BlueLiv

Versión de integración: 8.0

Guía de integración

El objetivo de la integración es transferir las amenazas de BlueLiv a Google Security Operations con los filtros pertinentes para mostrar solo las amenazas deseadas dentro de Google Security Operations a través del conector de amenazas y, luego, realizar acciones adicionales en esas amenazas según los casos de uso pertinentes.

En esta guía rápida, analizaremos algunos aspectos para facilitar el uso de la integración a los clientes de SecOps de Google.

Configuración de la integración

Repasaremos los parámetros y dónde encontrarlos para que te resulte más fácil configurar la integración:

  • Raíz de la API: Es la URL que usas para ver la página principal de BlueLiv, cuando se le agrega el sufijo /api/v2. Por ejemplo, https://tcdach.blueliv.com/api/v2 debería ser el valor de este parámetro.
  • Nombre de usuario: Es el mismo que usas para conectarte a la página principal de BlueLiv.
  • Contraseña: Es la misma que usas para conectarte a la página principal de BlueLiv.
  • ID de la organización: Puedes identificar fácilmente el ID de la organización en la URL que usas para navegar por el producto. Por ejemplo:

    En este ejemplo, el ID de la organización es 117:

    https://tcdach.blueliv.com/dashboard/organizations/117/indexed

Después de revisar los parámetros de integración, podemos profundizar en los demás términos de nuestra integración.

Tipos de módulos

BlueLiv dividió la sección de amenazas en tipos de módulos, y en esta integración usamos esos tipos para ayudar a la plataforma de SOAR y, si deseas filtrar por tipo de módulo, solo incorporamos la información pertinente. Actualmente, los siguientes tipos de módulos están disponibles en BlueLiv:

  • Credenciales
  • Redes sociales
  • Tarjetas de crédito
  • Protección de dominios
  • Software malicioso
  • Filtración de datos
  • Hacktivismo
  • Web oscura
  • Personalizado
  • Media Tracker
  • Aplicaciones para celulares

ID de amenaza y ID de módulo

https://tcdach.blueliv.com/dashboard/organizations/117/modules/1303/resource/31024379

Cada amenaza que puedes encontrar en BlueLiv tiene un UID, un número que la representa. También se puede identificar fácilmente en la URL. Una amenaza también se denomina recurso. Por ejemplo, aquí el UID de la amenaza es 31024379.

Además, cada módulo que tienes en BlueLiv tiene un UID, un número que lo representa. Por ejemplo, aquí el UID de la amenaza es 1303.

Recomendación sobre la configuración

Blueliv solo permite una sesión abierta a la vez. Se recomienda usar diferentes usuarios para la configuración de la integración y los conectores por motivos de estabilidad. Nota: Cada conector necesitaría un usuario independiente.

Casos de uso

  1. Supervisión proactiva de amenazas cibernéticas
  2. Protección de la marca
  3. Protección contra violaciones de la seguridad de los datos
  4. Prevención de fraudes
  5. Detección de falsificaciones

Configura la integración de BlueLiv en Google SecOps

Si quieres obtener instrucciones detalladas para configurar una integración en Google SecOps, consulta Configura integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro Tipo Valor predeterminado Is Mandatory Descripción
Raíz de la API String

https://example
.blueliv.com/api/v2

Es la raíz de la API de la instancia de BlueLiv.
Nombre del usuario String N/A Nombre de usuario de BlueLiv.
Contraseña Contraseña N/A Contraseña del usuario
ID de la organización String N/A Especifica el ID de la organización que se usará en BlueLiv.
Verificar SSL Casilla de verificación Desmarcado Si está habilitada, verifica que el certificado SSL para la conexión al servidor de IronScales sea válido.

Acciones

Ping

Descripción

Prueba la conectividad con BlueLiv con los parámetros proporcionados en la página de configuración de la integración en la pestaña Google Security Operations Marketplace.

Parámetros

N/A

Ejecutar en

La acción no se ejecuta en entidades ni tiene parámetros de entrada obligatorios.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Muro de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si ambas llamadas a la API se realizaron correctamente: "Successfully connected to the BlueLiv server with the provided connection parameters!"

La acción debería fallar y detener la ejecución de la guía:

Si solo la primera llamada fue correcta y la segunda no funcionó: "Se accedió correctamente con el nombre de usuario y la contraseña, pero parece que el ID de la organización no es correcto. Verifica el parámetro Organization ID en la página Integration Configuration y vuelve a intentarlo ".

Si no se realiza correctamente: "No se pudo conectar a BlueLiv. Error is {0}".format(exception.stacktrace)

General

Enriquece entidades

Descripción

Enriquece las entidades con la información del módulo Threat Context de Blueliv. Entidades admitidas: IP, hash, URL, actor de amenazas, campaña contra amenazas, firma de amenaza, dominio y CVE.

Parámetros

Nombre Valor predeterminado Is Mandatory Descripción
Puntuación más baja para marcar como sospechoso 5 Especifica cuál debe ser la puntuación más baja para que la entidad se marque como sospechosa. Máximo: 10
Crear estadística Verdadero No Si está habilitada, la acción creará estadísticas que contienen información sobre entidades.

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

  • Dirección IP
  • Hash
  • URL
  • Agente de amenazas
  • Campaña contra amenazas
  • Firma de amenazas
  • CVE
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
correcto Verdadero/Falso success:False
Muro de casos
Caso Listo Fail Mensaje
Si se enriquecieron algunas entidades verdadero falso Se enriquecieron correctamente las siguientes entidades con información de Blueliv: {entity.identifier}
Si no se enriqueció algo verdadero falso La acción no pudo enriquecer las siguientes entidades con información de Blueliv: {entity.identifier}
si no se enriqueció todo falso falso No se enriqueció ninguna entidad con información de Blueliv.
Error fatal, credenciales no válidas, raíz de la API falso verdadero Se produjo un error al ejecutar la acción "Enrich Entities". Motivo: {error traceback}
Si el módulo "Contexto de amenazas" no está disponible falso Verdadero Se produjo un error al ejecutar la acción "Enrich Entities". Motivo: Tu instancia no admite el módulo "Contexto de amenazas".

Agregar comentario a una amenaza

Descripción

La acción agregará un comentario de texto deseado a una amenaza específica.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Is Mandatory Descripción
Tipo de módulo String N/A Especifica el tipo de módulo al que pertenece el recurso.
ID del módulo String N/A Especifica el ID del módulo al que pertenece el recurso.
ID de recurso String N/A Especifica el ID del recurso al que se agregará el comentario.
Texto del comentario String N/A Proporciona el comentario que deseas agregar al recurso.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Muro de casos
Tipo de resultado Valor/Descripción Type (Entity \ General)
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si la operación se realiza correctamente: "Se agregó correctamente el comentario al ID de amenaza: "+{threat_ID}

La acción debería fallar y detener la ejecución de la guía:

Si no se realiza correctamente: "No se pudo realizar la acción "Agregar comentario a una amenaza {0}".format(exception.stacktrace)".

General
Tabla del muro de casos

Nombre: "Comentarios sobre el ID de amenaza " +{threat_id}+":

Columna:

  • Fila de comentarios
  • ID del comentario
  • Contenido
  • Fecha de creación
  • Comentarista

Cómo marcar una amenaza como favorita

Descripción

La acción marcará la amenaza especificada como favorita en BlueLiv.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Valores de DDL Is Mandatory Descripción
Tipo de módulo String N/A Especifica el tipo de módulo al que pertenece el recurso.
ID del módulo String N/A Especifica el ID del módulo al que pertenece el recurso.
ID de recurso String N/A Especifica el ID del recurso al que se agregará el comentario.
Estado favorito DDL Usuario destacado

Sin destacar

Usuario destacado

Grupo destacado

Todos los destacados

Proporciona el estado de favorito que deseas aplicar a la amenaza especificada.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Muro de casos
Tipo de resultado Valor/Descripción Type (Entity \ General)
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se ejecuta correctamente: "Se marcó correctamente el ID de amenaza: "+{threat_ID}+" como favorito"

La acción debería fallar y detener la ejecución de la guía:

Si no se realiza correctamente: "No se pudo realizar la acción "Marcar amenaza como favorita {0}".format(exception.stacktrace)".

General

Cómo agregar etiquetas a las amenazas

Descripción

La acción agregará el nombre de la etiqueta especificada a los IDs de amenazas especificados.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Is Mandatory Descripción
Tipo de módulo String N/A Especifica el tipo de módulo al que pertenece el recurso.
ID del módulo String N/A Especifica el ID del módulo al que pertenece el recurso.
ID de recurso String N/A Especifica los IDs de los recursos, separados por comas, a los que se agregarán las etiquetas.
Nombres de las etiquetas String N/A Especifica los nombres de las etiquetas que deseas aplicar a las amenazas especificadas en una lista separada por comas. Presta atención a las letras mayúsculas y minúsculas.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Muro de casos
Tipo de resultado Valor/Descripción Type (Entity \ General)
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si no se encontraron algunas etiquetas correctamente: "No se encontraron las siguientes etiquetas en BlueLiv":+(unsuccessful_label names_list)+". Verifica los nombres de las etiquetas que proporcionaste en los parámetros de acción y vuelve a intentarlo".

Si no se encontraron algunas amenazas: "No se encontraron las siguientes amenazas en BlueLiv":+(unsuccessful_threat_IDs)+". Comprueba los IDs de amenaza que proporcionaste en los parámetros de acción y vuelve a intentarlo".

Si se realizó correctamente: "Se agregaron correctamente las siguientes etiquetas:" +(successful_label_names_list)+" a los siguientes IDs de amenazas: "+(successful_threat_IDs_list)

La acción debería fallar y detener la ejecución de la guía:

Si no se encontraron etiquetas correctamente: "No se encontró ninguna de las siguientes etiquetas en BlueLiv":+(unsuccessful_label names_list)+". Verifica los nombres de las etiquetas que proporcionaste en los parámetros de acción y vuelve a intentarlo".

Si no se encontraron amenazas correctamente: "No se encontró ninguna de las siguientes amenazas en BlueLiv":+(unsuccessful_threat_IDs_list)+". Verifica los IDs de amenaza que proporcionaste en los parámetros de acción y vuelve a intentarlo".

Si no se realiza correctamente: "No se pudo realizar la acción "Add Labels to Threats".format(exception.stacktrace)"

General

Quita etiquetas de las amenazas

Descripción

Con esta acción, se quitarán las etiquetas especificadas de los IDs de amenazas especificados.

Parámetros
Nombre Valor predeterminado Is Mandatory Descripción
Tipo de módulo N/A Especifica el tipo de módulo al que pertenece el recurso.
ID del módulo Especifica el ID del módulo al que pertenece el recurso
ID de recurso Especifica una lista separada por comas de los IDs de los recursos de los que deseas quitar etiquetas.
Nombres de las etiquetas Especifica una lista de etiquetas separadas por comas que se deben quitar. Presta atención a las letras mayúsculas y minúsculas.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Muro de casos
Caso Listo Fail Mensaje
Si no se encontraron algunas etiquetas verdadero falso "No se encontraron las siguientes etiquetas en BlueLiv: \n {labels}. Verifica los nombres de las etiquetas que proporcionaste en los parámetros de acción y vuelve a intentarlo".
Si no se encontraron algunas amenazas verdadero falso No se encontraron las siguientes amenazas del módulo {module} {IDs de amenazas}: {IDs de amenazas}. Verifica los IDs de amenazas que proporcionaste en los parámetros de acción y vuelve a intentarlo.
Si se ejecuta correctamente para algunos, haz lo siguiente: verdadero falso Se quitaron correctamente las siguientes etiquetas de la siguiente amenaza {threat ID} en Blueliv: {successful_labels}
Si algunas aún no se aplicaron, haz lo siguiente: verdadero falso Las siguientes etiquetas ya no formaban parte de la amenaza {ID de amenaza} en Blueliv: {etiquetas que ya no formaban parte}
Si no se encuentran etiquetas falso verdadero Se produjo un error al ejecutar la acción "Remove Labels From Threats". Motivo: No se encontró ninguna de las etiquetas. Revisa la ortografía.
Si no se encontraron amenazas falso verdadero Se produjo un error al ejecutar la acción "Remove Labels From Threats". Motivo: No se encontraron amenazas. Revisa la ortografía.
Error fatal, credenciales no válidas, raíz de la API falso verdadero Se produjo un error al ejecutar la acción "Remove Labels From Threats". Motivo: {error traceback}
Si el tipo o el ID del módulo no son válidos falso verdadero Se produjo un error al ejecutar la acción "Remove Labels From Threats". Motivo: Se proporcionó un ID o un tipo de módulo no válidos.

Enumera las amenazas a la entidad

Descripción

Enumera las amenazas relacionadas con las entidades en Blueliv. Entidades admitidas: Todas.

Limitaciones conocidas

Es posible que la API de Blueliv no devuelva ningún resultado, incluso si la cadena coincide exactamente con el nombre de la amenaza. A continuación, se muestra un ejemplo:

https://pastebin.com/YRkUCLGc: Se muestra la URL cuando se busca con la palabra clave "pastebin".

https://pastebin.com/YRkUCLGc no se muestra cuando se busca con la palabra clave "https://pastebin.com/YRkUCLGc".

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Is Mandatory Descripción
Filtro por etiqueta CSV N/A No Especifica una lista de etiquetas separadas por comas que se usarán para filtrar las amenazas. Nota: El filtro de etiquetas funciona con la lógica "OR".
Filtro de módulos CSV N/A No Especifica una lista de módulos separados por comas que se utilizarán para filtrar las amenazas.
Cantidad máxima de amenazas que se pueden devolver Número entero 50 No Especifica la cantidad de amenazas que se devolverán por entidad. Si no se especifica nada, la acción devolverá 50 amenazas.

Ejecutar en

Esta acción se ejecuta en todas las entidades.

Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor
is_success is_success=False
is_success is_success=True
Resultado de JSON
{
    "id": xxxxxxx,
    "module_id": xxxx,
    "module_name": "Data Leakage",
    "module_short_name": "xxx-xxxxx",
    "module_type": "DATA_LEAKAGE",
    "url": "xxx",
    "content_type": "text/html",
    "countries_id": "xx",
    "analysis_result": "INFORMATIVE",
    "analysis_calc_result": "INFORMATIVE",
    "created_at": 1626163680000,
    "checked_at": 1626163680000,
    "changed_at": 1626163680000,
    "user_rating": 0,
    "read": true,
    "fav": "NOT_STARRED",
    "issued": false,
    "labels": [
        {
            "id": 36116,
            "name": "GithubCodeByFilename",
            "background_color": 16777215,
            "text_color": 0,
            "type": "GLOBAL"
        },
        {
            "id": 160,
            "name": "Public",
            "background_color": 45960,
            "text_color": 16777215,
            "type": "GLOBAL"
        }
    ],
    "tlpStatus": "AMBER",
    "searchPhrase": "credit card",
    "followedUp": false,
    "history": []
},
Muro de casos
Tipo de resultado Valor/Descripción Type (Entity \ General)
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si hay datos disponibles para uno(is_success = true): "Se enumeraron correctamente las amenazas disponibles para las siguientes entidades en Blueliv: {entity.identifier}".

Si no hay amenazas para uno (is_success=true): "No se encontraron amenazas relacionadas para las siguientes entidades en Blueliv: {entity.identifier}"

Si no hay amenazas para uno (is_success=true): "No se encontraron amenazas relacionadas con las entidades proporcionadas en Blueliv"

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error fatal, como credenciales incorrectas, falta de conexión con el servidor o algún otro problema, se mostrará el mensaje "Error al ejecutar la acción "List Entity Threats"". Reason: {0}''.format(error.Stacktrace)

General
Tabla del muro de casos

Título: {entity.identifier}

Nombre del módulo

URL

Título

Etiquetas

Fecha de creación

Entidad

Conector

BlueLiv, Threats Connector

Descripción

Extrae las amenazas de seguridad de BlueLiv. El conector recupera todas las amenazas más recientes de los módulos de BlueLiv.

Los filtros de lista blanca y lista negra funcionan con los tipos de módulos de BlueLiv. Por ejemplo, si solo quieres recibir amenazas de los módulos de hacktivismo, puedes activar la lista de entidades permitidas y escribir el nombre del tipo "Hacktivism".

Para cada tipo de módulo, se ingiere una estructura de datos diferente en Google SecOps. Modifica la asignación en tu instancia de Google SecOps para que se adapte mejor a tus necesidades. Asegúrate de consultar los diferentes valores de "event_type" para cada evento que se devuelve de BlueLiv.

En el caso del tipo de amenaza Malware, actualmente solo proporcionamos los datos básicos del evento. Pronto agregaremos un evento adicional para controlar mejor los datos especiales que provienen de un tipo de amenaza de malware.

Configura el conector de amenazas de BlueLiv en Google SecOps

Si quieres obtener instrucciones detalladas para configurar un conector en Google SecOps, consulta Cómo configurar el conector.

