BlueLiv
Versión de la integración: 8.0
Guía de integración
El objetivo de la integración es ingerir las amenazas de BlueLiv mediante los filtros pertinentes para mostrar solo las amenazas deseadas en Google Security Operations, usando el conector de amenazas, y, a continuación, realizar acciones adicionales en esas amenazas según los casos prácticos pertinentes.
En esta guía rápida, repasaremos algunos aspectos para que los clientes de Google SecOps puedan usar la integración más fácilmente.
Configuración de la integración
Repasaremos los parámetros y dónde encontrarlos para que te resulte más fácil configurar la integración:
- Raíz de la API: es la URL que usas para ver la página principal de BlueLiv cuando se le añade el sufijo /api/v2. Por ejemplo,:
https://tcdach.blueliv.com/api/v2
debe ser el valor de este parámetro. - Nombre de usuario: el mismo que usas para conectarte a la página principal de BlueLiv.
- Contraseña: la misma que usas para conectarte a la página principal de BlueLiv.
ID de organización: puedes identificar fácilmente el ID de organización en la URL que usas para consultar el producto. Por ejemplo:
En este ejemplo, el ID de la organización es
117
:https://tcdach.blueliv.com/dashboard/organizations/117/indexed
Después de repasar los parámetros de integración, podemos profundizar en los demás términos de nuestra integración.
Tipos de módulos
BlueLiv ha dividido la sección de amenazas en tipos de módulos. En esta integración, usamos esos tipos para ayudar a la plataforma SOAR y solo ingerir la información pertinente si quieres filtrar por tipo de módulo. Actualmente, los siguientes tipos de módulos están disponibles en BlueLiv:
- Credenciales
- Redes sociales
- Tarjetas de crédito
- Protección de dominios
- Malware
- Fugas de datos
- Hacktivismo
- Dark web
- Personalizado
- Media Tracker
- Aplicaciones móviles
ID de amenaza e ID de módulo
https://tcdach.blueliv.com/dashboard/organizations/117/modules/1303/resource/31024379
Cada amenaza que puedes encontrar en BlueLiv tiene un UID, un número que la representa.
También se puede identificar fácilmente en la URL. Una amenaza también se denomina recurso. Por ejemplo, en este caso, el UID de la amenaza es 31024379
.
Además, cada módulo que tengas en BlueLiv tiene un UID, un número que lo representa. Por ejemplo, en este caso, el UID de la amenaza es 1303
.
Recomendación sobre la configuración
Blueliv solo permite tener una sesión abierta a la vez. Se recomienda usar diferentes usuarios para la configuración de la integración y los conectores por motivos de estabilidad. Nota: Cada conector necesitaría un usuario independiente.
Casos prácticos
- Monitorización proactiva de ciberamenazas
- Protección de marca
- Protección contra brechas de seguridad de datos
- Prevención de fraudes
- Detección de falsificaciones
Configurar la integración de BlueLiv en Google SecOps
Para obtener instrucciones detalladas sobre cómo configurar una integración en Google SecOps, consulta Configurar integraciones.
Parámetros de integración
Usa los siguientes parámetros para configurar la integración:
Nombre visible del parámetro | Tipo | Valor predeterminado | Es obligatorio | Descripción |
---|---|---|---|---|
Raíz de la API | Cadena | https://example |
Sí | Raíz de la API de la instancia de BlueLiv. |
Nombre de usuario | Cadena | N/A | Sí | Nombre de usuario de BlueLiv. |
Contraseña | Contraseña | N/A | Sí | Contraseña del usuario |
ID de organización | Cadena | N/A | Sí | Especifica el ID de organización que se va a usar en BlueLiv |
Verificar SSL | Casilla | Desmarcada | Sí | Si está habilitada, verifica que el certificado SSL de la conexión al servidor de IronScales sea válido. |
Acciones
Ping
Descripción
Prueba la conectividad con BlueLiv con los parámetros proporcionados en la página de configuración de la integración, en la pestaña Google Security Operations Marketplace.
Parámetros
N/A
Fecha de ejecución
La acción no se ejecuta en entidades ni tiene parámetros de entrada obligatorios.
