Integra CyberArk PAM con Google SecOps

En este documento, se proporciona orientación para integrar CyberArk Privileged Access Manager con Google Security Operations.

Antes de comenzar

Para configurar CyberArk PAM para que funcione con la integración, debes crear un usuario para la integración y proporcionarle a ese usuario los permisos para acceder a las bóvedas de CyberArk PAM necesarias.

Crea un usuario

Para crear un usuario para la integración, completa los siguientes pasos:

1. Accede a PrivateArk Client como administrador.
2. Ve a Herramientas > Herramientas administrativas > Usuarios y grupos.
3. En el diálogo Usuarios y grupos, selecciona la ubicación del usuario, haz clic en Nuevo y selecciona Usuario.
4. En las diferentes pestañas del diálogo Usuario nuevo, completa la información según sea necesario. Las pestañas General y Authentication son obligatorias.

Para obtener más información sobre cómo crear un usuario, consulta Cómo agregar un usuario a una bóveda.

Otorga permisos al usuario creado

Completa los siguientes pasos para agregar acceso a una bóveda a un usuario recién creado:

1. Accede a PrivateArk Client como administrador.
2. Selecciona la bóveda a la que quieres proporcionar acceso y accede a ella (haz doble clic en ella).
3. En el menú superior, haz clic en Propietarios.
4. Para agregar un usuario nuevo, haz clic en Agregar.
5. En el diálogo, selecciona el usuario.
6. En la sección Autorizado para, selecciona al menos los siguientes permisos:
   • Monitor Safe
   • Retrieve files from Safe
   • Store files in Safe
   • Admisiter Safe
7. Para guardar los cambios, haz clic en Aceptar.
8. Para salir de la ventana de diálogo, haz clic en Cerrar.

Opcional: Configura el certificado de cliente

Puedes usar un certificado de cliente existente o crear uno nuevo para establecer comunicaciones seguras entre la instancia de CyberArk PAM y Google SecOps SOAR. Para obtener más información sobre cómo configurar el certificado de cliente, consulta Configuración del servicio web del proveedor de credenciales central.

Integra CyberArk PAM y Google SecOps

La integración requiere los siguientes parámetros:

Parámetros	Descripción
API Root	Obligatorio Es la URL raíz de la API. Proporciona el valor en el siguiente formato: https://IP_ADDRESS :PORT.
Username	Obligatorio Nombre de usuario con el que se conectará.
Password	Obligatorio Contraseña para conectarse.
Verify SSL	Optional Si se selecciona, la integración verifica que el certificado SSL para la conexión al servidor de CyberArk sea válido. Esta opción se selecciona de forma predeterminada.
CA Certificate	Obligatorio Es el certificado de la AC que se usará para validar la conexión segura a la raíz de la API. Este parámetro acepta el certificado de la AC en forma de una cadena codificada en Base64.
Client Certificate	Optional Si se configuró para CyberArk PAM, especifica el certificado de cliente de CyberArk que se usará para establecer una conexión con la raíz de la API. Proporciona el certificado como el archivo PFX (en formato PKCS #12).
Client Certificate Passphrase	Optional Es la contraseña requerida para el certificado de cliente.

Si quieres obtener instrucciones para configurar una integración en Google SecOps, consulta Configura integraciones.

Si es necesario, puedes hacer cambios más adelante. Después de configurar una instancia de integración, puedes usarla en los playbooks. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Compatibilidad con varias instancias.

Acciones

Para obtener más información sobre las acciones, consulta Cómo responder a las acciones pendientes desde Tu escritorio y Cómo realizar una acción manual.

Obtener el valor de la contraseña de la cuenta

Usa la acción Get Account Password Value para obtener el valor de la contraseña de la cuenta de CyberArk.

Con esta acción, puedes recuperar la contraseña y la clave SSH.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Get Account Password Value requiere los siguientes parámetros:

Parámetros	Descripción
Account	Obligatorio Es el ID de la cuenta para la que se recuperará el valor de la contraseña. Nota: El ID de la cuenta se puede recuperar de la acción List Accounts.
Reason	Obligatorio Es el motivo por el que se accede al valor de la contraseña de la cuenta. El valor predeterminado se recupera automáticamente de Google SecOps SOAR.
Ticketing System Name	Optional Es el nombre del sistema de tickets.
Ticket ID	Optional Es el ID del ticket del sistema de tickets.
Version	Optional Es la versión del valor de la contraseña de la cuenta que se recuperará.

Resultados de la acción

La acción Get Account Password Value proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Get Account Password Value:

{
 "content": "PASSWORD_VALUE"
}

Mensajes de salida

La acción Get Account Password Value proporciona los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully fetched password value for account ID ACCOUNT_ID Password value for account with ID ACCOUNT_ID and supplied version VERSION was not found in the CyberArk PAM.	La acción se completó correctamente.
Error executing action "Get Account Password Value". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Get Account Password Value:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Enumerar cuentas

Usa la acción List Accounts para enumerar las cuentas disponibles en CyberArk PAM según los criterios proporcionados.

Esta acción no se ejecuta en las entidades de Google SecOps SOAR.

Entradas de acción

La acción List Accounts requiere los siguientes parámetros:

Parámetros	Descripción
Search Query	Obligatorio Es la búsqueda que se usará.
Search operator	Obligatorio Es el operador de búsqueda que se usará para ejecutar una búsqueda basada en la búsqueda proporcionada. Los valores posibles son los siguientes: contains startswith . El valor predeterminado es contains.
Max Records To Return	Obligatorio Es la cantidad de registros que se devolverán. Si no proporcionas ningún valor, la acción devolverá 50 registros (valor predeterminado de la API).
Records Offset	Obligatorio Es el desplazamiento para que la acción muestre los valores.
Filter Query	Obligatorio Es la consulta de filtro que se usará. Puedes basar el filtro en los parámetros safeName o modificationTime.
Saved Filter	Obligatorio Es la consulta de filtro guardada que se usará. Este parámetro tiene prioridad sobre el parámetro Filter Query.

Resultados de la acción

La acción List Accounts proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	Disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Tabla del muro de casos

En un muro de casos, la acción List Accounts proporciona la siguiente tabla:

Nombre de la tabla: Available PAM Accounts

Columnas de la tabla:

• ID
• Nombre seguro
• Nombre de usuario
• Tipo de secreto

Resultado de JSON

En el siguiente ejemplo, se describe el resultado en JSON que se recibe cuando se usa la acción List Accounts:

{
   "value": [
       {
           "categoryModificationTime": 1672051160,
           "platformId": "WinDomain",
           "safeName": "UserTestSafe",
           "id": "33_3",
           "name": "[e-mail]",
           "address": "[e-mail]",
           "userName": "user",
           "secretType": "password",
           "platformAccountProperties": {},
           "secretManagement": {
               "automaticManagementEnabled": true,
               "lastModifiedTime": 1672051160
           },
           "createdTime": 1672051160
       }
   ],
   "count": 1
}

Mensajes de salida

La acción List Accounts proporciona los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully found accounts for the criteria provided in CyberArk PAM. No accounts were found for the criteria provided in CyberArk PAM. Both the Filter Query and Saved Filter parameters are provided, Saved Filter takes priority.	La acción se completó correctamente.
Error executing action "List Accounts". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción List Accounts:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Ping

Usa la acción *Ping para probar la conectividad a CyberArk.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de integración

Ninguno

Resultados de la acción

La acción Ping proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	No disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Mensajes de salida

La acción Ping proporciona los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully connected to the CyberArk PAM installation with the provided connection parameters!	La acción se completó correctamente.
Failed to connect to the CyberArk PAM installation! Error is ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Ping:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Cambiar la contraseña de la cuenta

Usa la acción Change Account Password para poner en cola una tarea de cambio de contraseña inmediato en CyberArk PAM.

Nota: Existe una demora de procesamiento localizada entre el momento en que se pone en cola la tarea y el momento en que la ejecuta el Administrador central de políticas (CPM).

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Change Account Password requiere los siguientes parámetros:

Parámetros	Descripción
Account ID	Obligatorio Es una lista separada por comas de los IDs de las cuentas que se deben poner en cola para una tarea de cambio de contraseña inmediato. Nota: Puedes recuperar las cadenas de ID de la cuenta objetivo directamente desde los parámetros de salida de la acción List Accounts.

