Integra CyberArk PAM con Google SecOps

Questo documento fornisce indicazioni su come integrare CyberArk Privileged Access Manager con Google Security Operations.

Prima di iniziare

Per configurare CyberArk PAM in modo che funzioni con l'integrazione, devi creare un utente per l'integrazione e fornirgli le autorizzazioni per accedere ai vault CyberArk PAM necessari.

Crea un utente

Completa i seguenti passaggi per creare un utente per l'integrazione:

1. Accedi al client PrivateArk come amministratore.
2. Vai a Strumenti > Strumenti di amministrazione > Utenti e gruppi.
3. Nella finestra di dialogo Utenti e gruppi, seleziona la posizione dell'utente, fai clic su Nuovo e seleziona Utente.
4. Nelle diverse schede della finestra di dialogo Nuovo utente, inserisci le informazioni necessarie. Le schede Generale e Autenticazione sono obbligatorie.

Per saperne di più sulla creazione di un utente, consulta Aggiungi un utente a un vault.

Concedi le autorizzazioni all'utente creato

Completa i seguenti passaggi per aggiungere l'accesso a un vault a un utente appena creato:

1. Accedi al client PrivateArk come amministratore.
2. Seleziona il vault a cui vuoi fornire l'accesso e accedi (fai doppio clic).
3. Nel menu in alto, fai clic su Proprietari.
4. Per aggiungere un nuovo utente, fai clic su Aggiungi.
5. Nella finestra di dialogo, seleziona l'utente.
6. Nella sezione Autorizzato a, seleziona almeno le seguenti autorizzazioni:
   • Monitor Safe
   • Retrieve files from Safe
   • Store files in Safe
   • Admisiter Safe
7. Per salvare le modifiche, fai clic su OK.
8. Per uscire dalla finestra di dialogo, fai clic su Chiudi.

(Facoltativo) Configura il certificato client

Puoi utilizzare un certificato client esistente o crearne uno nuovo per comunicazioni sicure tra l'istanza CyberArk PAM e Google SecOps SOAR. Per saperne di più su come configurare il certificato client, consulta Configurazione del servizio web Central Credential Provider.

Integra CyberArk PAM e Google SecOps

L'integrazione richiede i seguenti parametri:

Parametri	Descrizione
API Root	Obbligatorio L'URL di base dell'API. Fornisci il valore nel seguente formato: https://IP_ADDRESS :PORT.
Username	Obbligatorio Il nome utente con cui connettersi.
Password	Obbligatorio La password per la connessione.
Verify SSL	Optional Se selezionata, l'integrazione verifica che il certificato SSL per la connessione al server CyberArk sia valido. Questo tipo di annuncio sarà selezionato per impostazione predefinita.
CA Certificate	Obbligatorio Il certificato CA da utilizzare per convalidare la connessione sicura alla radice dell'API. Questo parametro accetta il certificato CA sotto forma di stringa con codifica Base64.
Client Certificate	Optional Se configurato per CyberArk PAM, specifica il certificato client CyberArk da utilizzare per stabilire una connessione alla radice dell'API. Fornisci il certificato come file PFX (nel formato PKCS #12).
Client Certificate Passphrase	Optional La passphrase richiesta per il certificato client.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.

Get Account Password Value

Utilizza l'azione Recupera valore password account per recuperare il valore della password dell'account da CyberArk.

Con questa azione puoi recuperare sia la password sia la chiave SSH.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Recupera il valore della password dell'account richiede i seguenti parametri:

Parametri	Descrizione
Account	Obbligatorio L'ID account per cui recuperare il valore della password. Nota: l'ID account può essere recuperato dall'azione Elenca account.
Reason	Obbligatorio Il motivo per cui accedere al valore della password dell'account. Il valore predefinito viene recuperato automaticamente da Google SecOps SOAR.
Ticketing System Name	Optional Il nome del sistema di ticketing.
Ticket ID	Optional L'ID ticket del sistema di gestione dei ticket.
Version	Optional La versione del valore della password dell'account da recuperare.