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos | Opciones de valor |
---|---|
is_success | is_success=False |
is_success | is_success=True |
Panel de casos
Tipo de resultado | Valor o descripción | Tipo |
---|---|---|
Mensaje de salida* | La acción no debe fallar ni detener la ejecución de una guía: Si ambas llamadas a la API se han realizado correctamente: "Successfully connected to the BlueLiv server with the provided connection parameters!" (Se ha conectado correctamente al servidor de BlueLiv con los parámetros de conexión proporcionados). La acción debería fallar y detener la ejecución de la guía: Si solo la primera llamada ha funcionado y la segunda no: "Se ha iniciado sesión correctamente con el nombre de usuario y la contraseña, pero parece que el ID de organización no es correcto. Comprueba el parámetro Organization ID en la página Integration Configuration y vuelve a intentarlo ". Si no se resuelve correctamente: "No se ha podido conectar con BlueLiv! Error: {0}".format(exception.stacktrace) |
General |
Enriquecer entidades
Descripción
Enriquece las entidades con información del módulo Contexto de amenazas de Blueliv. Entidades admitidas: IP, hash, URL, atacante, campaña de amenazas, firma de amenazas, dominio y CVE.
Parámetros
Nombre | Valor predeterminado | Es obligatorio | Descripción |
---|---|---|---|
Puntuación más baja para marcar como sospechoso | 5 | Sí | Especifica cuál debe ser la puntuación más baja para que la entidad se marque como sospechosa. Máximo: 10. |
Crear estadística | Verdadero | No | Si se habilita, la acción creará estadísticas que contengan información sobre las entidades. |
Fecha de ejecución
Esta acción se ejecuta en las siguientes entidades:
- Dirección IP
- Hash
- URL
- Atacante
- Campaña de amenazas
- Firma de amenaza
- CVE
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos | Opciones de valor | Ejemplo |
---|---|---|
correcto | Verdadero/Falso | success:False |
Panel de casos
Funda | Operación completada | Error | Mensaje |
---|---|---|---|
Si se han enriquecido algunas entidades | true | falso | Se han enriquecido correctamente las siguientes entidades con información de Blueliv: {entity.identifier} |
Si no se ha enriquecido alguna | true | falso | Action no ha podido enriquecer las siguientes entidades con información de Blueliv: {entity.identifier} |
si no se han enriquecido todos | falso | falso | No se ha enriquecido ninguna entidad con información de Blueliv. |
Error grave, credenciales no válidas, raíz de la API | falso | true | Error al ejecutar la acción "Enrich Entities". Motivo: {error traceback} |
Si el módulo "Contexto de la amenaza" no está disponible | falso | Verdadero | Error al ejecutar la acción "Enrich Entities". Motivo: tu instancia no admite el módulo "Contexto de la amenaza". |
Añadir un comentario a una amenaza
Descripción
De esta forma, se añadirá el comentario de texto que quieras a una amenaza específica.
Parámetros
Nombre visible del parámetro | Tipo | Valor predeterminado | Es obligatorio | Descripción |
---|---|---|---|---|
Tipo de módulo | Cadena | N/A | Sí | Especifica el tipo de módulo al que pertenece el recurso. |
ID del módulo | Cadena | N/A | Sí | Especifica el ID del módulo al que pertenece el recurso. |
ID de recurso | Cadena | N/A | Sí | Especifica el ID de recurso al que quieres añadir el comentario. |
Texto del comentario | Cadena | N/A | Sí | Proporciona el comentario que quieras añadir al recurso. |
Fecha de ejecución
Esta acción no se ejecuta en entidades.
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos | Opciones de valor |
---|---|
is_success | is_success=False |
is_success | is_success=True |
Panel de casos
Tipo de resultado | Valor/Descripción | Tipo (entidad o general) |
---|---|---|
Mensaje de salida* | La acción no debe fallar ni detener la ejecución de una guía: Si la acción se realiza correctamente: "Successfully added the comment to threat ID: "+{threat_ID} ("Se ha añadido el comentario correctamente a la amenaza con el ID: "+{threat_ID}) La acción debería fallar y detener la ejecución de la guía: Si no se ha podido realizar la acción: "Failed to perform action "Add Comment to a Threat {0}".format(exception.stacktrace) |
General |
Tabla del panel de casos | Nombre: "ID de amenaza "+{threat_id}+" Comentarios: Columna:
|
Marcar una amenaza como favorita
Descripción
Con esta acción, la amenaza especificada se marcará como favorita en BlueLiv.
Parámetros
Nombre visible del parámetro | Tipo | Valor predeterminado | Valores de DDL | Es obligatorio | Descripción |
---|---|---|---|---|---|
Tipo de módulo | Cadena | N/A | Sí | Especifica el tipo de módulo al que pertenece el recurso. | |
ID del módulo | Cadena | N/A | Sí | Especifica el ID del módulo al que pertenece el recurso. | |
ID de recurso | Cadena | N/A | Sí | Especifica el ID de recurso al que quieres añadir el comentario. | |
Estado favorito | DDL | Usuario destacado | Sin destacar Usuario destacado Grupo destacado Todos los destacados |
Sí | Proporciona el estado de favorito que quieras aplicar a la amenaza especificada. |
Fecha de ejecución
Esta acción no se ejecuta en entidades.
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos | Opciones de valor |
---|---|
is_success | is_success=False |
is_success | is_success=True |
Panel de casos
Tipo de resultado | Valor/Descripción | Tipo (entidad o general) |
---|---|---|
Mensaje de salida* | La acción no debe fallar ni detener la ejecución de una guía: Si se realiza correctamente: "Se ha marcado correctamente la amenaza con el ID: "+{threat_ID}+" como favorita" La acción debería fallar y detener la ejecución de la guía: Si no se ha podido realizar la acción: "Failed to perform action "Mark Threat as a Favorite {0}".format(exception.stacktrace)" (No se ha podido realizar la acción "Marcar amenaza como favorita {0}".format(exception.stacktrace)). |
General |
Añadir etiquetas a las amenazas
Descripción
Con esta acción, se añadirá el nombre de etiqueta especificado a los IDs de amenaza indicados.
Parámetros
Nombre visible del parámetro | Tipo | Valor predeterminado | Es obligatorio | Descripción |
---|---|---|---|---|
Tipo de módulo | Cadena | N/A | Sí | Especifica el tipo de módulo al que pertenece el recurso. |
ID del módulo | Cadena | N/A | Sí | Especifica el ID del módulo al que pertenece el recurso. |
ID de recurso | Cadena | N/A | Sí | Especifica los IDs de recurso en una lista separada por comas para añadir las etiquetas. |
Nombres de etiquetas | Cadena | N/A | Sí | Especifique los nombres de las etiquetas que quiera aplicar a las amenazas en una lista separada por comas. Presta atención a las mayúsculas y minúsculas. |
Fecha de ejecución
Esta acción no se ejecuta en entidades.
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos | Opciones de valor |
---|---|
is_success | is_success=False |
is_success | is_success=True |
Panel de casos
Tipo de resultado | Valor/Descripción | Tipo (entidad o general) |
---|---|---|
Mensaje de salida* | La acción no debe fallar ni detener la ejecución de una guía: Si no se han encontrado algunas etiquetas: "No se han encontrado las siguientes etiquetas en BlueLiv: +(unsuccessful_label names_list)+. Comprueba los nombres de las etiquetas que has proporcionado en los parámetros de la acción y vuelve a intentarlo". Si no se han encontrado algunas amenazas: "No se han encontrado las siguientes amenazas en BlueLiv:+(unsuccessful_threat_IDs)+". Comprueba los IDs de amenaza que has proporcionado en los parámetros de acción y vuelve a intentarlo". Si se ha completado correctamente: "Se han añadido correctamente las siguientes etiquetas:" +(successful_label_names_list)+" a los siguientes IDs de amenaza: "+(successful_threat_IDs_list) La acción debería fallar y detener la ejecución de la guía: Si no se ha encontrado ninguna etiqueta: "No se ha encontrado ninguna de las siguientes etiquetas en BlueLiv: +(unsuccessful_label names_list)+. Comprueba los nombres de las etiquetas que has proporcionado en los parámetros de la acción y vuelve a intentarlo". Si no se ha encontrado ninguna amenaza: "No se ha encontrado ninguna de las siguientes amenazas en BlueLiv: "+(unsuccessful_threat_IDs_list)+". Comprueba los IDs de amenaza que has proporcionado en los parámetros de acción y vuelve a intentarlo". Si no se ha podido realizar la acción: "Failed to perform action "Add Labels to Threats".format(exception.stacktrace) |
General |
Quitar etiquetas de amenazas
Descripción
Con esta acción, se quitarán las etiquetas especificadas de los IDs de amenazas especificados.
