CyberArk PAM

En este documento, se proporciona orientación para integrar CyberArk Privileged Access Manager (PAM) con Google Security Operations SOAR.

Versión de integración: 6.0

Antes de comenzar

Para configurar CyberArk PAM para que funcione con la integración, debes crear un usuario para la integración y proporcionarle a ese usuario los permisos para acceder a las bóvedas de CyberArk PAM necesarias.

Crea un usuario

Completa los siguientes pasos para crear un usuario para la integración:

  1. Accede a PrivateArk Client como administrador.
  2. Ve a Herramientas > Herramientas administrativas > Usuarios y grupos.
  3. En el diálogo Usuarios y grupos, selecciona la ubicación del usuario, haz clic en Nuevo y selecciona Usuario.
  4. En las diferentes pestañas del diálogo Usuario nuevo, completa la información según sea necesario. Las pestañas General y Authentication son obligatorias.

Para obtener más información sobre cómo crear un usuario, consulta Cómo agregar un usuario a una bóveda.

Otorga permisos al usuario creado

Completa los siguientes pasos para agregar acceso a una bóveda a un usuario recién creado:

  1. Accede a PrivateArk Client como administrador.
  2. Selecciona la bóveda a la que quieres proporcionar acceso y accede a ella (haz doble clic en ella).
  3. En el menú superior, haz clic en Propietarios.
  4. Para agregar un usuario nuevo, haz clic en Agregar.
  5. En el diálogo, selecciona el usuario.
  6. En la sección Autorizado para, selecciona al menos los siguientes permisos:
    • Monitor Safe
    • Retrieve files from Safe
    • Store files in Safe
    • Admisiter Safe
  7. Para guardar los cambios, haz clic en Aceptar.
  8. Para salir de la ventana de diálogo, haz clic en Cerrar.

Opcional: Configura el certificado de cliente

Puedes usar un certificado de cliente existente o crear uno nuevo para establecer comunicaciones seguras entre la instancia de CyberArk PAM y Google SecOps SOAR. Para obtener más información sobre cómo configurar el certificado de cliente, consulta Configuración del servicio web del proveedor de credenciales central.

Integra CyberArk PAM y Google SecOps

La integración requiere los siguientes parámetros:

Parámetros Descripción
API Root Obligatorio

Es la URL raíz de la API.

Proporciona el valor en el siguiente formato: https://IP_ADDRESS :PORT.
Username Obligatorio

Nombre de usuario con el que se conectará.
Password Obligatorio

Contraseña para conectarse.
Verify SSL Obligatorio

Si se selecciona esta opción, la integración verifica que el certificado SSL para la conexión al servidor de CyberArk sea válido.

Esta opción se selecciona de forma predeterminada.
CA Certificate Obligatorio

Es el certificado de CA que se usará para validar la conexión segura a la raíz de la API.

Este parámetro acepta el certificado de CA en forma de una cadena codificada en Base64.
Client Certificate Optional

Si se configuró para CyberArk PAM, especifica el certificado de cliente de CyberArk que se usará para establecer una conexión con la raíz de la API. Proporciona el certificado como el archivo PFX (en formato PKCS #12).
Client Certificate Passphrase Optional

Es la frase de contraseña requerida para el certificado de cliente.

Para obtener más información sobre cómo configurar la integración en Google SecOps SOAR, consulta Configura integraciones.

Acciones

La integración de CyberArk PAM incluye las siguientes acciones:

Obtener el valor de la contraseña de la cuenta

Usa la acción Get Account Password Value para obtener el valor de la contraseña de la cuenta de CyberArk.

Con esta acción, puedes recuperar la contraseña y la clave SSH.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Get Account Password Value requiere los siguientes parámetros:

Parámetros Descripción
Account Obligatorio

Es el ID de la cuenta para la que se recuperará el valor de la contraseña.

Nota: El ID de la cuenta se puede recuperar de la acción List Accounts.
Reason Obligatorio

Es el motivo por el que se accede al valor de la contraseña de la cuenta.

El valor predeterminado se recupera automáticamente de Google SecOps SOAR.
Ticketing System Name Optional

Es el nombre del sistema de tickets.
Ticket ID Optional

Es el ID del ticket del sistema de tickets.
Version Optional

Es la versión del valor de la contraseña de la cuenta que se recuperará.

Resultados de la acción

La acción Get Account Password Value proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo, se describe el resultado JSON que se recibe cuando se usa la acción Get Account Password Value:

{
 "content": "PASSWORD_VALUE"
}
Mensajes de salida

La acción Get Account Password Value proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje
Successfully fetched password value for account ID ACCOUNT_ID

Password value for account with ID ACCOUNT_ID and supplied version VERSION was not found in the CyberArk PAM.

 La acción se completó correctamente.
Error executing action "Get Account Password Value". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Get Account Password Value:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Enumerar cuentas

Usa la acción List Accounts para enumerar las cuentas disponibles en CyberArk PAM según los criterios proporcionados.

Esta acción no se ejecuta en las entidades de SOAR de Google SecOps.

Entradas de acción

La acción List Accounts requiere los siguientes parámetros:

Parámetros Descripción
Search Query Obligatorio

Es la búsqueda que se usará.
Search operator Obligatorio

Es el operador de búsqueda que se usará para ejecutar una búsqueda basada en la búsqueda proporcionada.

Los valores posibles son los siguientes:
  • contains
  • startswith
.

El valor predeterminado es contains.
Max Records To Return Obligatorio

Es la cantidad de registros que se devolverán. Si no proporcionas ningún valor, la acción devolverá 50 registros (valor predeterminado de la API).
Records Offset Obligatorio

Es el desplazamiento de la acción para devolver los valores.
Filter Query Obligatorio

Es la consulta de filtro que se usará. Puedes basar el filtro en los parámetros safeName o modificationTime.
Saved Filter Obligatorio

Es la consulta de filtro guardada que se usará.

Este parámetro tiene prioridad sobre el parámetro Filter Query.

Resultados de la acción

La acción List Accounts proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos Disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Tabla del muro de casos

En un muro de casos, la acción List Accounts proporciona la siguiente tabla:

Nombre de la tabla: Available PAM Accounts

Columnas de la tabla:

  • ID
  • Nombre seguro
  • User Name
  • Tipo de secreto
Resultado de JSON

En el siguiente ejemplo, se describe el resultado en JSON que se recibe cuando se usa la acción List Accounts:

{
   "value": [
       {
           "categoryModificationTime": 1672051160,
           "platformId": "WinDomain",
           "safeName": "UserTestSafe",
           "id": "33_3",
           "name": "user@example.com",
           "address": "user@example.com",
           "userName": "user",
           "secretType": "password",
           "platformAccountProperties": {},
           "secretManagement": {
               "automaticManagementEnabled": true,
               "lastModifiedTime": 1672051160
           },
           "createdTime": 1672051160
       }
   ],
   "count": 1
}
Mensajes de salida

La acción List Accounts proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje

Successfully found accounts for the criteria provided in CyberArk PAM.

No accounts were found for the criteria provided in CyberArk PAM.

Both the Filter Query and Saved Filter parameters are provided, Saved Filter takes priority.

 La acción se completó correctamente.
Error executing action "List Accounts". Reason: ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción List Accounts:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

Ping

Usa la acción *Ping para probar la conectividad a CyberArk.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de integración

Ninguno

Resultados de la acción

La acción Ping proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON No disponible
Mensajes de salida Disponible
Resultado de secuencia de comandos Disponible
Mensajes de salida

La acción Ping proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje
Successfully connected to the CyberArk PAM installation with the provided connection parameters! La acción se completó correctamente.
Failed to connect to the CyberArk PAM installation! Error is ERROR_REASON

No se pudo realizar la acción.

Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de secuencia de comandos

En la siguiente tabla, se describen los valores del resultado de la secuencia de comandos cuando se usa la acción Ping:

Nombre del resultado de la secuencia de comandos Valor
is_success True o False

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.