Output azione

L'azione Get Account Password Value fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Recupera il valore della password dell'account:

{
 "content": "PASSWORD_VALUE"
}

Messaggi di output

L'azione Get Account Password Value fornisce i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully fetched password value for account ID ACCOUNT_ID Password value for account with ID ACCOUNT_ID and supplied version VERSION was not found in the CyberArk PAM.	Azione riuscita.
Error executing action "Get Account Password Value". Reason: ERROR_REASON	Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Recupera il valore della password dell'account:

Nome del risultato dello script	Valore
is_success	True o False

Elenco account

Utilizza l'azione Elenca account per elencare gli account disponibili in CyberArk PAM in base ai criteri forniti.

Questa azione non viene eseguita sulle entità Google SecOps SOAR.

Input azione

L'azione Elenca account richiede i seguenti parametri:

Parametri	Descrizione
Search Query	Obbligatorio La query di ricerca da utilizzare.
Search operator	Obbligatorio L'operatore di ricerca da utilizzare per eseguire una ricerca in base alla query di ricerca fornita. I valori possibili sono: contains startswith Il valore predefinito è contains.
Max Records To Return	Obbligatorio Il numero di record da restituire. Se non fornisci alcun valore, l'azione restituisce 50 record (impostazione predefinita dell'API).
Records Offset	Obbligatorio L'offset per l'azione per restituire i valori.
Filter Query	Obbligatorio La query di filtro da utilizzare. Puoi basare il filtro sui parametri safeName o modificationTime.
Saved Filter	Obbligatorio La query del filtro salvato da utilizzare. Questo parametro ha la priorità sul parametro Filter Query.

Output azione

L'azione Elenca account fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Tabella della bacheca casi

In una bacheca delle richieste, l'azione Elenca account fornisce la seguente tabella:

Nome della tabella: Account PAM disponibili

Colonne della tabella:

• ID
• Nome della cassaforte
• Nome utente
• Tipo di secret

Risultato JSON

L'esempio seguente descrive l'output del risultato JSON ricevuto quando utilizzi l'azione Elenca account:

{
   "value": [
       {
           "categoryModificationTime": 1672051160,
           "platformId": "WinDomain",
           "safeName": "UserTestSafe",
           "id": "33_3",
           "name": "[e-mail]",
           "address": "[e-mail]",
           "userName": "user",
           "secretType": "password",
           "platformAccountProperties": {},
           "secretManagement": {
               "automaticManagementEnabled": true,
               "lastModifiedTime": 1672051160
           },
           "createdTime": 1672051160
       }
   ],
   "count": 1
}

Messaggi di output

L'azione Elenca account fornisce i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully found accounts for the criteria provided in CyberArk PAM. No accounts were found for the criteria provided in CyberArk PAM. Both the Filter Query and Saved Filter parameters are provided, Saved Filter takes priority.	Azione riuscita.
Error executing action "List Accounts". Reason: ERROR_REASON	Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Elenca account:

Nome del risultato dello script	Valore
is_success	True o False

Dindin

Utilizza l'azione *Ping per verificare la connettività a CyberArk.

Questa azione non viene eseguita sulle entità Google SecOps.

Input di integrazione

Nessuno.

Output azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Ping fornisce i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully connected to the CyberArk PAM installation with the provided connection parameters!	Azione riuscita.
Failed to connect to the CyberArk PAM installation! Error is ERROR_REASON	Azione non riuscita. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script	Valore
is_success	True o False

Modifica la password dell'account

Utilizza l'azione Modifica la password dell'account per mettere in coda un'attività di modifica immediata della password in CyberArk PAM.

Nota: esiste un ritardo di elaborazione localizzato tra l'inserimento dell'attività in coda e la sua esecuzione da parte di Central Gestione norme (CPM).

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Change Account Password richiede i seguenti parametri:

Parametri	Descrizione
Account ID	Obbligatorio Un elenco separato da virgole degli ID account da mettere in coda per un'attività di modifica immediata della password. Nota: puoi recuperare le stringhe degli ID account di destinazione direttamente dai parametri di output dell'azione Elenca account.

Output azione

L'azione Modifica la password dell'account fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente descrive l'output del risultato JSON ricevuto quando si utilizza l'azione Cambia la password dell'account:

{
  "successful_accounts": [
    "28_12"
  ],
  "failed_accounts": [
    {
      "account_id": "36_4",
      "error": "The account is not managed by the CPM"
    }
  ]
}

Messaggi di output

L'azione Modifica la password dell'account fornisce i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully queued immediate password change task for the following accounts: ACCOUNT_IDS	Azione riuscita.
Error executing action "Change Account Password". Reason: ERROR_REASON	Azione non riuscita. Controlla la connessione al server, i valori degli ID account target o le impostazioni di configurazione del CPM amministrativo.

Risultato dello script

La tabella seguente descrive i valori per l'output del risultato dello script quando utilizzi l'azione Modifica la password dell'account:

Nome del risultato dello script	Valore
is_success	True o False

Job

Per saperne di più sui job, consulta Configura un nuovo job e Pianificazione avanzata.

CyberArk PAM - Sync Integration Credentials Job

Utilizza il job CyberArk PAM - Sync Integration Credentials per recuperare automaticamente le credenziali dell'account e i secret da CyberArk PAM e sincronizzarli in Google SecOps SOAR aggiornando dinamicamente le configurazioni per le istanze di integrazione, i connettori e i job pianificati.

Nota: il job aggiorna le configurazioni di Google SecOps SOAR solo quando la versione di un account cambia in CyberArk PAM.

Le richieste di recupero delle credenziali vengono registrate in CyberArk PAM con il motivo Google SecOps SOAR automated credential synchronization.

Parametri del job

Il job CyberArk PAM - Sync Integration Credentials richiede i seguenti parametri:

Parametro	Descrizione
API Root	Obbligatorio. L'URL di base dell'API di CyberArk PAM. Se non viene fornito alcun valore, il job fa riferimento al valore fornito nella configurazione dell'integrazione.
Username	Obbligatorio. Il nome utente utilizzato per connettersi a CyberArk PAM. Se non viene fornito alcun valore, il job fa riferimento al valore fornito nella configurazione dell'integrazione.
Password	Obbligatorio. La password utilizzata per connettersi a CyberArk PAM. Se non viene fornito alcun valore, il job fa riferimento al valore fornito nella configurazione dell'integrazione.
Verify SSL	Obbligatorio. Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server CyberArk PAM. Abilitato per impostazione predefinita.
CA Certificate	Facoltativo. Il certificato CA con codifica Base64 utilizzato per convalidare la connessione SSL alla radice dell'API.
Client Certificate	Facoltativo. Il certificato client con codifica Base64 utilizzato per l'autenticazione TLS reciproca (mTLS).
Client Certificate Passphrase	Facoltativo. La passphrase richiesta per il certificato client (se criptato).
Environment Name	Obbligatorio. Il nome dell'ambiente Google SecOps SOAR in cui cercare e aggiornare istanze di integrazione, connettori e job. Per gli ambienti condivisi, fornisci *. Il valore predefinito è Default Environment.
Credential Mapping	Obbligatorio. La stringa di mappatura JSON o YAML che mappa le istanze, i connettori e i job di integrazione SOAR ai relativi percorsi degli account CyberArk PAM. I valori devono utilizzare il formato accounts/<account_id> o accounts/<account_id>/versions/<version_id>. Il valore predefinito è {"integration_instances": {"Integration_Instance_Name": {"Parameter_Name": "accounts/Account_ID"}}}.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.