Cyberint

Versión de integración: 4.0

Configurar la integración de Cyberint en Google Security Operations

Para obtener instrucciones detalladas sobre cómo configurar una integración en Google SecOps, consulta Configurar integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Raíz de la API Cadena https://{instance}.cyberint.io Sí Raíz de la API de la instancia de Cyberint.
Clave de API Contraseña N/A Sí Clave de API de la instancia de Cyberint.
Verificar SSL Casilla Marcada Sí Si está habilitada, compruebe que el certificado SSL de la conexión al servidor de Cyberint es válido.

Casos prácticos

Ingestión de alertas

Acciones

Ping

Descripción

Prueba la conectividad con Cyberint con los parámetros proporcionados en la página de configuración de la integración de la pestaña Google Security Operations Marketplace.

Parámetros

N/A

Fecha de ejecución

La acción no usa entidades ni tiene parámetros de entrada obligatorios.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Panel de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida\*

La acción no debe fallar ni detener la ejecución de una guía:

Si la conexión se establece correctamente: "Successfully connected to the Cyberint server with the provided connection parameters!" ("Se ha conectado correctamente al servidor de Cyberint con los parámetros de conexión proporcionados").

La acción debería fallar y detener la ejecución de la guía:

Si no funciona: "No se ha podido conectar con el servidor de Cyberint. Error: {0}".format(exception.stacktrace)

 General

Actualizar alerta

Descripción

Actualiza la alerta en Cyberint.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
ID de alerta Nombre N/A Sí Especifica el ID de la alerta cuyo estado se debe actualizar.
Estado DDL

Selecciona una opción.

Valores posibles:

  • Abrir
  • Confirmado
  • Cerrado
 No

Especifique el estado del evento.

Nota: Si se selecciona "Cerrado", también debe proporcionarse el parámetro "Motivo del cierre".
Motivo del cierre DDL

Selecciona una opción.

Valores posibles:

  • Resuelto
  • Irrelevante
  • Falso
  • Positiva
 No Especifica el motivo del cierre para el estado Cerrada.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Panel de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se devuelve el código de estado 200 (is_success = true): "Se ha actualizado correctamente la alerta con el ID "{alert_id}" en Cyberint.".

La acción debería fallar y detener la ejecución de la guía:

Si se informa de un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro error: "Error al ejecutar la acción "Actualizar estado de alerta". Motivo: {0}''.format(error.Stacktrace)

Si se proporciona "Seleccionar uno": "Error al ejecutar la acción "Actualizar estado de alerta". Motivo: se debe indicar el estado.''

Si el parámetro "Status" tiene el valor "Closed", pero no se proporciona el parámetro "Closure Reason": "Error executing action "Update Alert Status". Motivo: si el estado es "Cerrado", debe indicar el motivo del cierre.''

 General

Conectores

Cyberint - Alerts Connector

Descripción

Extrae información sobre alertas de Cyberint.

Configurar el conector de alertas de Cyberint en Google SecOps

Para obtener instrucciones detalladas sobre cómo configurar un conector en Google SecOps, consulta el artículo Configurar el conector.

Parámetros del conector

Utiliza los siguientes parámetros para configurar el conector:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre del campo de producto Cadena Nombre del producto Sí Introduce el nombre del campo de origen para obtener el nombre del campo de producto.
Nombre del campo de evento Cadena tipo Sí Introduzca el nombre del campo de origen para obtener el nombre del campo de evento.
Nombre del campo de entorno Cadena "" No

Describe el nombre del campo en el que se almacena el nombre del entorno.

Si no se encuentra el campo de entorno, se utiliza el entorno predeterminado.
Patrón de regex de entorno Cadena .* No

Una expresión regular que se aplicará al valor encontrado en el campo "Nombre del campo de entorno".

El valor predeterminado es .* para captar todos los valores y devolverlos sin cambios.

Se usa para permitir que el usuario manipule el campo del entorno mediante la lógica de expresiones regulares.

Si el patrón de expresión regular es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno será el entorno predeterminado.
Tiempo de espera de secuencia de comandos (segundos) Entero 180 Sí Límite de tiempo de espera del proceso de Python que ejecuta la secuencia de comandos actual.
Raíz de la API Cadena https://{instance}.cyberint.io Sí Raíz de la API de la instancia de Cyberint.
Clave de API Contraseña N/A Sí Clave de API de la instancia de Cyberint.
Gravedad mínima que se va a obtener Entero N/A No Riesgo más bajo que se debe usar para obtener alertas. Valores posibles: Bajo, Medio, Alto y Muy alto. Si no se especifica nada, el conector ingerirá alertas de todas las gravedades.
Número máximo de horas hacia atrás Entero 1 No Número de horas desde las que se obtienen las alertas.
Número máximo de alertas que se van a obtener Entero 100 No Número de alertas que se procesarán por cada iteración del conector. Predeterminado: 100.
Usar la lista blanca como lista negra Casilla Desmarcada Sí Si está habilitada, la lista de permitidos se usará como lista de denegados.
Verificar SSL Casilla Marcada Sí Si está habilitada, compruebe que el certificado SSL de la conexión al servidor de Cyberint sea válido.
Dirección del servidor proxy Cadena N/A No Dirección del servidor proxy que se va a usar.
Nombre de usuario del proxy Cadena N/A No Nombre de usuario del proxy para autenticarse.
Contraseña del proxy Contraseña N/A No La contraseña del proxy para autenticarte.

Reglas de conectores

Compatibilidad con proxy

El conector admite proxy.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.