Parámetros
Nombre | Valor predeterminado | Es obligatorio | Descripción |
---|---|---|---|
Tipo de módulo | N/A | Sí | Especifica el tipo de módulo al que pertenece el recurso. |
ID del módulo | Sí | Especifica el ID del módulo al que pertenece el recurso | |
ID de recurso | Sí | Especifica una lista separada por comas de los IDs de los recursos de los que quieras quitar etiquetas. | |
Nombres de etiquetas | Sí | Especifica una lista de etiquetas separadas por comas que deban eliminarse. Presta atención a las mayúsculas y minúsculas. |
Fecha de ejecución
Esta acción no se ejecuta en entidades.
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos | Opciones de valor |
---|---|
is_success | is_success=False |
is_success | is_success=True |
Panel de casos
Funda | Operación completada | Error | Mensaje |
---|---|---|---|
Si no se han encontrado algunas etiquetas | true | falso | "No se han encontrado las siguientes etiquetas en BlueLiv: \n {labels}. Comprueba los nombres de las etiquetas que has proporcionado en los parámetros de la acción y vuelve a intentarlo". |
Si no se han encontrado algunas amenazas | true | falso | No se han encontrado las siguientes amenazas del módulo {module} {threat IDs}: {threat IDs}. Comprueba los IDs de amenaza que has proporcionado en los parámetros de acción y vuelve a intentarlo. |
Si se realiza correctamente en algunos casos: | true | falso | Se han eliminado correctamente las siguientes etiquetas de la siguiente amenaza {threat ID} en Blueliv: {successful_labels} |
Si aún no se han aplicado algunas: | true | falso | Las siguientes etiquetas ya no formaban parte de la amenaza {threat ID} en Blueliv: {labels already not a part} |
Si no se encuentran etiquetas | falso | true | Error al ejecutar la acción "Remove Labels From Threats". Motivo: no se ha encontrado ninguna de las etiquetas. Comprueba la ortografía. |
Si no se han encontrado amenazas | falso | true | Error al ejecutar la acción "Remove Labels From Threats". Motivo: no se ha encontrado ninguna de las amenazas. Comprueba la ortografía. |
Error grave, credenciales no válidas, raíz de la API | falso | true | Error al ejecutar la acción "Remove Labels From Threats". Motivo: {error traceback} |
Si el tipo o el ID del módulo no son válidos | falso | true | Error al ejecutar la acción "Remove Labels From Threats". Motivo: se ha proporcionado un ID o un tipo de módulo no válidos. |
Mostrar amenazas de entidades
Descripción
Lista las amenazas relacionadas con entidades de Blueliv. Entidades admitidas: todas.
Limitaciones conocidas
Es posible que la API de Blueliv no devuelva ningún resultado, aunque la cadena coincida exactamente con el nombre de la amenaza. A continuación, se muestra un ejemplo:
https://pastebin.com/YRkUCLGc: la URL se muestra al buscar con la palabra clave "pastebin".
https://pastebin.com/YRkUCLGc - no se muestra al buscar con la palabra clave "https://pastebin.com/YRkUCLGc".
Parámetros
Nombre visible del parámetro | Tipo | Valor predeterminado | Es obligatorio | Descripción |
---|---|---|---|---|
Filtro de etiquetas | CSV | N/A | No | Especifica una lista de etiquetas separadas por comas que se usará para filtrar las amenazas. Nota: El filtro de etiquetas funciona con la lógica "OR". |
Filtro de módulos | CSV | N/A | No | Especifica una lista de módulos separados por comas que se utilizará para filtrar las amenazas. |
Número máximo de amenazas que se devolverán | Entero | 50 | No | Especifica cuántas amenazas se deben devolver por entidad. Si no se especifica nada, la acción devolverá 50 amenazas. |
Fecha de ejecución
Esta acción se ejecuta en todas las entidades.
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos | Opciones de valor |
---|---|
is_success | is_success=False |
is_success | is_success=True |
Resultado de JSON
{
"id": xxxxxxx,
"module_id": xxxx,
"module_name": "Data Leakage",
"module_short_name": "xxx-xxxxx",
"module_type": "DATA_LEAKAGE",
"url": "xxx",
"content_type": "text/html",
"countries_id": "xx",
"analysis_result": "INFORMATIVE",
"analysis_calc_result": "INFORMATIVE",
"created_at": 1626163680000,
"checked_at": 1626163680000,
"changed_at": 1626163680000,
"user_rating": 0,
"read": true,
"fav": "NOT_STARRED",
"issued": false,
"labels": [
{
"id": 36116,
"name": "GithubCodeByFilename",
"background_color": 16777215,
"text_color": 0,
"type": "GLOBAL"
},
{
"id": 160,
"name": "Public",
"background_color": 45960,
"text_color": 16777215,
"type": "GLOBAL"
}
],
"tlpStatus": "AMBER",
"searchPhrase": "credit card",
"followedUp": false,
"history": []
},
Panel de casos
Tipo de resultado | Valor/Descripción | Tipo (entidad o general) |
---|---|---|
Mensaje de salida* | La acción no debe fallar ni detener la ejecución de una guía: Si hay datos disponibles (is_success = true): "Successfully listed available threats to the following entities in Blueliv: {entity.identifier}". ("Se han enumerado correctamente las amenazas disponibles para las siguientes entidades en Blueliv: {entity.identifier}"). Si no hay amenazas para una (is_success=true): "No se han encontrado amenazas relacionadas con las siguientes entidades en Blueliv: {entity.identifier}" Si no hay amenazas para una (is_success=true): "No se han encontrado amenazas relacionadas con las entidades proporcionadas en Blueliv" La acción debería fallar y detener la ejecución de la guía: Si se produce un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro: "Error al ejecutar la acción "List Entity Threats". Motivo: {0}''.format(error.Stacktrace) |
General |
Tabla del panel de casos | Título: {entity.identifier} Nombre del módulo URL Título Etiquetas Creada el |
Entidad |
Conector
BlueLiv - Threats Connector
Descripción
Extrae las amenazas de seguridad de BlueLiv. El conector obtiene todas las amenazas más recientes de los módulos de BlueLiv.
Los filtros de listas blancas y listas negras funcionan con los tipos de módulos de BlueLiv. Por ejemplo, si solo quieres recibir amenazas de los módulos de hacktivismo, puedes activar la lista de permitidos y escribir el nombre del tipo "Hacktivismo".
Para cada tipo de módulo, se ingiere una estructura de datos diferente en Google SecOps. Modifica la asignación en tu instancia de Google SecOps para que se adapte mejor a tus necesidades. Asegúrate de ver los diferentes valores de "event_type" de cada evento devuelto por BlueLiv.
En el caso del tipo de amenaza Malware, actualmente solo proporcionamos los datos básicos del evento. Añadiremos otro evento muy pronto para gestionar mejor los datos especiales que se devuelven de un tipo de amenaza malware.
Configurar el conector BlueLiv - Threats en Google SecOps
Para obtener instrucciones detalladas sobre cómo configurar un conector en Google SecOps, consulta el artículo Configurar el conector.
Parámetros del conector
Utiliza los siguientes parámetros para configurar el conector:
Nombre visible del parámetro | Tipo | Valor predeterminado | Es obligatorio | Descripción |
---|---|---|---|---|
Nombre del campo de producto | Cadena | ProductName | Sí | Introduce el nombre del campo de origen para obtener el nombre del campo de producto. |
Nombre del campo de evento | Cadena | event_type | Sí | Introduzca el nombre del campo de origen para obtener el nombre del campo de evento. |
Nombre del campo de entorno | Cadena | "" | No | Describe el nombre del campo en el que se almacena el nombre del entorno. Si no se encuentra el campo de entorno, se utiliza el entorno predeterminado. |
Patrón de regex de entorno | Cadena | .* | No | Una expresión regular que se aplicará al valor encontrado en el campo "Nombre del campo de entorno". El valor predeterminado es .* para captar todos los valores y devolverlos sin cambios. Se usa para permitir que el usuario manipule el campo del entorno mediante la lógica de expresiones regulares. Si el patrón de expresión regular es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno será el entorno predeterminado. |
Tiempo de espera de secuencia de comandos (segundos) | Entero | 180 | Sí | Límite de tiempo de espera del proceso de Python que ejecuta la secuencia de comandos actual. |
URL de API | Cadena | https://example.blueliv.com/api/v2 | Sí | Raíz de la API de la instancia de BlueLiv. |
Nombre de usuario | Cadena | N/A | Sí | Nombre de usuario de BlueLiv |
Contraseña | Contraseña | N/A | Sí | Contraseña de usuario de BlueLiv |
ID de organización | Cadena | N/A | Sí | Especifica el ID de organización que se va a usar en BlueLiv |
Fetch Max Hours Backwards | Entero | 1 | No | Número de horas desde las que se deben obtener los eventos. |
Número máximo de amenazas que se van a obtener | Entero | 10 | No | Número de amenazas que se deben procesar por cada iteración del conector. |
Gravedad | Cadena | Medio | Sí | La gravedad será uno de los siguientes valores: baja, media, alta o crítica. |
Resultados del análisis que se van a ingerir | Cadena (valores: NOT_AVAILABLE, NOT_IMPORTANT, NOT_PROCESSABLE, POSITIVE, NEGATIVE, INFORMATIVE, IMPORTANT) | N/A | No | Filtra las amenazas por el análisis del analista de esta amenaza. Solo se incluirán las amenazas con el resultado de análisis elegido. Proporciona una lista separada por comas de los resultados de análisis que quieras ingerir. |
Etiquetas por las que filtrar | Cadena (lista separada por comas) | N/A | No | Proporciona una lista separada por comas de los nombres de las etiquetas por las que quieras filtrar. Presta atención a las letras mayúsculas y minúsculas, y escribe las etiquetas exactamente como aparecen en la interfaz de usuario de BlueLiv. |
Estado de lectura que se va a ingerir | Cadena (valores: "Only Read" y "Only Unread") | N/A | No | Filtra las amenazas por su estado de lectura para que el conector las ingiera según corresponda. Si no se proporciona ningún valor, obtendremos ambos. Opciones: "Solo leído" y "Solo no leído". |
¿Debería ingerir solo las amenazas destacadas? | Casilla | Desmarcada | No | Si se marca, solo se ingerirán las amenazas destacadas (favoritas). |
¿Debería ingerir amenazas relacionadas con incidentes? | Cadena (valores: Only Incidents, Only Non Incidents) | N/A | No | Debe filtrar las amenazas comprobando la relación con un incidente. Si no se proporciona ningún valor, se obtendrán ambos. Las opciones son: Only Incidents (Solo incidentes): solo se incluirán las amenazas relacionadas con incidentes. Only Non Incidents (Solo no incidentes): solo se incluirán las amenazas que no estén relacionadas con incidentes. |
Usar la lista blanca como lista negra | Casilla | Desmarcada | Sí | Si está habilitada, la lista de permitidos se usará como lista de denegados. |
Verificar SSL | Casilla | Desmarcada | Sí | Si está habilitada, compruebe que el certificado SSL de la conexión al servidor de BlueLiv es válido. |
Dirección del servidor proxy | Cadena | N/A | No | Dirección del servidor proxy que se va a usar. |
Nombre de usuario del proxy | Cadena | N/A | No | Nombre de usuario del proxy para autenticarse. |
Contraseña del proxy | Contraseña | N/A | No | La contraseña del proxy para autenticarte. |
Reglas de conectores
Compatibilidad con proxy
El conector admite proxy.
¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.