Parámetros del conector

Usa los siguientes parámetros para configurar el conector:

Nombre visible del parámetro Tipo Valor predeterminado Is Mandatory Descripción
Nombre del campo del producto String ProductName Ingresa el nombre del campo de origen para recuperar el nombre del campo del producto.
Nombre del campo del evento String event_type Ingresa el nombre del campo de origen para recuperar el nombre del campo del evento.
Nombre del campo del entorno String "" No

Describe el nombre del campo en el que se almacena el nombre del entorno.

Si no se encuentra el campo del entorno, se usa el entorno predeterminado.

Patrón de expresión regular del entorno String .* No

Es un patrón de regex que se ejecutará en el valor que se encuentra en el campo "Nombre del campo del entorno".

El valor predeterminado es .* para capturar todo y devolver el valor sin cambios.

Se usa para permitir que el usuario manipule el campo del entorno a través de la lógica de regex.

Si el patrón de regex es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado.

Tiempo de espera de la secuencia de comandos (segundos) Número entero 180 Es el límite de tiempo de espera para el proceso de Python que ejecuta la secuencia de comandos actual.
URL de API String https://example.blueliv.com/api/v2 Es la raíz de la API de la instancia de BlueLiv.
Nombre del usuario String N/A Nombre de usuario de BlueLiv
Contraseña Contraseña N/A Contraseña de usuario de BlueLiv
ID de la organización String N/A Especifica el ID de la organización que se usará en BlueLiv.
Recuperar horas máximas hacia atrás Número entero 1 No Cantidad de horas desde las que se recuperan los eventos.
Cantidad máxima de amenazas que se pueden recuperar Número entero 10 No

Cantidad de amenazas que se procesarán por iteración del conector.
Nota: El valor máximo aquí es 100.

Gravedad String Medio

La gravedad será uno de los siguientes valores: Bajo, Medio, Alto o Crítico.
Se asignará a las alertas de SecOps de Google creadas a partir de este conector.

Resultados del análisis para la transferencia Cadena (valores: NOT_AVAILABLE, NOT_IMPORTANT, NOT_PROCESSABLE, POSITIVE, NEGATIVE, INFORMATIVE, IMPORTANT) N/A No

Filtra las amenazas según el análisis del analista sobre esta amenaza. Solo se incorporan las amenazas con el resultado del análisis elegido. Proporciona una lista separada por comas de los resultados del análisis deseados para la transferencia.
Valores posibles: NOT_AVAILABLE, NOT_IMPORTANT, NOT_PROCESSABLE, POSITIVE, NEGATIVE, INFORMATIVE, IMPORTANT

Etiquetas por las que se puede filtrar Cadena (lista separada por comas) N/A No Proporciona una lista separada por comas de los nombres de las etiquetas por las que deseas filtrar. Presta atención a las letras mayúsculas y minúsculas, y escribe las etiquetas exactamente como aparecen en la IU de BlueLiv.
Estado de lectura que se debe transferir Cadena (valores: "Only Read", "Only Unread") N/A No Filtra las amenazas según su estado de lectura para que el conector las ingiera según corresponda. Si no se proporciona ningún valor, recuperaremos ambos. Las opciones son "Solo lectura" y "Solo no leídos".
¿Se deben ingerir solo las amenazas destacadas? Casilla de verificación Desmarcado No Si se marca, solo se incorporarán las amenazas destacadas (favoritas).
¿Se deben ingerir las amenazas relacionadas con los incidentes? Cadena (valores: Only Incidents, Only Non Incidents) N/A No Indica si el conector debe filtrar las amenazas verificando la relación con un incidente. Si no se proporciona ningún valor, recuperaremos ambos. Las opciones son: Only Incidents (Solo incidentes): Solo se incorporarán amenazas relacionadas con incidentes. Only Non Incidents (Solo no incidentes): Solo se incorporarán amenazas que no estén relacionadas con incidentes.
Usar la lista blanca como lista negra Casilla de verificación Desmarcado Si se habilita, la lista de entidades permitidas se usará como lista de entidades bloqueadas.
Verificar SSL Casilla de verificación Desmarcado Si está habilitada, verifica que el certificado SSL para la conexión al servidor de BlueLiv sea válido.
Dirección del servidor proxy String N/A No Es la dirección del servidor proxy que se usará.
Nombre de usuario del proxy String N/A No Nombre de usuario del proxy con el que se realizará la autenticación.
Contraseña de proxy Contraseña N/A No Contraseña del proxy para la autenticación.

Reglas del conector

Compatibilidad con proxy

El conector admite proxy.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.