Resultados de la acción

La acción Cambiar la contraseña de la cuenta proporciona los siguientes resultados:

Tipo de salida de la acción	Disponibilidad
Adjunto del muro de casos	No disponible
Vínculo al muro de casos	No disponible
Tabla del muro de casos	No disponible
Tabla de enriquecimiento	No disponible
Resultado de JSON	Disponible
Mensajes de salida	Disponible
Resultado de secuencia de comandos	Disponible

Resultado de JSON

En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Change Account Password:

{
  "successful_accounts": [
    "28_12"
  ],
  "failed_accounts": [
    {
      "account_id": "36_4",
      "error": "The account is not managed by the CPM"
    }
  ]
}

Mensajes de salida

La acción Cambiar contraseña de la cuenta proporciona los siguientes mensajes de salida:

Mensaje de salida	Descripción del mensaje
Successfully queued immediate password change task for the following accounts: ACCOUNT_IDS	La acción se completó correctamente.
Error executing action "Change Account Password". Reason: ERROR_REASON	No se pudo realizar la acción. Verifica la conexión al servidor, los valores del ID de la cuenta de destino o la configuración del CPM administrativo.

Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Change Account Password:

Nombre del resultado de la secuencia de comandos	Valor
is_success	True o False

Trabajos

Para obtener más información sobre los trabajos, consulta Configura un trabajo nuevo y Programación avanzada.

CyberArk PAM - Trabajo de sincronización de credenciales de integración

Usa el trabajo CyberArk PAM - Sync Integration Credentials para recuperar automáticamente las credenciales y los secretos de la cuenta de CyberArk PAM y sincronizarlos en Google SecOps SOAR actualizando de forma dinámica las configuraciones de las instancias de integración, los conectores y los trabajos programados.

Nota: El trabajo solo actualiza los parámetros de configuración de Google SecOps SOAR cuando cambia la versión de una cuenta en CyberArk PAM.

Las solicitudes de recuperación de credenciales se registran en CyberArk PAM con el motivo Google SecOps SOAR automated credential synchronization.

Parámetros del trabajo

El trabajo de credenciales de integración de sincronización de CyberArk PAM requiere los siguientes parámetros:

Parámetro	Descripción
API Root	Obligatorio. Es la URL raíz de la API de CyberArk PAM. Si no se proporciona ningún valor, el trabajo hace referencia al valor proporcionado en la configuración de la integración.
Username	Obligatorio. Es el nombre de usuario que se usa para conectarse a CyberArk PAM. Si no se proporciona ningún valor, el trabajo hace referencia al valor proporcionado en la configuración de la integración.
Password	Obligatorio. Es la contraseña que se usa para conectarse a CyberArk PAM. Si no se proporciona ningún valor, el trabajo hace referencia al valor proporcionado en la configuración de la integración.
Verify SSL	Obligatorio. Si se selecciona esta opción, la integración valida el certificado SSL cuando se conecta al servidor de PAM de CyberArk. Habilitada de forma predeterminada.
CA Certificate	Es opcional. Certificado de la AC codificado en Base64 que se usa para validar la conexión SSL a la raíz de la API.
Client Certificate	Es opcional. Certificado de cliente codificado en Base64 que se usa para la autenticación TLS mutua.
Client Certificate Passphrase	Es opcional. Es la contraseña requerida para el certificado de cliente (si está encriptado).
Environment Name	Obligatorio. Nombre del entorno de Google SecOps SOAR en el que se buscarán y actualizarán las instancias de integración, los conectores y los trabajos. Para los entornos compartidos, proporciona *. El valor predeterminado es Default Environment.
Credential Mapping	Obligatorio. Es la cadena de asignación JSON o YAML que asigna instancias de integración de SOAR, conectores y trabajos a sus rutas de acceso de cuentas de CyberArk PAM. Los valores deben usar el formato accounts/<account_id> o accounts/<account_id>/versions/<version_id>. El valor predeterminado es {"integration_instances": {"Integration_Instance_Name": {"Parameter_Name": "accounts/Account_ID"}}}.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.