrückt Behoben	Nein	Geben Sie an, welcher Status für die Benachrichtigung festgelegt werden soll.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

Fall-Repository

Ergebnistyp	Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen: Wenn 200 (is_success = true): „Der Status der Benachrichtigung ‚{alert id}‘ wurde in Armis erfolgreich auf ‚{status}‘ aktualisiert.“ Wenn 400 (is_success=true): „Alert "{alert id}" already has status "{status}" in Armis. " Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Benachrichtigungsstatus aktualisieren‘. Reason: {0}''.format(error.Stacktrace) Bei 404: „Error executing action ‚Update Alert Status‘. Grund: Die Benachrichtigung „{alert id}“ wurde in Armis nicht gefunden.'	Allgemein

Connector

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Hinweis: Um Datenverlust zu vermeiden, verwenden Connectors Ereignis-Flattening. Wenn eine Rohbenachrichtigung eine Liste von Entitäten enthält (z. B. mehrere E-Mail-Adressen, Hostnamen oder IP-Adressen), werden diese von Connectors automatisch in separate, eindeutige Ereignisse aufgeteilt.

Beispiel: Eine einzelne Rohbenachrichtigung mit drei verschiedenen E-Mail-Adressen wird als drei separate Ereignisse aufgenommen, die jeweils eine eindeutige E-Mail-Adresse enthalten.

So wird sichergestellt, dass jede Entität korrekt als eindeutiges Asset indexiert wird, sodass sie in Playbooks vollständig durchsuchbar und nutzbar ist.

Armis – Alerts Connector

Benachrichtigungen mit zugehörigen Aktivitäten aus Armis abrufen.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Parametername	Typ	Standardwert	Ist obligatorisch	Beschreibung
Produktfeldname	String	alert_type	Ja	Der Name des Felds, in dem der Produktname gespeichert ist. Der Standardwert ist alert_type. Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert alert_type in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Jede ungültige Eingabe für diesen Parameter wird standardmäßig in einen Fallback-Wert aufgelöst.
Name des Ereignisfelds	String	Typ	Ja	Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt.
Name des Umgebungsfelds	String	""	Nein	Der Name des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ fehlt, verwendet der Connector den Standardwert.
Environment Regex Pattern	String	.*	Nein	Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten. Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden)	Ganzzahl	180	Ja	Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt.
API-Stamm	String	https://	Ja	API-Stamm der Armis-Instanz.
API-Secret	Passwort	–	Ja	API-Secret des Armis-Kontos.
Niedrigster abzurufender Schweregrad	Niedrig	Niedrig	Nein	Niedrigster Schweregrad, der zum Abrufen von Benachrichtigungen verwendet wird. Mögliche Werte: Low, Medium, High.
Maximale Anzahl von Stunden rückwärts	Ganzzahl	1	Nein	Die Anzahl der Stunden vor der ersten Connector-Iteration, um die Benachrichtigungen abzurufen. Dieser Parameter kann für die erste Connector-Iteration gelten, nachdem Sie den Connector zum ersten Mal aktiviert haben, oder für den Fallback-Wert für einen abgelaufenen Connector-Zeitstempel.
Max. Anzahl der abzurufenden Benachrichtigungen	Ganzzahl	10	Nein	Die Anzahl der Benachrichtigungen, die pro Connector-Iteration verarbeitet werden sollen. Der Höchstwert ist 1000.
Use whitelist as a blacklist	Kästchen	Aktiviert	Ja	Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste.
SSL überprüfen	Kästchen	Deaktiviert	Ja	Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum Armis-Server hergestellt wird.
Proxyserveradresse	String		Nein	Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername	String		Nein	Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort	Passwort		Nein	Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Der Connector unterstützt Proxys.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten