BlueLiv

Version de l'intégration : 8.0

Guide d'intégration

L'objectif de l'intégration est d'ingérer les menaces de BlueLiv, en utilisant les filtres appropriés pour n'afficher que les menaces souhaitées dans Google Security Operations, à l'aide du connecteur de menaces, puis d'effectuer des actions supplémentaires sur ces menaces en fonction des cas d'utilisation concernés.

Ce guide de démarrage rapide vous présente quelques éléments pour faciliter l'utilisation de l'intégration pour les clients Google SecOps.

Configuration de l'intégration

Nous allons passer en revue les paramètres et vous montrer où les trouver pour vous aider à configurer l'intégration :

  • URL racine de l'API : il s'agit de l'URL que vous utilisez pour afficher la page d'accueil BlueLiv, lorsque le suffixe /api/v2 y est ajouté. Par exemple, https://tcdach.blueliv.com/api/v2 doit être la valeur de ce paramètre.
  • Nom d'utilisateur : le même que celui que vous utilisez pour vous connecter à la page d'accueil BlueLiv.
  • Mot de passe : le même mot de passe que celui que vous utilisez pour vous connecter à la page d'accueil BlueLiv.
  • ID de l'organisation : vous pouvez facilement identifier l'ID de l'organisation dans l'URL que vous utilisez pour parcourir le produit. Par exemple :

    Dans cet exemple, l'ID de l'organisation est 117 :

    https://tcdach.blueliv.com/dashboard/organizations/117/indexed

Après avoir examiné les paramètres d'intégration, nous pouvons approfondir les autres termes de notre intégration.

Types de modules

BlueLiv a divisé la section des menaces en types de modules. Dans cette intégration, nous utilisons ces types pour aider la plate-forme SOAR et n'ingérer que les informations pertinentes si vous souhaitez filtrer par type de module. Les types de modules suivants sont actuellement disponibles dans BlueLiv :

  • Identifiants
  • Réseaux sociaux
  • Cartes de crédit
  • Protection du domaine
  • Logiciels malveillants
  • Fuite de données
  • Hacktivisme
  • Dark Web
  • Personnalisé
  • Media Tracker
  • Applications mobiles

ID de la menace et ID du module

https://tcdach.blueliv.com/dashboard/organizations/117/modules/1303/resource/31024379

Chaque menace que vous pouvez trouver dans BlueLiv possède un UID, un numéro qui la représente. Vous pouvez également l'identifier facilement dans l'URL. Une menace est également appelée ressource. Par exemple, l'UID de la menace est 31024379.

De plus, chaque module que vous avez sur BlueLiv possède un UID, un numéro qui le représente. Par exemple, l'UID de la menace est 1303.

Recommandation concernant la configuration

Blueliv n'autorise qu'une seule session ouverte à la fois. Pour des raisons de stabilité, il est recommandé d'utiliser différents utilisateurs pour la configuration de l'intégration et les connecteurs. Remarque : Chaque connecteur nécessite un utilisateur distinct.

Cas d'utilisation

  1. Surveillance proactive des cybermenaces
  2. Protection de la marque
  3. Protection contre les violations de données
  4. Prévention des fraudes
  5. Détection des contrefaçons

Configurer l'intégration BlueLiv dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom du paramètre à afficher Type Valeur par défaut Obligatoire Description
Racine de l'API Chaîne

https://example
.blueliv.com/api/v2

Oui Racine de l'API de l'instance BlueLiv.
Nom de l’utilisateur Chaîne N/A Oui Nom d'utilisateur BlueLiv.
Mot de passe Mot de passe N/A Oui Mot de passe de l'utilisateur
ID de l'organisation Chaîne N/A Oui Spécifier l'ID d'organisation à utiliser dans BlueLiv
Vérifier le protocole SSL Case à cocher Décochée Oui Si cette option est activée, elle vérifie que le certificat SSL pour la connexion au serveur IronScales est valide.

Actions

Ping

Description

Testez la connectivité à BlueLiv avec les paramètres fournis sur la page de configuration de l'intégration dans l'onglet "Marketplace" de Google Security Operations.

Paramètres

N/A

Exécuter sur

L'action ne s'exécute pas sur les entités et ne comporte pas de paramètres d'entrée obligatoires.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Type de résultat Valeur / Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si les deux appels d'API ont réussi : "Connexion au serveur BlueLiv établie avec succès avec les paramètres de connexion fournis !"

L'action doit échouer et arrêter l'exécution d'un playbook :

Si seul le premier appel a fonctionné et que le second n'a pas abouti : "La connexion avec le nom d'utilisateur et le mot de passe a réussi, mais il semble que l'ID de l'organisation soit incorrect. Veuillez vérifier le paramètre "ID de l'organisation" sur la page de configuration de l'intégration, puis réessayer.

Si l'opération échoue : "Échec de la connexion à BlueLiv ! Error is {0}".format(exception.stacktrace)

Général

Enrichir les entités

Description

Enrichissez les entités à l'aide des informations du module "Threat Context" (Contexte des menaces) de Blueliv. Entités acceptées : adresse IP, hachage, URL, acteur malveillant, campagne de menaces, signature de menace, domaine, CVE.

Paramètres

Nom Valeur par défaut Obligatoire Description
Score le plus bas à marquer comme suspect 5 Oui Spécifiez le score le plus bas pour que l'entité soit marquée comme suspecte. Maximum : 10.
Créer un insight Vrai Non Si cette option est activée, l'action créera des insights contenant des informations sur les entités.

Exécuter sur

Cette action s'applique aux entités suivantes :

  • Adresse IP
  • Hash
  • URL
  • Acteur malveillant
  • Campagne de menaces
  • Signature de menace
  • CVE
Résultats de l'action
Résultat du script
Nom du résultat du script Options de valeur Exemple
success Vrai/Faux success:False
Mur des cas
Cas Opération réussie Échec Message
Si certaines entités ont été enrichies vrai faux Les entités suivantes ont été enrichies avec succès à l'aide des informations de Blueliv : {entity.identifier}
Si certains vrai faux L'action n'a pas pu enrichir les entités suivantes à l'aide des informations de Blueliv : {entity.identifier}
si tous les éléments non enrichis faux faux Aucune entité n'a été enrichie à l'aide d'informations provenant de Blueliv.
Erreur fatale, identifiants non valides, racine de l'API faux vrai Erreur lors de l'exécution de l'action "Enrichir les entités". Motif : {error traceback}
Si le module "Contexte de la menace" n'est pas disponible faux Vrai Erreur lors de l'exécution de l'action "Enrichir les entités". Raison : votre instance n'est pas compatible avec le module "Contexte des menaces".

Ajouter un commentaire à une menace

Description

Cette action permet d'ajouter un commentaire textuel à une menace spécifique.

Paramètres

Nom du paramètre à afficher Type Valeur par défaut Obligatoire Description
Type de module Chaîne N/A Oui Spécifiez le type de module auquel appartient la ressource.
ID du module Chaîne N/A Oui Spécifiez l'ID du module auquel appartient la ressource.
ID de ressource Chaîne N/A Oui Spécifiez l'ID de ressource auquel ajouter le commentaire.
Texte du commentaire Chaîne N/A Oui Indiquez le commentaire que vous souhaitez ajouter à la ressource.

Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action
Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Type de résultat Valeur/Description Type (Entité \ Général)
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si l'opération réussit : "Commentaire ajouté à l'ID de menace : "+{threat_ID}

L'action doit échouer et arrêter l'exécution d'un playbook :

En cas d'échec : "Échec de l'action "Ajouter un commentaire à une menace {0}".format(exception.stacktrace)

Général
Table du mur des cas

Nom : "Commentaires sur l'ID de menace "+{threat_id}+" :

Colonne :

  • Ligne de commentaires
  • ID du commentaire
  • Contenu
  • Date de création
  • Commentateur

Marquer une menace comme favorite

Description

Cette action marquera la menace spécifiée comme menace favorite dans BlueLiv.

Paramètres

Nom du paramètre à afficher Type Valeur par défaut Valeurs LDD Obligatoire Description
Type de module Chaîne N/A Oui Spécifiez le type de module auquel appartient la ressource.
ID du module Chaîne N/A Oui Spécifiez l'ID du module auquel appartient la ressource.
ID de ressource Chaîne N/A Oui Spécifiez l'ID de ressource auquel ajouter le commentaire.
État favori LDD Suivi par l'utilisateur

Non suivi

Suivi par l'utilisateur

Groupe favori

Suivis

Oui Indiquez l'état "Favori" que vous souhaitez appliquer à la menace spécifiée.

Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action
Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Type de résultat Valeur/Description Type (Entité \ Général)
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si l'opération réussit : "L'ID de menace "+{threat_ID}+" a bien été marqué comme favori"

L'action doit échouer et arrêter l'exécution d'un playbook :

En cas d'échec : "Échec de l'action "Marquer la menace comme favorite {0}".format(exception.stacktrace)

Général

Ajouter des libellés aux menaces

Description

Cette action ajoute le nom du libellé spécifié aux ID de menace spécifiés.

Paramètres

Nom du paramètre à afficher Type Valeur par défaut Obligatoire Description
Type de module Chaîne N/A Oui Spécifiez le type de module auquel appartient la ressource.
ID du module Chaîne N/A Oui Spécifiez l'ID du module auquel appartient la ressource.
ID de ressource Chaîne N/A Oui Spécifiez les ID de ressources dans une liste séparée par des virgules pour ajouter les libellés.
Noms des libellés Chaîne N/A Oui Spécifiez les noms des libellés que vous souhaitez appliquer aux menaces indiquées, dans une liste de valeurs séparées par des virgules. Veuillez faire attention aux majuscules et aux minuscules.

Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action
Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Type de résultat Valeur/Description Type (Entité \ Général)
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si certains libellés n'ont pas été trouvés : "Impossible de trouver les libellés suivants dans BlueLiv : +(unsuccessful_label names_list)+. Veuillez vérifier les noms de libellés que vous avez fournis dans les paramètres de l'action et réessayer."

Si certaines menaces n'ont pas été trouvées : "Impossible de trouver les menaces suivantes dans BlueLiv : +(unsuccessful_threat_IDs)+. Veuillez vérifier les ID de menace que vous avez fournis dans les paramètres de l'action et réessayer."

Si l'opération a réussi :"Les libellés suivants ont bien été ajoutés :" +(successful_label_names_list)+ " aux ID de menace suivants : " +(successful_threat_IDs_list)

L'action doit échouer et arrêter l'exécution d'un playbook :

Si aucun libellé n'a été trouvé : "Impossible de trouver les libellés suivants dans BlueLiv : +(unsuccessful_label names_list)+. Veuillez vérifier les noms de libellés que vous avez fournis dans les paramètres de l'action et réessayer."

Si aucune menace n'a été détectée : "Aucune des menaces suivantes n'a été trouvée dans BlueLiv : +(unsuccessful_threat_IDs_list)+. Veuillez vérifier les ID de menace que vous avez fournis dans les paramètres de l'action et réessayer."

En cas d'échec : "Échec de l'action "Ajouter des libellés aux menaces".format(exception.stacktrace)

Général

Supprimer des libellés des menaces

Description

Cette action supprimera les libellés spécifiés des ID de menace spécifiés.

Paramètres
Nom Valeur par défaut Obligatoire Description
Type de module N/A Oui Spécifiez le type de module auquel appartient la ressource.
ID du module Oui Spécifiez l'ID du module auquel appartient la ressource.
ID de ressource Oui Spécifiez une liste d'ID de ressources séparés par une virgule pour lesquelles vous souhaitez supprimer des libellés.
Noms des libellés Oui Spécifiez une liste de libellés à supprimer, séparés par une virgule. Veuillez faire attention aux majuscules et aux minuscules.

Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action
Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Mur des cas
Cas Opération réussie Échec Message
Si certains libellés n'ont pas été trouvés vrai faux "Impossible de trouver les libellés suivants dans BlueLiv : \n {labels}. Veuillez vérifier les noms d'étiquettes que vous avez fournis dans les paramètres de l'action, puis réessayer."
Si certaines menaces n'ont pas été détectées vrai faux Impossible de trouver les menaces suivantes dans le module {module} {threat IDs} : {threat IDs}. Veuillez vérifier les ID de menace que vous avez fournis dans les paramètres de l'action, puis réessayez.
Si l'opération réussit pour certains : vrai faux Les libellés suivants ont bien été supprimés de la menace {threat ID} dans Blueliv : {successful_labels}
Si certaines n'ont pas encore été appliquées : vrai faux Les libellés suivants ne faisaient déjà pas partie de la menace {threat ID} dans Blueliv : {labels already not a part}
Si aucun libellé n'est trouvé faux vrai Erreur lors de l'exécution de l'action "Supprimer les libellés des menaces". Motif : Aucun des libellés n'a été trouvé. Veuillez vérifier l'orthographe.
Si aucune menace n'a été détectée faux vrai Erreur lors de l'exécution de l'action "Supprimer les libellés des menaces". Motif : Aucune menace n'a été détectée. Veuillez vérifier l'orthographe.
Erreur fatale, identifiants non valides, racine de l'API faux vrai Erreur lors de l'exécution de l'action "Supprimer les libellés des menaces". Motif : {error traceback}
Si le type ou l'ID du module ne sont pas valides faux vrai Erreur lors de l'exécution de l'action "Supprimer les libellés des menaces". Raison : un ID ou un type de module non valides ont été fournis.

Lister les menaces d'entité

Description

Lister les menaces liées aux entités dans Blueliv. Toutes les entités sont acceptées.

Limitations connues

L'API Blueliv peut ne renvoyer aucun résultat, même si la chaîne correspond exactement au nom de la menace. Voici un exemple :

https://pastebin.com/YRkUCLGc : l'URL s'affiche lorsque vous effectuez une recherche à l'aide du mot clé "pastebin".

https://pastebin.com/YRkUCLGc ne s'affiche pas lorsque vous effectuez une recherche à l'aide du mot clé "https://pastebin.com/YRkUCLGc".

Paramètres

Nom du paramètre à afficher Type Valeur par défaut Obligatoire Description
Filtre d'étiquette CSV N/A Non Spécifiez une liste de libellés séparés par une virgule qui seront utilisés pour filtrer les menaces. Remarque : Le filtre de libellé fonctionne avec la logique "OR".
Filtre de module CSV N/A Non Spécifiez une liste de modules séparés par une virgule, qui seront utilisés pour filtrer les menaces.
Nombre maximal de menaces à renvoyer Integer 50 Non Indiquez le nombre de menaces à renvoyer par entité. Si rien n'est spécifié, l'action renvoie 50 menaces.

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action
Résultat du script
Nom du résultat du script Options de valeur
is_success is_success=False
is_success is_success=True
Résultat JSON
{
    "id": xxxxxxx,
    "module_id": xxxx,
    "module_name": "Data Leakage",
    "module_short_name": "xxx-xxxxx",
    "module_type": "DATA_LEAKAGE",
    "url": "xxx",
    "content_type": "text/html",
    "countries_id": "xx",
    "analysis_result": "INFORMATIVE",
    "analysis_calc_result": "INFORMATIVE",
    "created_at": 1626163680000,
    "checked_at": 1626163680000,
    "changed_at": 1626163680000,
    "user_rating": 0,
    "read": true,
    "fav": "NOT_STARRED",
    "issued": false,
    "labels": [
        {
            "id": 36116,
            "name": "GithubCodeByFilename",
            "background_color": 16777215,
            "text_color": 0,
            "type": "GLOBAL"
        },
        {
            "id": 160,
            "name": "Public",
            "background_color": 45960,
            "text_color": 16777215,
            "type": "GLOBAL"
        }
    ],
    "tlpStatus": "AMBER",
    "searchPhrase": "credit card",
    "followedUp": false,
    "history": []
},
Mur des cas
Type de résultat Valeur/Description Type (Entité \ Général)
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si des données sont disponibles(is_success = true) : "Les menaces disponibles pour les entités suivantes dans Blueliv ont été listées avec succès : {entity.identifier}".

Si aucune menace n'est détectée (is_success=true) : "Aucune menace associée n'a été trouvée pour les entités suivantes dans Blueliv : {entity.identifier}"

Si aucune menace n'est détectée (is_success=true) : "Aucune menace associée aux entités fournies n'a été trouvée dans Blueliv"

L'action doit échouer et arrêter l'exécution d'un playbook :

Si une erreur fatale se produit (par exemple, des identifiants incorrects, une absence de connexion au serveur, etc.) : "Erreur lors de l'exécution de l'action "Lister les menaces pour l'entité". Raison : {0}''.format(error.Stacktrace)

Général
Tableau du mur des cas

Titre : {entity.identifier}

Nom du module

URL

Titre

Étiquettes

Création le

Entité

Connecteur

BlueLiv – Connecteur de menaces

Description

Extrayez les menaces de sécurité de BlueLiv. Le connecteur récupère toutes les dernières menaces des modules BlueLiv.

Les filtres de liste blanche et de liste noire fonctionnent avec les types de modules BlueLiv. Par exemple, si vous ne souhaitez obtenir que les menaces provenant des modules Hacktivism, vous pouvez activer la liste blanche et saisir le nom du type "Hacktivism".

Pour chaque type de module, la structure des données ingérées dans Google SecOps est différente. Veuillez modifier le mappage dans votre instance Google SecOps pour l'adapter au mieux à vos besoins. Veuillez vous assurer de consulter les différentes valeurs "event_type" pour chaque événement renvoyé par BlueLiv.

Pour le type de menace Logiciel malveillant, nous ne fournissons actuellement que les données d'événement de base. Nous ajouterons très prochainement un événement supplémentaire pour mieux gérer les données spécifiques renvoyées par un type de menace Malware.

Configurer le connecteur BlueLiv – Threats dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'un connecteur dans Google SecOps, consultez Configurer le connecteur.

Paramètres du connecteur

Utilisez les paramètres suivants pour configurer le connecteur :

Nom du paramètre à afficher Type Valeur par défaut Obligatoire Description
Nom du champ de produit Chaîne ProductName Oui Saisissez le nom du champ source pour récupérer le nom du champ produit.
Nom du champ d'événement Chaîne event_type Oui Saisissez le nom du champ source pour récupérer le nom du champ d'événement.
Nom du champ "Environnement" Chaîne "" Non

Décrit le nom du champ dans lequel le nom de l'environnement est stocké.

Si le champ "environment" (environnement) est introuvable, l'environnement est celui par défaut.

Modèle d'expression régulière de l'environnement Chaîne .* Non

Expression régulière à exécuter sur la valeur trouvée dans le champ "Nom du champ d'environnement".

La valeur par défaut est ".*" pour tout capturer et renvoyer la valeur inchangée.

Permet à l'utilisateur de manipuler le champ "environnement" à l'aide de la logique des expressions régulières.

Si le modèle d'expression régulière est nul ou vide, ou si la valeur d'environnement est nulle, l'environnement par défaut est utilisé comme résultat final.

