Cyberint

Questo documento descrive come integrare Cyberint con Google Security Operations.

Configurare l'integrazione di Cyberint in Google Security Operations

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, consulta Configurare le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Root API Stringa https://{instance}.cyberint.io Sì Root API dell'istanza Cyberint.
Chiave API Password N/D Sì Chiave API dell'istanza Cyberint.
Verifica SSL Casella di controllo Selezionata Sì Se questa opzione è abilitata, verifica che il certificato SSL per la connessione al server Cyberint sia valido.

Casi d'uso

Importazione degli avvisi

Azioni

Dindin

Descrizione

Verifica la connettività a Cyberint con i parametri forniti nella pagina di configurazione dell'integrazione nella scheda Google Security Operations Marketplace.

Parametri

N/D

Esegui il

L'azione non utilizza entità né ha parametri di input obbligatori.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output\*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine: "Connessione al server Cyberint riuscita con i parametri di connessione forniti!"

L'azione deve fallire e interrompere l'esecuzione di un playbook:

Se l'operazione non va a buon fine: "Impossibile connettersi al server Cyberint! Errore: {0}".format(exception.stacktrace)

 Generale

Aggiorna avviso

Descrizione

Aggiorna l'avviso in Cyberint.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID avviso Nome N/D Sì Specifica l'ID dell'avviso di cui devi aggiornare lo stato.
Stato DDL

Selezionane uno

Valori possibili:

  • Apri
  • Confermato
  • Chiuso
 No

Specifica lo stato dell'evento.

Nota: se selezioni "Chiuso", devi fornire anche il parametro "Motivo chiusura".
Motivo chiusura DDL

Selezionane uno

Valori possibili:

  • Risolto
  • Non pertinente
  • Falso
  • Positivo
 No Specifica il motivo della chiusura per lo stato chiuso.

Esegui il

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni di valore Esempio
is_success Vero/Falso is_success:False
Bacheca casi
Tipo di risultato Valore/Descrizione Tipo
Messaggio di output*

L'azione non deve fallire né interrompere l'esecuzione di un playbook:

Se viene segnalato il codice di stato 200 (is_success = true): "Avviso con ID "{alert_id}" aggiornato correttamente in Cyberint.".

L'azione deve fallire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Aggiorna stato avviso". Motivo: {0}''.format(error.Stacktrace)

Se viene fornito "Selezionane uno": "Errore durante l'esecuzione dell'azione "Aggiorna stato avviso". Motivo: devi fornire "Stato".''

Se il parametro "Stato" è impostato su "Chiuso", ma il parametro "Motivo chiusura" non viene fornito: "Errore durante l'esecuzione dell'azione "Aggiorna stato avviso". Motivo: se "Stato" è "Chiuso", devi fornire "Motivo chiusura".''

 Generale

Connettori

Cyberint - Connettore avvisi

Descrizione

Estrai informazioni sugli avvisi da Cyberint.

Configurare Cyberint - Connettore avvisi in Google SecOps

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, consulta Configurare il connettore.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Nome campo prodotto Stringa Nome del prodotto Sì Inserisci il nome del campo di origine per recuperare il nome del campo del prodotto.
Nome campo evento Stringa tipo Sì Inserisci il nome del campo di origine per recuperare il nome del campo dell'evento.
Nome campo ambiente Stringa "" No

Descrive il nome del campo in cui è memorizzato il nome dell'ambiente.

Se il campo dell'ambiente non viene trovato, l'ambiente è quello predefinito.
Pattern regex ambiente Stringa .* No

Un pattern regex da eseguire sul valore trovato nel campo "Nome campo ambiente".

Il valore predefinito è .* per acquisire tutto e restituire il valore invariato.

Utilizzato per consentire all'utente di manipolare il campo dell'ambiente tramite la logica regex.

Se il pattern regex è null o vuoto oppure il valore dell'ambiente è null, il risultato finale dell'ambiente è l'ambiente predefinito.
Timeout dello script (secondi) Numero intero 180 Sì Limite di timeout per il processo Python che esegue lo script corrente.
Root API Stringa https://{instance}.cyberint.io Sì Root API dell'istanza Cyberint.
Chiave API Password N/D Sì Chiave API dell'istanza Cyberint.
Gravità minima da recuperare Numero intero N/D No Il rischio più basso da utilizzare per recuperare gli avvisi. Valori possibili: Basso, Medio, Alto, Molto alto. Se non viene specificato nulla, il connettore importerà gli avvisi con tutte le gravità.
Numero massimo di ore indietro Numero intero 1 No Numero di ore da cui recuperare gli avvisi.
Numero massimo di avvisi da recuperare Numero intero 100 No Numero di avvisi da elaborare per ogni iterazione del connettore. Valore predefinito: 100.
Utilizza la lista consentita come lista bloccata Casella di controllo Deselezionata Sì Se questa opzione è abilitata, la lista consentita verrà utilizzata come lista bloccata.
Verifica SSL Casella di controllo Selezionata Sì Se questa opzione è abilitata, verifica che il certificato SSL per la connessione al server Cyberint sia valido.
Indirizzo del server proxy Stringa N/D No L'indirizzo del server proxy da utilizzare.
Nome utente proxy Stringa N/D No Il nome utente del proxy per l'autenticazione.
Password proxy Password N/D No La password del proxy per l'autenticazione.
Disabilita overflow Booleano Deselezionata Sì Se questa opzione è abilitata, il connettore ignora il meccanismo di overflow.

Regole del connettore

Supporto proxy

Il connettore supporta il proxy.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.