BlueLiv
Versión de integración: 8.0
Guía de integración
El objetivo de la integración es transferir las amenazas de BlueLiv a Google Security Operations con los filtros pertinentes para mostrar solo las amenazas deseadas dentro de Google Security Operations a través del conector de amenazas y, luego, realizar acciones adicionales en esas amenazas según los casos de uso pertinentes.
En esta guía rápida, analizaremos algunos aspectos para facilitar el uso de la integración a los clientes de SecOps de Google.
Configuración de la integración
Repasaremos los parámetros y dónde encontrarlos para que te resulte más fácil configurar la integración:
- Raíz de la API: Es la URL que usas para ver la página principal de BlueLiv, cuando se le agrega el sufijo /api/v2. Por ejemplo,
https://tcdach.blueliv.com/api/v2
debería ser el valor de este parámetro. - Nombre de usuario: Es el mismo que usas para conectarte a la página principal de BlueLiv.
- Contraseña: Es la misma que usas para conectarte a la página principal de BlueLiv.
ID de la organización: Puedes identificar fácilmente el ID de la organización en la URL que usas para navegar por el producto. Por ejemplo:
En este ejemplo, el ID de la organización es
117
:https://tcdach.blueliv.com/dashboard/organizations/117/indexed
Después de revisar los parámetros de integración, podemos profundizar en los demás términos de nuestra integración.
Tipos de módulos
BlueLiv dividió la sección de amenazas en tipos de módulos, y en esta integración usamos esos tipos para ayudar a la plataforma de SOAR y, si deseas filtrar por tipo de módulo, solo incorporamos la información pertinente. Actualmente, los siguientes tipos de módulos están disponibles en BlueLiv:
- Credenciales
- Redes sociales
- Tarjetas de crédito
- Protección de dominios
- Software malicioso
- Filtración de datos
- Hacktivismo
- Web oscura
- Personalizado
- Media Tracker
- Aplicaciones para celulares
ID de amenaza y ID de módulo
https://tcdach.blueliv.com/dashboard/organizations/117/modules/1303/resource/31024379
Cada amenaza que puedes encontrar en BlueLiv tiene un UID, un número que la representa.
También se puede identificar fácilmente en la URL. Una amenaza también se denomina recurso. Por ejemplo, aquí el UID de la amenaza es 31024379
.
Además, cada módulo que tienes en BlueLiv tiene un UID, un número que lo representa. Por ejemplo, aquí el UID de la amenaza es 1303
.
Recomendación sobre la configuración
Blueliv solo permite una sesión abierta a la vez. Se recomienda usar diferentes usuarios para la configuración de la integración y los conectores por motivos de estabilidad. Nota: Cada conector necesitaría un usuario independiente.
Casos de uso
- Supervisión proactiva de amenazas cibernéticas
- Protección de la marca
- Protección contra violaciones de la seguridad de los datos
- Prevención de fraudes
- Detección de falsificaciones
Configura la integración de BlueLiv en Google SecOps
Si quieres obtener instrucciones detalladas para configurar una integración en Google SecOps, consulta Configura integraciones.
Parámetros de integración
Usa los siguientes parámetros para configurar la integración:
Nombre visible del parámetro | Tipo | Valor predeterminado | Is Mandatory | Descripción |
---|---|---|---|---|
Raíz de la API | String | https://example |
Sí | Es la raíz de la API de la instancia de BlueLiv. |
Nombre del usuario | String | N/A | Sí | Nombre de usuario de BlueLiv. |
Contraseña | Contraseña | N/A | Sí | Contraseña del usuario |
ID de la organización | String | N/A | Sí | Especifica el ID de la organización que se usará en BlueLiv. |
Verificar SSL | Casilla de verificación | Desmarcado | Sí | Si está habilitada, verifica que el certificado SSL para la conexión al servidor de IronScales sea válido. |
Acciones
Ping
Descripción
Prueba la conectividad con BlueLiv con los parámetros proporcionados en la página de configuración de la integración en la pestaña Google Security Operations Marketplace.
Parámetros
N/A
Ejecutar en
La acción no se ejecuta en entidades ni tiene parámetros de entrada obligatorios.