Délai avant expiration du script (en secondes) Integer 180 Oui Délai avant expiration du processus Python exécutant le script actuel.
URL de l'API Chaîne https://example.blueliv.com/api/v2 Oui Racine de l'API de l'instance BlueLiv.
Nom de l’utilisateur Chaîne N/A Oui Nom d'utilisateur pour BlueLiv
Mot de passe Mot de passe N/A Oui Mot de passe utilisateur pour BlueLiv
ID de l'organisation Chaîne N/A Oui Spécifier l'ID d'organisation à utiliser dans BlueLiv
Récupérer les heures Max en arrière Integer 1 Non Nombre d'heures à partir desquelles récupérer les événements.
Nombre maximal de menaces à récupérer Integer 10 Non

Nombre de menaces à traiter par itération de connecteur.
 Remarque : La valeur maximale est de 100.

Gravité Chaîne Moyenne Oui

La gravité sera l'une des valeurs suivantes : faible, moyenne, élevée ou critique.
Elle sera attribuée aux alertes Google SecOps créées à partir de ce connecteur.

Résultats d'analyse à ingérer Chaîne (valeurs : NOT_AVAILABLE, NOT_IMPORTANT, NOT_PROCESSABLE, POSITIVE, NEGATIVE, INFORMATIVE, IMPORTANT) N/A Non

Filtrez les menaces en fonction de l'analyse de l'analyste pour cette menace et n'ingérez que les menaces avec le résultat d'analyse choisi. Fournissez une liste séparée par des virgules des résultats d'analyse souhaités à ingérer.
Valeurs possibles : NOT_AVAILABLE, NOT_IMPORTANT, NOT_PROCESSABLE, POSITIVE, NEGATIVE, INFORMATIVE, IMPORTANT

Libellés à utiliser pour le filtrage Chaîne (liste séparée par des virgules) N/A Non Veuillez fournir une liste de noms de libellés séparés par une virgule selon lesquels vous souhaitez filtrer les résultats. Veuillez faire attention aux majuscules et aux minuscules, et écrire les libellés exactement tels qu'ils apparaissent dans l'UI BlueLiv.
État de lecture à ingérer Chaîne (valeurs : "Only Read", "Only Unread") N/A Non Filtrez les menaces en fonction de leur état de lecture afin que le connecteur les ingère en conséquence. Si aucune valeur n'est fournie, nous récupérons les deux. Options : "Uniquement lu", "Uniquement non lu".
Ingérer uniquement les menaces signalées ? Case à cocher Décochée Non Si cette case est cochée, seules les menaces marquées comme favorites seront ingérées.
Faut-il ingérer les menaces liées aux incidents ? Chaîne (valeurs : "Incidents uniquement", "Non-incidents uniquement") N/A Non Le connecteur doit filtrer les menaces en vérifiant leur relation avec un incident. Si aucune valeur n'est fournie, nous récupérons les deux. Les options sont les suivantes : "Only Incidents" (Incidents uniquement) : n'ingère que les menaces liées aux incidents. "Only Non Incidents" (Non-incidents uniquement) : n'ingère que les menaces qui ne sont pas liées aux incidents.
Utiliser la liste blanche comme liste noire Case à cocher Décochée Oui Si cette option est activée, la liste blanche sera utilisée comme liste noire.
Vérifier le protocole SSL Case à cocher Décochée Oui Si cette option est activée, vérifiez que le certificat SSL pour la connexion au serveur BlueLiv est valide.
Adresse du serveur proxy Chaîne N/A Non Adresse du serveur proxy à utiliser.
Nom d'utilisateur du proxy Chaîne N/A Non Nom d'utilisateur du proxy pour l'authentification.
Mot de passe du proxy Mot de passe N/A Non Mot de passe du proxy pour l'authentification.

Règles du connecteur

Assistance de proxy

Le connecteur est compatible avec le proxy.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.