BlueLiv

Versión de la integración: 8.0

Guía de integración

El objetivo de la integración es ingerir las amenazas de BlueLiv mediante los filtros pertinentes para mostrar solo las amenazas deseadas en Google Security Operations, usando el conector de amenazas, y, a continuación, realizar acciones adicionales en esas amenazas según los casos prácticos pertinentes.

En esta guía rápida, repasaremos algunos aspectos para que los clientes de Google SecOps puedan usar la integración más fácilmente.

Configuración de la integración

Repasaremos los parámetros y dónde encontrarlos para que te resulte más fácil configurar la integración:

  • Raíz de la API: es la URL que usas para ver la página principal de BlueLiv cuando se le añade el sufijo /api/v2. Por ejemplo,: https://tcdach.blueliv.com/api/v2 debe ser el valor de este parámetro.
  • Nombre de usuario: el mismo que usas para conectarte a la página principal de BlueLiv.
  • Contraseña: la misma que usas para conectarte a la página principal de BlueLiv.
  • ID de organización: puedes identificar fácilmente el ID de organización en la URL que usas para consultar el producto. Por ejemplo:

    En este ejemplo, el ID de la organización es 117:

    https://tcdach.blueliv.com/dashboard/organizations/117/indexed

Después de repasar los parámetros de integración, podemos profundizar en los demás términos de nuestra integración.

Tipos de módulos

BlueLiv ha dividido la sección de amenazas en tipos de módulos. En esta integración, usamos esos tipos para ayudar a la plataforma SOAR y solo ingerir la información pertinente si quieres filtrar por tipo de módulo. Actualmente, los siguientes tipos de módulos están disponibles en BlueLiv:

  • Credenciales
  • Redes sociales
  • Tarjetas de crédito
  • Protección de dominios
  • Malware
  • Fugas de datos
  • Hacktivismo
  • Dark web
  • Personalizado
  • Media Tracker
  • Aplicaciones móviles

ID de amenaza e ID de módulo

https://tcdach.blueliv.com/dashboard/organizations/117/modules/1303/resource/31024379

Cada amenaza que puedes encontrar en BlueLiv tiene un UID, un número que la representa. También se puede identificar fácilmente en la URL. Una amenaza también se denomina recurso. Por ejemplo, en este caso, el UID de la amenaza es 31024379.

Además, cada módulo que tengas en BlueLiv tiene un UID, un número que lo representa. Por ejemplo, en este caso, el UID de la amenaza es 1303.

Recomendación sobre la configuración

Blueliv solo permite tener una sesión abierta a la vez. Se recomienda usar diferentes usuarios para la configuración de la integración y los conectores por motivos de estabilidad. Nota: Cada conector necesitaría un usuario independiente.

Casos prácticos

  1. Monitorización proactiva de ciberamenazas
  2. Protección de marca
  3. Protección contra brechas de seguridad de datos
  4. Prevención de fraudes
  5. Detección de falsificaciones

Configurar la integración de BlueLiv en Google SecOps

Para obtener instrucciones detalladas sobre cómo configurar una integración en Google SecOps, consulta Configurar integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Raíz de la API Cadena

https://example
.blueliv.com/api/v2

Raíz de la API de la instancia de BlueLiv.
Nombre de usuario Cadena N/A Nombre de usuario de BlueLiv.
Contraseña Contraseña N/A Contraseña del usuario
ID de organización Cadena N/A Especifica el ID de organización que se va a usar en BlueLiv
Verificar SSL Casilla Desmarcada Si está habilitada, verifica que el certificado SSL de la conexión al servidor de IronScales sea válido.

Acciones

Ping

Descripción

Prueba la conectividad con BlueLiv con los parámetros proporcionados en la página de configuración de la integración, en la pestaña Google Security Operations Marketplace.

Parámetros

N/A

Fecha de ejecución

La acción no se ejecuta en entidades ni tiene parámetros de entrada obligatorios.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Panel de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si ambas llamadas a la API se han realizado correctamente: "Successfully connected to the BlueLiv server with the provided connection parameters!" (Se ha conectado correctamente al servidor de BlueLiv con los parámetros de conexión proporcionados).

La acción debería fallar y detener la ejecución de la guía:

Si solo la primera llamada ha funcionado y la segunda no: "Se ha iniciado sesión correctamente con el nombre de usuario y la contraseña, pero parece que el ID de organización no es correcto. Comprueba el parámetro Organization ID en la página Integration Configuration y vuelve a intentarlo ".

Si no se resuelve correctamente: "No se ha podido conectar con BlueLiv! Error: {0}".format(exception.stacktrace)

General

Enriquecer entidades

Descripción

Enriquece las entidades con información del módulo Contexto de amenazas de Blueliv. Entidades admitidas: IP, hash, URL, atacante, campaña de amenazas, firma de amenazas, dominio y CVE.

Parámetros

Nombre Valor predeterminado Es obligatorio Descripción
Puntuación más baja para marcar como sospechoso 5 Especifica cuál debe ser la puntuación más baja para que la entidad se marque como sospechosa. Máximo: 10.
Crear estadística Verdadero No Si se habilita, la acción creará estadísticas que contengan información sobre las entidades.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

  • Dirección IP
  • Hash
  • URL
  • Atacante
  • Campaña de amenazas
  • Firma de amenaza
  • CVE
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
correcto Verdadero/Falso success:False
Panel de casos
Funda Operación completada Error Mensaje
Si se han enriquecido algunas entidades true falso Se han enriquecido correctamente las siguientes entidades con información de Blueliv: {entity.identifier}
Si no se ha enriquecido alguna true falso Action no ha podido enriquecer las siguientes entidades con información de Blueliv: {entity.identifier}
si no se han enriquecido todos falso falso No se ha enriquecido ninguna entidad con información de Blueliv.
Error grave, credenciales no válidas, raíz de la API falso true Error al ejecutar la acción "Enrich Entities". Motivo: {error traceback}
Si el módulo "Contexto de la amenaza" no está disponible falso Verdadero Error al ejecutar la acción "Enrich Entities". Motivo: tu instancia no admite el módulo "Contexto de la amenaza".

Añadir un comentario a una amenaza

Descripción

De esta forma, se añadirá el comentario de texto que quieras a una amenaza específica.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Tipo de módulo Cadena N/A Especifica el tipo de módulo al que pertenece el recurso.
ID del módulo Cadena N/A Especifica el ID del módulo al que pertenece el recurso.
ID de recurso Cadena N/A Especifica el ID de recurso al que quieres añadir el comentario.
Texto del comentario Cadena N/A Proporciona el comentario que quieras añadir al recurso.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Panel de casos
Tipo de resultado Valor/Descripción Tipo (entidad o general)
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si la acción se realiza correctamente: "Successfully added the comment to threat ID: "+{threat_ID} ("Se ha añadido el comentario correctamente a la amenaza con el ID: "+{threat_ID})

La acción debería fallar y detener la ejecución de la guía:

Si no se ha podido realizar la acción: "Failed to perform action "Add Comment to a Threat {0}".format(exception.stacktrace)

General
Tabla del panel de casos

Nombre: "ID de amenaza "+{threat_id}+" Comentarios:

Columna:

  • Fila de comentarios
  • ID de comentario
  • Contenido
  • Fecha de creación
  • Comentador

Marcar una amenaza como favorita

Descripción

Con esta acción, la amenaza especificada se marcará como favorita en BlueLiv.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Valores de DDL Es obligatorio Descripción
Tipo de módulo Cadena N/A Especifica el tipo de módulo al que pertenece el recurso.
ID del módulo Cadena N/A Especifica el ID del módulo al que pertenece el recurso.
ID de recurso Cadena N/A Especifica el ID de recurso al que quieres añadir el comentario.
Estado favorito DDL Usuario destacado

Sin destacar

Usuario destacado

Grupo destacado

Todos los destacados

Proporciona el estado de favorito que quieras aplicar a la amenaza especificada.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Panel de casos
Tipo de resultado Valor/Descripción Tipo (entidad o general)
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se realiza correctamente: "Se ha marcado correctamente la amenaza con el ID: "+{threat_ID}+" como favorita"

La acción debería fallar y detener la ejecución de la guía:

Si no se ha podido realizar la acción: "Failed to perform action "Mark Threat as a Favorite {0}".format(exception.stacktrace)" (No se ha podido realizar la acción "Marcar amenaza como favorita {0}".format(exception.stacktrace)).