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos | Opciones de valor |
---|---|
is_success | is_success=False |
is_success | is_success=True |
Muro de casos
Tipo de resultado | Valor o descripción | Tipo |
---|---|---|
Mensaje de salida* | La acción no debe fallar ni detener la ejecución de una guía: Si ambas llamadas a la API se realizaron correctamente: "Successfully connected to the BlueLiv server with the provided connection parameters!" La acción debería fallar y detener la ejecución de la guía: Si solo la primera llamada fue correcta y la segunda no funcionó: "Se accedió correctamente con el nombre de usuario y la contraseña, pero parece que el ID de la organización no es correcto. Verifica el parámetro Organization ID en la página Integration Configuration y vuelve a intentarlo ". Si no se realiza correctamente: "No se pudo conectar a BlueLiv. Error is {0}".format(exception.stacktrace) |
General |
Enriquece entidades
Descripción
Enriquece las entidades con la información del módulo Threat Context de Blueliv. Entidades admitidas: IP, hash, URL, actor de amenazas, campaña contra amenazas, firma de amenaza, dominio y CVE.
Parámetros
Nombre | Valor predeterminado | Is Mandatory | Descripción |
---|---|---|---|
Puntuación más baja para marcar como sospechoso | 5 | Sí | Especifica cuál debe ser la puntuación más baja para que la entidad se marque como sospechosa. Máximo: 10 |
Crear estadística | Verdadero | No | Si está habilitada, la acción creará estadísticas que contienen información sobre entidades. |
Ejecutar en
Esta acción se ejecuta en las siguientes entidades:
- Dirección IP
- Hash
- URL
- Agente de amenazas
- Campaña contra amenazas
- Firma de amenazas
- CVE
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos | Opciones de valor | Ejemplo |
---|---|---|
correcto | Verdadero/Falso | success:False |
Muro de casos
Caso | Listo | Fail | Mensaje |
---|---|---|---|
Si se enriquecieron algunas entidades | verdadero | falso | Se enriquecieron correctamente las siguientes entidades con información de Blueliv: {entity.identifier} |
Si no se enriqueció algo | verdadero | falso | La acción no pudo enriquecer las siguientes entidades con información de Blueliv: {entity.identifier} |
si no se enriqueció todo | falso | falso | No se enriqueció ninguna entidad con información de Blueliv. |
Error fatal, credenciales no válidas, raíz de la API | falso | verdadero | Se produjo un error al ejecutar la acción "Enrich Entities". Motivo: {error traceback} |
Si el módulo "Contexto de amenazas" no está disponible | falso | Verdadero | Se produjo un error al ejecutar la acción "Enrich Entities". Motivo: Tu instancia no admite el módulo "Contexto de amenazas". |
Agregar comentario a una amenaza
Descripción
La acción agregará un comentario de texto deseado a una amenaza específica.
Parámetros
Nombre visible del parámetro | Tipo | Valor predeterminado | Is Mandatory | Descripción |
---|---|---|---|---|
Tipo de módulo | String | N/A | Sí | Especifica el tipo de módulo al que pertenece el recurso. |
ID del módulo | String | N/A | Sí | Especifica el ID del módulo al que pertenece el recurso. |
ID de recurso | String | N/A | Sí | Especifica el ID del recurso al que se agregará el comentario. |
Texto del comentario | String | N/A | Sí | Proporciona el comentario que deseas agregar al recurso. |
Ejecutar en
Esta acción no se ejecuta en entidades.
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos | Opciones de valor |
---|---|
is_success | is_success=False |
is_success | is_success=True |
Muro de casos
Tipo de resultado | Valor/Descripción | Type (Entity \ General) |
---|---|---|
Mensaje de salida* | La acción no debe fallar ni detener la ejecución de una guía: Si la operación se realiza correctamente: "Se agregó correctamente el comentario al ID de amenaza: "+{threat_ID} La acción debería fallar y detener la ejecución de la guía: Si no se realiza correctamente: "No se pudo realizar la acción "Agregar comentario a una amenaza {0}".format(exception.stacktrace)". |
General |
Tabla del muro de casos | Nombre: "Comentarios sobre el ID de amenaza " +{threat_id}+": Columna:
|
Cómo marcar una amenaza como favorita
Descripción
La acción marcará la amenaza especificada como favorita en BlueLiv.
Parámetros
Nombre visible del parámetro | Tipo | Valor predeterminado | Valores de DDL | Is Mandatory | Descripción |
---|---|---|---|---|---|
Tipo de módulo | String | N/A | Sí | Especifica el tipo de módulo al que pertenece el recurso. | |
ID del módulo | String | N/A | Sí | Especifica el ID del módulo al que pertenece el recurso. | |
ID de recurso | String | N/A | Sí | Especifica el ID del recurso al que se agregará el comentario. | |
Estado favorito | DDL | Usuario destacado | Sin destacar Usuario destacado Grupo destacado Todos los destacados |
Sí | Proporciona el estado de favorito que deseas aplicar a la amenaza especificada. |
Ejecutar en
Esta acción no se ejecuta en entidades.
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos | Opciones de valor |
---|---|
is_success | is_success=False |
is_success | is_success=True |
Muro de casos
Tipo de resultado | Valor/Descripción | Type (Entity \ General) |
---|---|---|
Mensaje de salida* | La acción no debe fallar ni detener la ejecución de una guía: Si se ejecuta correctamente: "Se marcó correctamente el ID de amenaza: "+{threat_ID}+" como favorito" La acción debería fallar y detener la ejecución de la guía: Si no se realiza correctamente: "No se pudo realizar la acción "Marcar amenaza como favorita {0}".format(exception.stacktrace)". |
General |
Cómo agregar etiquetas a las amenazas
Descripción
La acción agregará el nombre de la etiqueta especificada a los IDs de amenazas especificados.
Parámetros
Nombre visible del parámetro | Tipo | Valor predeterminado | Is Mandatory | Descripción |
---|---|---|---|---|
Tipo de módulo | String | N/A | Sí | Especifica el tipo de módulo al que pertenece el recurso. |
ID del módulo | String | N/A | Sí | Especifica el ID del módulo al que pertenece el recurso. |
ID de recurso | String | N/A | Sí | Especifica los IDs de los recursos, separados por comas, a los que se agregarán las etiquetas. |
Nombres de las etiquetas | String | N/A | Sí | Especifica los nombres de las etiquetas que deseas aplicar a las amenazas especificadas en una lista separada por comas. Presta atención a las letras mayúsculas y minúsculas. |
Ejecutar en
Esta acción no se ejecuta en entidades.
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos | Opciones de valor |
---|---|
is_success | is_success=False |
is_success | is_success=True |
Muro de casos
Tipo de resultado | Valor/Descripción | Type (Entity \ General) |
---|---|---|
Mensaje de salida* | La acción no debe fallar ni detener la ejecución de una guía: Si no se encontraron algunas etiquetas correctamente: "No se encontraron las siguientes etiquetas en BlueLiv":+(unsuccessful_label names_list)+". Verifica los nombres de las etiquetas que proporcionaste en los parámetros de acción y vuelve a intentarlo". Si no se encontraron algunas amenazas: "No se encontraron las siguientes amenazas en BlueLiv":+(unsuccessful_threat_IDs)+". Comprueba los IDs de amenaza que proporcionaste en los parámetros de acción y vuelve a intentarlo". Si se realizó correctamente: "Se agregaron correctamente las siguientes etiquetas:" +(successful_label_names_list)+" a los siguientes IDs de amenazas: "+(successful_threat_IDs_list) La acción debería fallar y detener la ejecución de la guía: Si no se encontraron etiquetas correctamente: "No se encontró ninguna de las siguientes etiquetas en BlueLiv":+(unsuccessful_label names_list)+". Verifica los nombres de las etiquetas que proporcionaste en los parámetros de acción y vuelve a intentarlo". Si no se encontraron amenazas correctamente: "No se encontró ninguna de las siguientes amenazas en BlueLiv":+(unsuccessful_threat_IDs_list)+". Verifica los IDs de amenaza que proporcionaste en los parámetros de acción y vuelve a intentarlo". Si no se realiza correctamente: "No se pudo realizar la acción "Add Labels to Threats".format(exception.stacktrace)" |
General |
Quita etiquetas de las amenazas
Descripción
Con esta acción, se quitarán las etiquetas especificadas de los IDs de amenazas especificados.
