Cisco Vulnerability Management in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Cisco Vulnerability Management in Google Security Operations (Google SecOps) einbinden.

Anwendungsbereiche

Erhalten Sie die Kontextinformationen und Threat Intelligence, die Sie benötigen, um den nächsten Exploit abzufangen und präzise darauf zu reagieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Parametername Typ Standardwert Ist obligatorisch Beschreibung
API-Stamm String Ja Der API-Stamm der Cisco Vulnerability Management-Integration.
API-Token Passwort Ja Das API-Token der Cisco Vulnerability Management-Integration.
SSL überprüfen bool Aktiviert Ja Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zu Cisco Vulnerability Management hergestellt wird. Standardmäßig ausgewählt.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Ping

Testen Sie die Verbindung zu Cisco Vulnerability Management.

Parameter

–

Ausführen am

Die Aktion verwendet keine Entitäten und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
Fall-Repository
Ergebnistyp Beschreibung Typ
Ausgabenachricht* Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
Bei Erfolg:
print "Successfully connected to the Cisco Vulnerability Management server with the provided connection parameters!"

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:
If not successful:
print "Failed to connect to the Cisco Vulnerability Management server! Error is {0}".format(exception.stacktrace)		 Allgemein

Entitäten anreichern

Entitäten mit Informationen aus Cisco Vulnerability Management anreichern.

Parameter

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Externe ID CSV Nein Durch Kommas getrennte Liste der mit einem Asset verknüpften externen IDs. Assets, die nach externer ID gesucht werden, werden parallel zu Entitäten gesucht.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • CVE
  • IP-Adresse
  • Hostname

