Cyberint

במאמר הזה מוסבר איך לשלב את Cyberint עם Google Security Operations.

הגדרת השילוב של Cyberint ב-Google Security Operations

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
ספריית הבסיס של ה-API String https://{instance}.cyberint.io כן שורש ה-API של מכונת Cyberint.
מפתח API סיסמה לא רלוונטי כן מפתח ה-API של מופע Cyberint.
אימות SSL תיבת סימון סימן אישור כן אם ההגדרה הזו מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Cyberint תקף.

תרחישים לדוגמה

הוספת התראות

פעולות

פינג

תיאור

בודקים את הקישוריות ל-Cyberint באמצעות הפרמטרים שמופיעים בדף הגדרת השילוב בכרטיסייה Google Security Operations Marketplace.

פרמטרים

לא רלוונטי

ריצה

הפעולה לא משתמשת בישויות ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה: "החיבור לשרת Cyberint בוצע בהצלחה עם פרמטרי החיבור שסופקו".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם הפעולה לא מצליחה: "החיבור לשרת Cyberint נכשל! השגיאה היא {0}".format(exception.stacktrace)

 כללי

עדכון ההתראה

תיאור

עדכון ההתראה ב-Cyberint.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה התראה שם לא רלוונטי כן מציינים את המזהה של ההתראה שצריך לעדכן את הסטטוס שלה.
סטטוס DDL

יש לבחור טווח

ערכים אפשריים:

  • פתיחה
  • אושרו
  • סגור
 לא

מציינים את הסטטוס של האירוע.

הערה: אם בוחרים באפשרות 'סגור', צריך לספק גם את הפרמטר 'סיבת הסגירה'.
הסיבה לסגירה DDL

יש לבחור טווח

ערכים אפשריים:

  • הסתיים
  • לא רלוונטית
  • לא נכון
  • חיובית
 לא מציינים את הסיבה לסגירה של העסק.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם קוד הסטטוס 200 מדווח (is_success = true): 'התראה עם מזהה {alert_id} עודכנה בהצלחה ב-Cyberint'.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "Error executing action "Update Alert Status". Reason: {0}''.format(error.Stacktrace)

אם מוצגת האפשרות 'בחירת אחת מהאפשרויות': 'שגיאה בהפעלת הפעולה 'עדכון סטטוס ההתראה'. הסיבה: צריך לציין את הסטטוס.''

אם הפרמטר 'סטטוס' מוגדר כ'סגור', אבל הפרמטר 'סיבת הסגירה' לא צוין: 'שגיאה בהפעלת הפעולה 'עדכון סטטוס ההתראה'. הסיבה: אם הסטטוס הוא 'סגור', צריך לציין את סיבת הסגירה'.

 כללי

מחברים

Cyberint - Alerts Connector

תיאור

שליפת מידע על התראות מ-Cyberint.

הגדרה של Cyberint - Alerts Connector ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר בנושא הגדרת המחבר.

פרמטרים של מחברים

משתמשים בפרמטרים הבאים כדי להגדיר את המחבר:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String שם המוצר כן מזינים את שם שדה המקור כדי לאחזר את שם שדה המוצר.
שם השדה של האירוע String סוג כן מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה בסביבה String "" לא

מתאר את שם השדה שבו מאוחסן שם הסביבה.

אם לא נמצא שדה סביבה, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי (regex) של סביבה String .* לא

תבנית regex להפעלה על הערך שנמצא בשדה 'שם שדה הסביבה'.

ברירת המחדל היא ‎ .* ‎ כדי לתפוס את כל הערכים ולהחזיר אותם ללא שינוי.

משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטוי רגולרי.

אם תבנית הביטוי הרגולרי היא null או ריקה, או שערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
זמן קצוב לסקריפט (בשניות) מספר שלם 180 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
ספריית הבסיס של ה-API String https://{instance}.cyberint.io כן שורש ה-API של מכונת Cyberint.
מפתח API סיסמה לא רלוונטי כן מפתח ה-API של מופע Cyberint.
רמת החומרה הנמוכה ביותר לאחזור מספר שלם לא רלוונטי לא רמת הסיכון הנמוכה ביותר שצריך להשתמש בה כדי לאחזר התראות. הערכים האפשריים: Low, ‏ Medium, ‏ High, ‏ Very High. אם לא מציינים ערך, המחבר יקלוט התראות בכל רמות החומרה.
מספר השעות המקסימלי אחורה מספר שלם 1 לא מספר השעות שממנו יאוחזרו ההתראות.
מספר ההתראות המקסימלי לאחזור מספר שלם 100 לא מספר ההתראות לעיבוד בכל איטרציה של המחבר. ברירת מחדל: 100.
שימוש ברשימת ההיתרים כרשימה שחורה תיבת סימון התיבה לא מסומנת כן אם האפשרות הזו מופעלת, רשימת ההיתרים תשמש כרשימת חסימות.
אימות SSL תיבת סימון סימן אישור כן אם האפשרות הזו מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Cyberint תקף.
כתובת שרת ה-Proxy String לא רלוונטי לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם משתמש של שרת proxy String לא רלוונטי לא שם המשתמש ב-proxy לאימות.
סיסמת שרת Proxy סיסמה לא רלוונטי לא סיסמת ה-proxy לאימות.

כללים של מחברים

תמיכה בשרת proxy

המחבר תומך ב-Proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.