Parámetros
Nombre | Valor predeterminado | Is Mandatory | Descripción |
---|---|---|---|
Tipo de módulo | N/A | Sí | Especifica el tipo de módulo al que pertenece el recurso. |
ID del módulo | Sí | Especifica el ID del módulo al que pertenece el recurso | |
ID de recurso | Sí | Especifica una lista separada por comas de los IDs de los recursos de los que deseas quitar etiquetas. | |
Nombres de las etiquetas | Sí | Especifica una lista de etiquetas separadas por comas que se deben quitar. Presta atención a las letras mayúsculas y minúsculas. |
Ejecutar en
Esta acción no se ejecuta en entidades.
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos | Opciones de valor |
---|---|
is_success | is_success=False |
is_success | is_success=True |
Muro de casos
Caso | Listo | Fail | Mensaje |
---|---|---|---|
Si no se encontraron algunas etiquetas | verdadero | falso | "No se encontraron las siguientes etiquetas en BlueLiv: \n {labels}. Verifica los nombres de las etiquetas que proporcionaste en los parámetros de acción y vuelve a intentarlo". |
Si no se encontraron algunas amenazas | verdadero | falso | No se encontraron las siguientes amenazas del módulo {module} {IDs de amenazas}: {IDs de amenazas}. Verifica los IDs de amenazas que proporcionaste en los parámetros de acción y vuelve a intentarlo. |
Si se ejecuta correctamente para algunos, haz lo siguiente: | verdadero | falso | Se quitaron correctamente las siguientes etiquetas de la siguiente amenaza {threat ID} en Blueliv: {successful_labels} |
Si algunas aún no se aplicaron, haz lo siguiente: | verdadero | falso | Las siguientes etiquetas ya no formaban parte de la amenaza {ID de amenaza} en Blueliv: {etiquetas que ya no formaban parte} |
Si no se encuentran etiquetas | falso | verdadero | Se produjo un error al ejecutar la acción "Remove Labels From Threats". Motivo: No se encontró ninguna de las etiquetas. Revisa la ortografía. |
Si no se encontraron amenazas | falso | verdadero | Se produjo un error al ejecutar la acción "Remove Labels From Threats". Motivo: No se encontraron amenazas. Revisa la ortografía. |
Error fatal, credenciales no válidas, raíz de la API | falso | verdadero | Se produjo un error al ejecutar la acción "Remove Labels From Threats". Motivo: {error traceback} |
Si el tipo o el ID del módulo no son válidos | falso | verdadero | Se produjo un error al ejecutar la acción "Remove Labels From Threats". Motivo: Se proporcionó un ID o un tipo de módulo no válidos. |
Enumera las amenazas a la entidad
Descripción
Enumera las amenazas relacionadas con las entidades en Blueliv. Entidades admitidas: Todas.
Limitaciones conocidas
Es posible que la API de Blueliv no devuelva ningún resultado, incluso si la cadena coincide exactamente con el nombre de la amenaza. A continuación, se muestra un ejemplo:
https://pastebin.com/YRkUCLGc: Se muestra la URL cuando se busca con la palabra clave "pastebin".
https://pastebin.com/YRkUCLGc no se muestra cuando se busca con la palabra clave "https://pastebin.com/YRkUCLGc".
Parámetros
Nombre visible del parámetro | Tipo | Valor predeterminado | Is Mandatory | Descripción |
---|---|---|---|---|
Filtro por etiqueta | CSV | N/A | No | Especifica una lista de etiquetas separadas por comas que se usarán para filtrar las amenazas. Nota: El filtro de etiquetas funciona con la lógica "OR". |
Filtro de módulos | CSV | N/A | No | Especifica una lista de módulos separados por comas que se utilizarán para filtrar las amenazas. |
Cantidad máxima de amenazas que se pueden devolver | Número entero | 50 | No | Especifica la cantidad de amenazas que se devolverán por entidad. Si no se especifica nada, la acción devolverá 50 amenazas. |
Ejecutar en
Esta acción se ejecuta en todas las entidades.
Resultados de la acción
Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos | Opciones de valor |
---|---|
is_success | is_success=False |
is_success | is_success=True |
Resultado de JSON
{
"id": xxxxxxx,
"module_id": xxxx,
"module_name": "Data Leakage",
"module_short_name": "xxx-xxxxx",
"module_type": "DATA_LEAKAGE",
"url": "xxx",
"content_type": "text/html",
"countries_id": "xx",
"analysis_result": "INFORMATIVE",
"analysis_calc_result": "INFORMATIVE",
"created_at": 1626163680000,
"checked_at": 1626163680000,
"changed_at": 1626163680000,
"user_rating": 0,
"read": true,
"fav": "NOT_STARRED",
"issued": false,
"labels": [
{
"id": 36116,
"name": "GithubCodeByFilename",
"background_color": 16777215,
"text_color": 0,
"type": "GLOBAL"
},
{
"id": 160,
"name": "Public",
"background_color": 45960,
"text_color": 16777215,
"type": "GLOBAL"
}
],
"tlpStatus": "AMBER",
"searchPhrase": "credit card",
"followedUp": false,
"history": []
},
Muro de casos
Tipo de resultado | Valor/Descripción | Type (Entity \ General) |
---|---|---|
Mensaje de salida* | La acción no debe fallar ni detener la ejecución de una guía: Si hay datos disponibles para uno(is_success = true): "Se enumeraron correctamente las amenazas disponibles para las siguientes entidades en Blueliv: {entity.identifier}". Si no hay amenazas para uno (is_success=true): "No se encontraron amenazas relacionadas para las siguientes entidades en Blueliv: {entity.identifier}" Si no hay amenazas para uno (is_success=true): "No se encontraron amenazas relacionadas con las entidades proporcionadas en Blueliv" La acción debería fallar y detener la ejecución de la guía: Si se produce un error fatal, como credenciales incorrectas, falta de conexión con el servidor o algún otro problema, se mostrará el mensaje "Error al ejecutar la acción "List Entity Threats"". Reason: {0}''.format(error.Stacktrace) |
General |
Tabla del muro de casos | Título: {entity.identifier} Nombre del módulo URL Título Etiquetas Fecha de creación |
Entidad |
Conector
BlueLiv, Threats Connector
Descripción
Extrae las amenazas de seguridad de BlueLiv. El conector recupera todas las amenazas más recientes de los módulos de BlueLiv.
Los filtros de lista blanca y lista negra funcionan con los tipos de módulos de BlueLiv. Por ejemplo, si solo quieres recibir amenazas de los módulos de hacktivismo, puedes activar la lista de entidades permitidas y escribir el nombre del tipo "Hacktivism".
Para cada tipo de módulo, se ingiere una estructura de datos diferente en Google SecOps. Modifica la asignación en tu instancia de Google SecOps para que se adapte mejor a tus necesidades. Asegúrate de consultar los diferentes valores de "event_type" para cada evento que se devuelve de BlueLiv.
En el caso del tipo de amenaza Malware, actualmente solo proporcionamos los datos básicos del evento. Pronto agregaremos un evento adicional para controlar mejor los datos especiales que provienen de un tipo de amenaza de malware.
Configura el conector de amenazas de BlueLiv en Google SecOps
Si quieres obtener instrucciones detalladas para configurar un conector en Google SecOps, consulta Cómo configurar el conector.
Parámetros del conector
Usa los siguientes parámetros para configurar el conector:
Nombre visible del parámetro | Tipo | Valor predeterminado | Is Mandatory | Descripción |
---|---|---|---|---|
Nombre del campo del producto | String | ProductName | Sí | Ingresa el nombre del campo de origen para recuperar el nombre del campo del producto. |
Nombre del campo del evento | String | event_type | Sí | Ingresa el nombre del campo de origen para recuperar el nombre del campo del evento. |
Nombre del campo del entorno | String | "" | No | Describe el nombre del campo en el que se almacena el nombre del entorno. Si no se encuentra el campo del entorno, se usa el entorno predeterminado. |
Patrón de expresión regular del entorno | String | .* | No | Es un patrón de regex que se ejecutará en el valor que se encuentra en el campo "Nombre del campo del entorno". El valor predeterminado es .* para capturar todo y devolver el valor sin cambios. Se usa para permitir que el usuario manipule el campo del entorno a través de la lógica de regex. Si el patrón de regex es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado. |
Tiempo de espera de la secuencia de comandos (segundos) | Número entero | 180 | Sí | Es el límite de tiempo de espera para el proceso de Python que ejecuta la secuencia de comandos actual. |
URL de API | String | https://example.blueliv.com/api/v2 | Sí | Es la raíz de la API de la instancia de BlueLiv. |
Nombre del usuario | String | N/A | Sí | Nombre de usuario de BlueLiv |
Contraseña | Contraseña | N/A | Sí | Contraseña de usuario de BlueLiv |
ID de la organización | String | N/A | Sí | Especifica el ID de la organización que se usará en BlueLiv. |
Recuperar horas máximas hacia atrás | Número entero | 1 | No | Cantidad de horas desde las que se recuperan los eventos. |
Cantidad máxima de amenazas que se pueden recuperar | Número entero | 10 | No | Cantidad de amenazas que se procesarán por iteración del conector. |
Gravedad | String | Medio | Sí | La gravedad será uno de los siguientes valores: Bajo, Medio, Alto o Crítico. |
Resultados del análisis para la transferencia | Cadena (valores: NOT_AVAILABLE, NOT_IMPORTANT, NOT_PROCESSABLE, POSITIVE, NEGATIVE, INFORMATIVE, IMPORTANT) | N/A | No | Filtra las amenazas según el análisis del analista sobre esta amenaza. Solo se incorporan las amenazas con el resultado del análisis elegido. Proporciona una lista separada por comas de los resultados del análisis deseados para la transferencia. |
Etiquetas por las que se puede filtrar | Cadena (lista separada por comas) | N/A | No | Proporciona una lista separada por comas de los nombres de las etiquetas por las que deseas filtrar. Presta atención a las letras mayúsculas y minúsculas, y escribe las etiquetas exactamente como aparecen en la IU de BlueLiv. |
Estado de lectura que se debe transferir | Cadena (valores: "Only Read", "Only Unread") | N/A | No | Filtra las amenazas según su estado de lectura para que el conector las ingiera según corresponda. Si no se proporciona ningún valor, recuperaremos ambos. Las opciones son "Solo lectura" y "Solo no leídos". |
¿Se deben ingerir solo las amenazas destacadas? | Casilla de verificación | Desmarcado | No | Si se marca, solo se incorporarán las amenazas destacadas (favoritas). |
¿Se deben ingerir las amenazas relacionadas con los incidentes? | Cadena (valores: Only Incidents, Only Non Incidents) | N/A | No | Indica si el conector debe filtrar las amenazas verificando la relación con un incidente. Si no se proporciona ningún valor, recuperaremos ambos. Las opciones son: Only Incidents (Solo incidentes): Solo se incorporarán amenazas relacionadas con incidentes. Only Non Incidents (Solo no incidentes): Solo se incorporarán amenazas que no estén relacionadas con incidentes. |
Usar la lista blanca como lista negra | Casilla de verificación | Desmarcado | Sí | Si se habilita, la lista de entidades permitidas se usará como lista de entidades bloqueadas. |
Verificar SSL | Casilla de verificación | Desmarcado | Sí | Si está habilitada, verifica que el certificado SSL para la conexión al servidor de BlueLiv sea válido. |
Dirección del servidor proxy | String | N/A | No | Es la dirección del servidor proxy que se usará. |
Nombre de usuario del proxy | String | N/A | No | Nombre de usuario del proxy con el que se realizará la autenticación. |
Contraseña de proxy | Contraseña | N/A | No | Contraseña del proxy para la autenticación. |
Reglas del conector
Compatibilidad con proxy
El conector admite proxy.
¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.