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
{
   "Entity": "Entity",
   "EntityResult":
       {
           "id": 1177,
           "status": "open",
           "closed_at": null,
           "created_at": "2025-02-06T09:00:16Z",
           "due_date": "2024-09-03",
           "notes": "Unknown",
           "port": [],
           "priority": 10,
           "identifiers": [
               "CVE-2024-38107"
           ],
           "last_seen_time": "2025-02-06T08:59:24.000Z",
           "scanner_score": null,
           "fix_id": 2692956,
           "scanner_vulnerabilities": [
               {
                   "port": null,
                   "external_unique_id": "CVE-2024-38107",
                   "open": true
               }
           ],
           "asset_id": 101,
           "connectors": [
               {
                   "id": 160084,
                   "name": "Custom CSV",
                   "connector_definition_name": "Custom CSV",
                   "vendor": "Cisco"
               }
           ],
           "service_ticket": null,
           "urls": {
               "asset": "api.trial1.eu.kennasecurity.com/assets/101"
           },
           "solution": "The following products are affected by this vulnerability:<ul><li><i>Operating System</i> <b>microsoft windows_10_1507</b></li><li><i>Operating System</i> <b>microsoft windows_10_1607</b></li><li><i>Operating System</i> <b>microsoft windows_10_1809</b></li><li><i>Operating System</i> <b>microsoft windows_10_21h2</b></li><li><i>Operating System</i> <b>microsoft windows_10_22h2</b></li><li><i>Operating System</i> <b>microsoft windows_11_21h2</b></li><li><i>Operating System</i> <b>microsoft windows_11_22h2</b></li><li><i>Operating System</i> <b>microsoft windows_11_23h2</b></li><li><i>Operating System</i> <b>microsoft windows_11_24h2</b></li><li><i>Operating System</i> <b>microsoft windows_server_2012</b></li><li><i>Operating System</i> <b>microsoft windows_server_2016</b></li><li><i>Operating System</i> <b>microsoft windows_server_2019</b></li><li><i>Operating System</i> <b>microsoft windows_server_2022</b></li><li><i>Operating System</i> <b>microsoft windows_server_2022_23h2</b></li></ul>The following remediations or software updates can fix your system:<ul><li><b>windows_11_24h2</b> version needs to be updated to version 10.0.26100.1457 or greater.</li><li><b>windows_server_2022_23h2</b> version needs to be updated to version 10.0.25398.1085 or greater.</li><li><b>Windows 10 Version 20H2 Build 10240</b> needs to be patched with: <a href=\"https://support.microsoft.com/en-in/help/5041782\">5041782</a>.</li><li><b>Windows 10 Version 1607 Build 14393</b> needs to be patched with: <a href=\"https://support.microsoft.com/en-in/help/5041773\">5041773</a>.</li><li><b>Windows 10 Version 1809 Build 17763</b> needs to be patched with: <a href=\"https://support.microsoft.com/en-in/help/5041578\">5041578</a>.</li><li><b>Windows 10 Version 21H2 Build 19044</b> needs to be patched with: <a href=\"https://support.microsoft.com/en-in/help/5041580\">5041580</a>.</li><li><b>Windows 10 Version 22H2 Build 19045</b> needs to be patched with: <a href=\"https://support.microsoft.com/en-in/help/5041580\">5041580</a>.</li><li><b>Windows 11 Version 21H2 Build 22000</b> needs to be patched with: <a href=\"https://support.microsoft.com/en-in/help/5041592\">5041592</a>.</li><li><b>Windows 11 Version 22H2 Build 22621</b> needs to be patched with: <a href=\"https://support.microsoft.com/en-in/help/5041585\">5041585</a>.</li><li><b>Windows 11 Version 23H2 Build 22631</b> needs to be patched with: <a href=\"https://support.microsoft.com/en-in/help/5041585\">5041585</a>.</li><li><b>Windows Server 2012</b> needs to be patched with: <a href=\"https://support.microsoft.com/en-in/help/5041851\">5041851</a>.</li><li><b>Windows Server 2012 R2</b> needs to be patched with: <a href=\"https://support.microsoft.com/en-in/help/5041828\">5041828</a>.</li><li><b>Windows Server 2016</b> needs to be patched with: <a href=\"https://support.microsoft.com/en-in/help/5041773\">5041773</a>.</li><li><b>Windows Server 2019</b> needs to be patched with: <a href=\"https://support.microsoft.com/en-in/help/5041578\">5041578</a>.</li><li><b>Windows Server 2022 Build 20348</b> needs to be patched with: <a href=\"https://support.microsoft.com/en-in/help/5041160\">5041160</a>.</li></ul>Refer to these referenced URL(s) for more information on remediation:<br/><ul><li><a href=\"https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38107\">https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38107</a></li></ul>",
           "patch": true,
           "patch_published_at": "2024-08-13T18:15:10.000Z",
           "cve_id": "CVE-2024-38107",
           "cve_description": "Windows Power Dependency Coordinator Elevation of Privilege Vulnerability",
           "cve_published_at": "2024-08-13T18:15:10.000Z",
           "description": null,
           "wasc_id": null,
           "severity": 7,
           "threat": 3,
           "popular_target": false,
           "active_internet_breach": false,
           "easily_exploitable": false,
           "malware_exploitable": false,
           "remote_code_execution": false,
           "predicted_exploitable": false,
           "platform_types": [
               "operating system"
           ],
           "cvss_v2": {
               "exploit_subscore": 3.1,
               "impact_subscore": 10.0,
               "score": 6.8,
               "temporal_score": 5.6
           },
           "cvss_v3": {
               "exploit_subscore": 1.8,
               "impact_subscore": 5.9,
               "score": 7.8
           },
           "custom_fields": [],
           "first_found_on": "2024-08-13T00:00:00Z",
           "top_priority": false,
           "risk_meter_score": 28,
           "closed": false
       }

}
Entitätsanreicherung

Präfix: CiscoVM_

Name des Anreicherungsfelds Logik – Wann anwenden
Priorität Wenn in JSON verfügbar
die Ausprägung Wenn in JSON verfügbar
Bedrohung Wenn in JSON verfügbar
Lösung Wenn in JSON verfügbar
patch_available Wenn in JSON verfügbar
Beschreibung Wenn in JSON verfügbar
published_at Wenn in JSON verfügbar
risk_score Wenn in JSON verfügbar
Asset für Anreicherungstabelle

Präfix: CiscoVM_

Name des Anreicherungsfelds Logik – Wann anwenden
os Wenn in JSON verfügbar
Priorität Wenn in JSON verfügbar
vulnerabilities_count Wenn in JSON verfügbar
Status Wenn in JSON verfügbar
last_seen_time Wenn in JSON verfügbar
Tags Wenn in JSON verfügbar
ip_address Wenn in JSON verfügbar
Hostname Wenn in JSON verfügbar
fqdn Wenn in JSON verfügbar
risk_score Wenn in JSON verfügbar
asset_groups Wenn in JSON verfügbar
Fall-Repository
Ergebnistyp Beschreibung Typ
Ausgabenachricht* Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:

Wenn Daten für eine Entität verfügbar sind (is_success = true):
Geben Sie „Die folgenden Entitäten wurden in Cisco Verwaltung von Sicherheitslücken erfolgreich angereichert: {entity.identifier}“ aus.

Wenn für eine Entität keine Daten verfügbar sind (is_success=true):
print "The action wasn't able to enrich the following entities in Cisco Verwaltung von Sicherheitslücken: {entity.identifier}"

Wenn für alle Entitäten keine Daten verfügbar sind (is_success=false):
No information was found for the provided entities.

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges:
print "Error executing action "Enrich Entities". Reason: {0}''.format(error.Stacktrace)		 Allgemein

Asset aktualisieren

Asset-Informationen, die mit Google SecOps-Entitäten verknüpft sind, aus Cisco Verwaltung von Sicherheitslücken aktualisieren.

Parameter

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Externe ID CSV Nein Durch Kommas getrennte Liste der mit einem Asset verknüpften externen IDs. Assets, die nach externer ID gesucht werden, werden parallel zu Entitäten gesucht.
Status DDL Wählen Sie eine Option aus

Mögliche Werte:
  • Aktiv
  • Inaktiv
  • Wählen Sie eine Option aus.
 Nein Status des Assets.
Notiz String Nein Notiz für das Asset.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • IP-Adresse
  • Hostname

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False

Fall-Repository

Ergebnistyp Beschreibung Typ
Ausgabenachricht* Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:

Wenn Daten für eine Entität verfügbar sind (is_success = true):
print „Die folgenden Entitäten wurden in Cisco Verwaltung von Sicherheitslücken erfolgreich aktualisiert: {entity.identifier}“.

Wenn 1 Entität nicht gefunden wurde (is_success=true):
print "The action wasn't able to update the following entities in Cisco Verwaltung von Sicherheitslücken: {entity.identifier}"

Wenn für alle keine Daten verfügbar sind (is_success=false):
None of the provided entities were updated.


Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges:
print "Error executing action "Update Asset". Reason: {0}''.format(error.Stacktrace)		 Allgemein

Asset-Sicherheitslücken auflisten

Informationen zu Sicherheitslücken im Zusammenhang mit Entitäten aus Cisco Vulnerability Management zurückgeben.

Parameter

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Externe ID CSV Nein Durch Kommas getrennte Liste der mit einem Asset verknüpften externen IDs. Assets, die nach externer ID gesucht werden, werden parallel zu Entitäten gesucht.
Niedrigste zurückzugebende Risikobewertung Integer Nein Risiko-Score, der mit Sicherheitslücken verknüpft ist. Wenn angegeben, werden alle Sicherheitslücken herausgefiltert, die eine niedrigere Risikobewertung als die in „Lowest Risk Score To Return“ angegebene haben.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • IP-Adresse
  • Hostname

