Cyberint

Neste documento, descrevemos como integrar o Cyberint ao Google Security Operations.

Configurar a integração do Cyberint no Google Security Operations

Para instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Raiz da API String https://{instance}.cyberint.io Sim Raiz da API da instância do Cyberint.
Chave de API Senha N/A Sim Chave de API da instância do Cyberint.
Verificar SSL Caixa de seleção Selecionado Sim Se estiver ativado, verifique se o certificado SSL para a conexão com o servidor do Cyberint é válido.

Casos de uso

Ingestão de alertas

Ações

Ping

Descrição

Teste a conectividade com o Cyberint usando os parâmetros fornecidos na página de configuração da integração na página do Google SecOps Content Hub.

Parâmetros

N/A

Corrida

A ação não usa entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success:False
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de resposta\*

A ação não pode falhar nem interromper a execução de um playbook:

Se for bem-sucedido: "A conexão com o servidor da Cyberint foi estabelecida com os parâmetros fornecidos."

A ação deve falhar e interromper a execução de um playbook:

Se não for bem-sucedido: "Falha ao se conectar ao servidor da Cyberint! O erro é {0}".format(exception.stacktrace)

 Geral

Atualizar alerta

Descrição

Atualize o alerta no Cyberint.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Código de alerta Nome N/A Sim Especifique o ID do alerta que precisa ter o status atualizado.
Status DDL

Selecione uma opção.

Valores possíveis:

  • Abrir
  • Acknowledged
  • Fechado
 Não

Especifique o status do evento.

Observação:se "Fechado" for selecionado, o parâmetro "Motivo do fechamento" também precisará ser informado.
Motivo do fechamento DDL

Selecione uma opção.

Valores possíveis:

  • Resolvido
  • Irrelevante
  • Falso
  • Positivo
 Não Especifique o motivo do fechamento para o status "Fechado".

Corrida

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success:False
Painel de casos
Tipo de resultado Valor/descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se o código de status 200 for informado (is_success = true): "O alerta com o ID "{alert_id}" foi atualizado com sucesso no Cyberint.".

A ação deve falhar e interromper a execução de um playbook:

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Atualizar status do alerta'. Motivo: {0}''.format(error.Stacktrace)

Se "Selecionar um" for fornecido: "Erro ao executar a ação 'Atualizar status do alerta'. Motivo: é necessário informar o "Status".''

Se o parâmetro "Status" estiver definido como "Closed", mas o parâmetro "Closure Reason" não for fornecido: "Error executing action "Update Alert Status". Motivo: se o "Status" for "Encerrado", você precisa informar o "Motivo do encerramento".''

 Geral

Conectores

Cyberint - Conector de alertas

Descrição

Extraia informações sobre alertas do Cyberint.

Configurar o Cyberint - Conector de alertas no Google SecOps

Para instruções detalhadas sobre como configurar um conector no Google SecOps, consulte Configurar o conector.

Parâmetros do conector

Use os seguintes parâmetros para configurar o conector:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do campo do produto String Nome do produto Sim Insira o nome do campo de origem para recuperar o nome do campo do produto.
Nome do campo do evento String tipo Sim Insira o nome do campo de origem para recuperar o nome do campo de evento.
Nome do campo do ambiente String "" Não

Descreve o nome do campo em que o nome do ambiente é armazenado.

Se o campo de ambiente não for encontrado, o ambiente será o padrão.
Padrão Regex do ambiente String .* Não

Um padrão de regex para ser executado no valor encontrado no campo "Nome do campo de ambiente".

O padrão é .* para capturar tudo e retornar o valor inalterado.

Usado para permitir que o usuário manipule o campo de ambiente usando a lógica de regex.

Se o padrão de regex for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
Tempo limite de script (segundos) Inteiro 180 Sim Limite de tempo limite para o processo do Python que executa o script atual.
Raiz da API String https://{instance}.cyberint.io Sim Raiz da API da instância do Cyberint.
Chave de API Senha N/A Sim Chave de API da instância do Cyberint.
Gravidade mais baixa para buscar Inteiro N/A Não Risco mais baixo que precisa ser usado para buscar alertas. Valores possíveis: Baixo, Médio, Alto, Muito alto. Se nada for especificado, o conector vai ingerir alertas com todas as gravidades.
Máximo de horas para trás Inteiro 1 Não Quantidade de horas de onde os alertas serão buscados.
Máximo de alertas a serem buscados Inteiro 100 Não Quantos alertas processar por iteração do conector. Padrão: 100;
Usar a lista de permissões como uma lista de bloqueio Caixa de seleção Desmarcado Sim Se ativada, a lista de permissões será usada como uma lista de bloqueio.
Verificar SSL Caixa de seleção Selecionado Sim Se ativada, verifique se o certificado SSL para a conexão com o servidor Cyberint é válido.
Endereço do servidor proxy String N/A Não O endereço do servidor proxy a ser usado.
Nome de usuário do proxy String N/A Não O nome de usuário do proxy para autenticação.
Senha do proxy Senha N/A Não A senha do proxy para autenticação.
Desativar Overflow Booleano Desmarcado Sim Se ativado, o conector ignora o mecanismo de transbordamento.

Regras do conector

Suporte a proxy

O conector é compatível com proxy.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.