General

Añadir etiquetas a las amenazas

Descripción

Con esta acción, se añadirá el nombre de etiqueta especificado a los IDs de amenaza indicados.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Tipo de módulo Cadena N/A Especifica el tipo de módulo al que pertenece el recurso.
ID del módulo Cadena N/A Especifica el ID del módulo al que pertenece el recurso.
ID de recurso Cadena N/A Especifica los IDs de recurso en una lista separada por comas para añadir las etiquetas.
Nombres de etiquetas Cadena N/A Especifique los nombres de las etiquetas que quiera aplicar a las amenazas en una lista separada por comas. Presta atención a las mayúsculas y minúsculas.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Panel de casos
Tipo de resultado Valor/Descripción Tipo (entidad o general)
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si no se han encontrado algunas etiquetas: "No se han encontrado las siguientes etiquetas en BlueLiv: +(unsuccessful_label names_list)+. Comprueba los nombres de las etiquetas que has proporcionado en los parámetros de la acción y vuelve a intentarlo".

Si no se han encontrado algunas amenazas: "No se han encontrado las siguientes amenazas en BlueLiv:+(unsuccessful_threat_IDs)+". Comprueba los IDs de amenaza que has proporcionado en los parámetros de acción y vuelve a intentarlo".

Si se ha completado correctamente: "Se han añadido correctamente las siguientes etiquetas:" +(successful_label_names_list)+" a los siguientes IDs de amenaza: "+(successful_threat_IDs_list)

La acción debería fallar y detener la ejecución de la guía:

Si no se ha encontrado ninguna etiqueta: "No se ha encontrado ninguna de las siguientes etiquetas en BlueLiv: +(unsuccessful_label names_list)+. Comprueba los nombres de las etiquetas que has proporcionado en los parámetros de la acción y vuelve a intentarlo".

Si no se ha encontrado ninguna amenaza: "No se ha encontrado ninguna de las siguientes amenazas en BlueLiv: "+(unsuccessful_threat_IDs_list)+". Comprueba los IDs de amenaza que has proporcionado en los parámetros de acción y vuelve a intentarlo".

Si no se ha podido realizar la acción: "Failed to perform action "Add Labels to Threats".format(exception.stacktrace)

General

Quitar etiquetas de amenazas

Descripción

Con esta acción, se quitarán las etiquetas especificadas de los IDs de amenazas especificados.

Parámetros
Nombre Valor predeterminado Es obligatorio Descripción
Tipo de módulo N/A Especifica el tipo de módulo al que pertenece el recurso.
ID del módulo Especifica el ID del módulo al que pertenece el recurso
ID de recurso Especifica una lista separada por comas de los IDs de los recursos de los que quieras quitar etiquetas.
Nombres de etiquetas Especifica una lista de etiquetas separadas por comas que deban eliminarse. Presta atención a las mayúsculas y minúsculas.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Panel de casos
Funda Operación completada Error Mensaje
Si no se han encontrado algunas etiquetas true falso "No se han encontrado las siguientes etiquetas en BlueLiv: \n {labels}. Comprueba los nombres de las etiquetas que has proporcionado en los parámetros de la acción y vuelve a intentarlo".
Si no se han encontrado algunas amenazas true falso No se han encontrado las siguientes amenazas del módulo {module} {threat IDs}: {threat IDs}. Comprueba los IDs de amenaza que has proporcionado en los parámetros de acción y vuelve a intentarlo.
Si se realiza correctamente en algunos casos: true falso Se han eliminado correctamente las siguientes etiquetas de la siguiente amenaza {threat ID} en Blueliv: {successful_labels}
Si aún no se han aplicado algunas: true falso Las siguientes etiquetas ya no formaban parte de la amenaza {threat ID} en Blueliv: {labels already not a part}
Si no se encuentran etiquetas falso true Error al ejecutar la acción "Remove Labels From Threats". Motivo: no se ha encontrado ninguna de las etiquetas. Comprueba la ortografía.
Si no se han encontrado amenazas falso true Error al ejecutar la acción "Remove Labels From Threats". Motivo: no se ha encontrado ninguna de las amenazas. Comprueba la ortografía.
Error grave, credenciales no válidas, raíz de la API falso true Error al ejecutar la acción "Remove Labels From Threats". Motivo: {error traceback}
Si el tipo o el ID del módulo no son válidos falso true Error al ejecutar la acción "Remove Labels From Threats". Motivo: se ha proporcionado un ID o un tipo de módulo no válidos.

Mostrar amenazas de entidades

Descripción

Lista las amenazas relacionadas con entidades de Blueliv. Entidades admitidas: todas.

Limitaciones conocidas

Es posible que la API de Blueliv no devuelva ningún resultado, aunque la cadena coincida exactamente con el nombre de la amenaza. A continuación, se muestra un ejemplo:

https://pastebin.com/YRkUCLGc: la URL se muestra al buscar con la palabra clave "pastebin".

https://pastebin.com/YRkUCLGc - no se muestra al buscar con la palabra clave "https://pastebin.com/YRkUCLGc".

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Filtro de etiquetas CSV N/A No Especifica una lista de etiquetas separadas por comas que se usará para filtrar las amenazas. Nota: El filtro de etiquetas funciona con la lógica "OR".
Filtro de módulos CSV N/A No Especifica una lista de módulos separados por comas que se utilizará para filtrar las amenazas.
Número máximo de amenazas que se devolverán Entero 50 No Especifica cuántas amenazas se deben devolver por entidad. Si no se especifica nada, la acción devolverá 50 amenazas.

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Resultado de JSON
{
    "id": xxxxxxx,
    "module_id": xxxx,
    "module_name": "Data Leakage",
    "module_short_name": "xxx-xxxxx",
    "module_type": "DATA_LEAKAGE",
    "url": "xxx",
    "content_type": "text/html",
    "countries_id": "xx",
    "analysis_result": "INFORMATIVE",
    "analysis_calc_result": "INFORMATIVE",
    "created_at": 1626163680000,
    "checked_at": 1626163680000,
    "changed_at": 1626163680000,
    "user_rating": 0,
    "read": true,
    "fav": "NOT_STARRED",
    "issued": false,
    "labels": [
        {
            "id": 36116,
            "name": "GithubCodeByFilename",
            "background_color": 16777215,
            "text_color": 0,
            "type": "GLOBAL"
        },
        {
            "id": 160,
            "name": "Public",
            "background_color": 45960,
            "text_color": 16777215,
            "type": "GLOBAL"
        }
    ],
    "tlpStatus": "AMBER",
    "searchPhrase": "credit card",
    "followedUp": false,
    "history": []
},
Panel de casos
Tipo de resultado Valor/Descripción Tipo (entidad o general)
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si hay datos disponibles (is_success = true): "Successfully listed available threats to the following entities in Blueliv: {entity.identifier}". ("Se han enumerado correctamente las amenazas disponibles para las siguientes entidades en Blueliv: {entity.identifier}").

Si no hay amenazas para una (is_success=true): "No se han encontrado amenazas relacionadas con las siguientes entidades en Blueliv: {entity.identifier}"

Si no hay amenazas para una (is_success=true): "No se han encontrado amenazas relacionadas con las entidades proporcionadas en Blueliv"

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro: "Error al ejecutar la acción "List Entity Threats". Motivo: {0}''.format(error.Stacktrace)

General
Tabla del panel de casos

Título: {entity.identifier}

Nombre del módulo

URL

Título

Etiquetas

Creada el

Entidad

Conector

BlueLiv - Threats Connector

Descripción

Extrae las amenazas de seguridad de BlueLiv. El conector obtiene todas las amenazas más recientes de los módulos de BlueLiv.

Los filtros de listas blancas y listas negras funcionan con los tipos de módulos de BlueLiv. Por ejemplo, si solo quieres recibir amenazas de los módulos de hacktivismo, puedes activar la lista de permitidos y escribir el nombre del tipo "Hacktivismo".

Para cada tipo de módulo, se ingiere una estructura de datos diferente en Google SecOps. Modifica la asignación en tu instancia de Google SecOps para que se adapte mejor a tus necesidades. Asegúrate de ver los diferentes valores de "event_type" de cada evento devuelto por BlueLiv.

En el caso del tipo de amenaza Malware, actualmente solo proporcionamos los datos básicos del evento. Añadiremos otro evento muy pronto para gestionar mejor los datos especiales que se devuelven de un tipo de amenaza malware.

Configurar el conector BlueLiv - Threats en Google SecOps

Para obtener instrucciones detalladas sobre cómo configurar un conector en Google SecOps, consulta el artículo Configurar el conector.

Parámetros del conector

Utiliza los siguientes parámetros para configurar el conector:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre del campo de producto Cadena ProductName Introduce el nombre del campo de origen para obtener el nombre del campo de producto.
Nombre del campo de evento Cadena event_type Introduzca el nombre del campo de origen para obtener el nombre del campo de evento.
Nombre del campo de entorno Cadena "" No

Describe el nombre del campo en el que se almacena el nombre del entorno.

Si no se encuentra el campo de entorno, se utiliza el entorno predeterminado.

Patrón de regex de entorno Cadena .* No

Una expresión regular que se aplicará al valor encontrado en el campo "Nombre del campo de entorno".

El valor predeterminado es .* para captar todos los valores y devolverlos sin cambios.

Se usa para permitir que el usuario manipule el campo del entorno mediante la lógica de expresiones regulares.

Si el patrón de expresión regular es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno será el entorno predeterminado.

Tiempo de espera de secuencia de comandos (segundos) Entero 180 Límite de tiempo de espera del proceso de Python que ejecuta la secuencia de comandos actual.
URL de API Cadena https://example.blueliv.com/api/v2 Raíz de la API de la instancia de BlueLiv.
Nombre de usuario Cadena N/A Nombre de usuario de BlueLiv
Contraseña Contraseña N/A Contraseña de usuario de BlueLiv
ID de organización Cadena N/A Especifica el ID de organización que se va a usar en BlueLiv
Fetch Max Hours Backwards Entero 1 No Número de horas desde las que se deben obtener los eventos.
Número máximo de amenazas que se van a obtener Entero 10 No

Número de amenazas que se deben procesar por cada iteración del conector.
Nota: El valor máximo es 100.

Gravedad Cadena Medio

La gravedad será uno de los siguientes valores: baja, media, alta o crítica.
Se asignará a las alertas de Google SecOps creadas a partir de este conector.

Resultados del análisis que se van a ingerir Cadena (valores: NOT_AVAILABLE, NOT_IMPORTANT, NOT_PROCESSABLE, POSITIVE, NEGATIVE, INFORMATIVE, IMPORTANT) N/A No

Filtra las amenazas por el análisis del analista de esta amenaza. Solo se incluirán las amenazas con el resultado de análisis elegido. Proporciona una lista separada por comas de los resultados de análisis que quieras ingerir.
Valores posibles: NOT_AVAILABLE, NOT_IMPORTANT, NOT_PROCESSABLE, POSITIVE, NEGATIVE, INFORMATIVE, IMPORTANT

Etiquetas por las que filtrar Cadena (lista separada por comas) N/A No Proporciona una lista separada por comas de los nombres de las etiquetas por las que quieras filtrar. Presta atención a las letras mayúsculas y minúsculas, y escribe las etiquetas exactamente como aparecen en la interfaz de usuario de BlueLiv.
Estado de lectura que se va a ingerir Cadena (valores: "Only Read" y "Only Unread") N/A No Filtra las amenazas por su estado de lectura para que el conector las ingiera según corresponda. Si no se proporciona ningún valor, obtendremos ambos. Opciones: "Solo leído" y "Solo no leído".
¿Debería ingerir solo las amenazas destacadas? Casilla Desmarcada No Si se marca, solo se ingerirán las amenazas destacadas (favoritas).
¿Debería ingerir amenazas relacionadas con incidentes? Cadena (valores: Only Incidents, Only Non Incidents) N/A No Debe filtrar las amenazas comprobando la relación con un incidente. Si no se proporciona ningún valor, se obtendrán ambos. Las opciones son: Only Incidents (Solo incidentes): solo se incluirán las amenazas relacionadas con incidentes. Only Non Incidents (Solo no incidentes): solo se incluirán las amenazas que no estén relacionadas con incidentes.
Usar la lista blanca como lista negra Casilla Desmarcada Si está habilitada, la lista de permitidos se usará como lista de denegados.
Verificar SSL Casilla Desmarcada Si está habilitada, compruebe que el certificado SSL de la conexión al servidor de BlueLiv es válido.
Dirección del servidor proxy Cadena N/A No Dirección del servidor proxy que se va a usar.
Nombre de usuario del proxy Cadena N/A No Nombre de usuario del proxy para autenticarse.
Contraseña del proxy Contraseña N/A No La contraseña del proxy para autenticarte.

Reglas de conectores

Compatibilidad con proxy

El conector admite proxy.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.