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
{
   "Entity": "Entity",
   "EntityResult": [
       {
           "id": 1177,
           "status": "open",
           "closed_at": null,
           "created_at": "2025-02-06T09:00:16Z",
           "due_date": "2024-09-03",
           "notes": "Unknown",
           "port": [],
           "priority": 10,
           "identifiers": [
               "CVE-2024-38107"
           ],
           "last_seen_time": "2025-02-06T08:59:24.000Z",
           "scanner_score": null,
           "fix_id": 2692956,
           "scanner_vulnerabilities": [
               {
                   "port": null,
                   "external_unique_id": "CVE-2024-38107",
                   "open": true
               }
           ],
           "asset_id": 101,
           "connectors": [
               {
                   "id": 160084,
                   "name": "Custom CSV",
                   "connector_definition_name": "Custom CSV",
                   "vendor": "Cisco"
               }
           ],
           "service_ticket": null,
           "urls": {
               "asset": "api.trial1.eu.kennasecurity.com/assets/101"
           },
           "solution": "The following products are affected by this vulnerability:<ul><li><i>Operating System</i> <b>microsoft windows_10_1507</b></li><li><i>Operating System</i> <b>microsoft windows_10_1607</b></li><li><i>Operating System</i> <b>microsoft windows_10_1809</b></li><li><i>Operating System</i> <b>microsoft windows_10_21h2</b></li><li><i>Operating System</i> <b>microsoft windows_10_22h2</b></li><li><i>Operating System</i> <b>microsoft windows_11_21h2</b></li><li><i>Operating System</i> <b>microsoft windows_11_22h2</b></li><li><i>Operating System</i> <b>microsoft windows_11_23h2</b></li><li><i>Operating System</i> <b>microsoft windows_11_24h2</b></li><li><i>Operating System</i> <b>microsoft windows_server_2012</b></li><li>",
           "patch": true,
           "patch_published_at": "2024-08-13T18:15:10.000Z",
           "cve_id": "CVE-2024-38107",
           "cve_description": "Windows Power Dependency Coordinator Elevation of Privilege Vulnerability",
           "cve_published_at": "2024-08-13T18:15:10.000Z",
           "description": null,
           "wasc_id": null,
           "severity": 7,
           "threat": 3,
           "popular_target": false,
           "active_internet_breach": false,
           "easily_exploitable": false,
           "malware_exploitable": false,
           "remote_code_execution": false,
           "predicted_exploitable": false,
           "platform_types": [
               "operating system"
           ],
           "cvss_v2": {
               "exploit_subscore": 3.1,
               "impact_subscore": 10.0,
               "score": 6.8,
               "temporal_score": 5.6
           },
           "cvss_v3": {
               "exploit_subscore": 1.8,
               "impact_subscore": 5.9,
               "score": 7.8
           },
           "custom_fields": [],
           "first_found_on": "2024-08-13T00:00:00Z",
           "top_priority": false,
           "risk_meter_score": 28,
           "closed": false
       }
   ]
}
Fall-Repository
Ergebnistyp Beschreibung Typ
Ausgabenachricht* Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:

Wenn Daten für eine Entität verfügbar sind (is_success = true):
print "Successfully listed vulnerabilities for the following entities in Cisco Verwaltung von Sicherheitslücken: {entity.identifier}".

Wenn 1 Entität nicht gefunden wurde (is_success=true):
print "Die Aktion konnte die folgenden Entitäten in Cisco Verwaltung von Sicherheitslücken nicht finden: {entity.identifier}"

Wenn für alle keine Daten verfügbar sind (is_success=false):
Keine der angegebenen Entitäten wurde gefunden.

Wenn für einige keine Sicherheitslücken gefunden wurden (is_success=true):

Für die folgenden Entitäten in Cisco Vulnerability Management wurden keine Sicherheitslücken gefunden, die den angegebenen Kriterien entsprechen: {entity.identifier}

Wenn für alle keine Sicherheitslücken gefunden wurden (is_success=true):

Für die angegebenen Entitäten wurden keine Sicherheitslücken gefunden, die den angegebenen Kriterien entsprechen.

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges:
print "Error executing action "List Asset Vulnerabilities". Reason: {0}''.format(error.Stacktrace)		 Allgemein

Datenexport anfordern

Fordern Sie einen Datenexport aus Cisco Vulnerability Management an und hängen Sie die Ergebnisse an die Fallpinnwand an. Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Diese Aktion ist asynchron. Passen Sie den Zeitüberschreitungswert für das Script in der Google SecOps-IDE für die Aktion nach Bedarf an.

Parameter

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Exportformat DDL JSON

Mögliche Werte:
  • JSON
  • JSONL
  • XML
 Ja Format des Datenexports.
Modell exportieren DDL Asset

Mögliche Werte:
  • Asset
  • Sicherheitslücke
  • Korrigieren
  • Ergebnis
 Ja Modell des Objekts, das exportiert werden soll.
Exportfelder CSV Nein Durch Kommas getrennte Liste der Felder, die zurückgegeben werden sollen.
Abfragefilter String Nein Abfrage zum Filtern von Daten, die exportiert werden sollen.

Ausführen am

–

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
Fall-Repository
Ergebnistyp Beschreibung Typ
Ausgabenachricht* Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:

Wenn Daten verfügbar sind(is_success = true):
print „Datenexport in Cisco Vulnerability Management erfolgreich durchgeführt.“

Asynchrone Nachricht:
Warten, bis der Datenexport abgeschlossen ist…


Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, andere:
print "Error executing action "Request Data Export". Reason: {0}''.format(error.Stacktrace)

If error_message in response:

print "Error executing action "Request Data Export". Grund: {error_message}''.		 Allgemein

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten