Cyberint

In diesem Dokument wird beschrieben, wie Sie Cyberint in Google Security Operations einbinden.

Cyberint-Integration in Google Security Operations konfigurieren

Eine detaillierte Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Obligatorisch Beschreibung
API-Stamm String https://{instance}.cyberint.io Ja API-Stamm der Cyberint-Instanz.
API-Schlüssel Passwort – Ja API-Schlüssel der Cyberint-Instanz.
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Cyberint-Server gültig ist.

Anwendungsbereiche

Aufnahme von Benachrichtigungen

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zu Cyberint mit Parametern, die auf der Seite mit der Integrationskonfiguration auf dem Tab „Google Security Operations Marketplace“ angegeben sind.

Parameter

–

Ausführen am

Die Aktion verwendet keine Entitäten und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht\*

Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:

Wenn erfolgreich: „Verbindung zum Cyberint-Server mit den angegebenen Verbindungsparametern hergestellt.“

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:

Wenn nicht erfolgreich: „Verbindung zum Cyberint-Server konnte nicht hergestellt werden. Fehler: {0}".format(exception.stacktrace)

 Allgemein

Benachrichtigung ändern

Beschreibung

Benachrichtigung in Cyberint aktualisieren.

Parameter

Anzeigename des Parameters Typ Standardwert Obligatorisch Beschreibung
Benachrichtigungs-ID Name – Ja Geben Sie die ID der Benachrichtigung an, deren Status aktualisiert werden muss.
Status DDL

Wählen Sie eine Option aus.

Mögliche Werte:

  • Öffnen
  • Bestätigt
  • Geschlossen
 Nein

Geben Sie den Status für das Ereignis an.

Hinweis:Wenn „Geschlossen“ ausgewählt ist, muss auch der Parameter „Grund für das Schließen“ angegeben werden.
Grund für das Schließen DDL

Wählen Sie eine Option aus.

Mögliche Werte:

  • Behoben
  • Irrelevant
  • Falsch
  • Positive
 Nein Geben Sie den Grund für das Schließen für den Status „Geschlossen“ an.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:

Wenn der Statuscode 200 gemeldet wird (is_success = true): "Benachrichtigung mit der ID "{alert_id}" in Cyberint aktualisiert.".

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler bei der Ausführung der Aktion „Benachrichtigungsstatus aktualisieren“. Grund: {0}''.format(error.Stacktrace)

Wenn „Wählen Sie eine Option aus“ angegeben ist: „Fehler bei der Ausführung der Aktion „Benachrichtigungsstatus aktualisieren“. Grund: „Status“ muss angegeben werden.“

Wenn der Parameter „Status“ auf „Geschlossen“ gesetzt ist, der Parameter „Grund für das Schließen“ aber nicht angegeben ist: „Fehler bei der Ausführung der Aktion „Benachrichtigungsstatus aktualisieren“. Grund: Wenn „Status“ „Geschlossen“ ist, muss „Grund für das Schließen“ angegeben werden.“

 Allgemein

Connectors

Cyberint – Benachrichtigungs-Connector

Beschreibung

Informationen zu Benachrichtigungen aus Cyberint abrufen.

Cyberint – Benachrichtigungs-Connector in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Obligatorisch Beschreibung
Produktfeldname String Produktname Ja Geben Sie den Namen des Quellfelds ein, um den Produktfeldnamen abzurufen.
Ereignisfeldname String Typ Ja Geben Sie den Namen des Quellfelds ein, um den Ereignisfeldnamen abzurufen.
Umgebungsfeldname String "" Nein

Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Umgebungsfeld nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung String .* Nein

Ein Regex-Muster, das auf den Wert im Feld „Umgebungsfeldname“ angewendet wird.

Der Standardwert ist „.*“, um alle Werte zu erfassen und unverändert zurückzugeben.

Ermöglicht dem Nutzer, das Umgebungsfeld über die Regex-Logik zu bearbeiten.

Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist die Standardumgebung das endgültige Umgebungsresultat.
Zeitlimit für Skript (Sekunden) Ganzzahl 180 Ja Zeitlimit für den Python-Prozess, der das aktuelle Skript ausführt.
API-Stamm String https://{instance}.cyberint.io Ja API-Stamm der Cyberint-Instanz.
API-Schlüssel Passwort – Ja API-Schlüssel der Cyberint-Instanz.
Niedrigster abzurufender Schweregrad Ganzzahl – Nein Niedrigstes Risiko, das zum Abrufen von Benachrichtigungen verwendet werden muss. Mögliche Werte: „Niedrig“, „Mittel“, „Hoch“, „Sehr hoch“. Wenn nichts angegeben ist, werden vom Connector Benachrichtigungen mit allen Schweregraden aufgenommen.
Max. Stunden zurück Ganzzahl 1 Nein Anzahl der Stunden, ab denen Benachrichtigungen abgerufen werden sollen.
Max. abzurufende Benachrichtigungen Ganzzahl 100 Nein Anzahl der Benachrichtigungen, die pro Connector-Iteration verarbeitet werden sollen. Standardwert: 100.
Whitelist als Blacklist verwenden Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, wird die Whitelist als Blacklist verwendet.
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Cyberint-Server gültig ist.
Adresse des Proxyservers String – Nein Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername String – Nein Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort Passwort – Nein Das Proxy-Passwort für die Authentifizierung.
Überlauf deaktivieren Boolesch Deaktiviert Ja Wenn diese Option aktiviert ist, ignoriert der Connector den Überlaufmechanismus.

Connector-Regeln

Proxyunterstützung

Der Connector unterstützt Proxys.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten