Cyberint

集成版本：4.0

在 Google Security Operations 中配置 Cyberint 集成

有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。

集成参数

使用以下参数配置集成：

参数显示名称	类型	默认值	是否为必需属性	说明
API 根	字符串	https://{instance}.cyberint.io	是	Cyberint 实例的 API 根。
API 密钥	密码	不适用	是	Cyberint 实例的 API 密钥。
验证 SSL	复选框	勾选	是	如果已启用，请验证与 Cyberint 服务器的连接所用的 SSL 证书是否有效。

注意： 如果需要，您可以在稍后阶段进行更改。配置完成后，您可以在 playbook 中使用实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

使用场景

提醒提取

操作

Ping

说明

使用 Google Security Operations Marketplace 标签页中集成配置页面上提供的参数测试与 Cyberint 的连接。

参数

不适用

运行于

该操作不使用实体，也没有强制性输入参数。

操作执行结果

脚本结果

脚本结果名称	值选项	示例
is_success	True/False	is_success:False

案例墙

结果类型	值 / 说明	类型
输出消息\*	操作不应失败，也不应停止 playbook 执行： 如果成功：“已使用提供的连接参数成功连接到 Cyberint 服务器！” 操作应失败并停止 playbook 执行： 如果不成功：“Failed to connect to the Cyberint server! 错误为 {0}".format(exception.stacktrace)	常规

更新提醒

说明

更新 Cyberint 中的提醒。

参数

参数显示名称	类型	默认值	是否为必需属性	说明
提醒 ID	名称	不适用	是	指定需要更新状态的提醒的 ID。
状态	DDL	选择一项 可能的值： 打开 已确认 已关闭	否	指定活动的状态。 注意：如果选择“已关闭”，则还需要提供“关闭原因”参数。
关闭原因	DDL	选择一项 可能的值： 已解决 不相关 错误 Positive	否	为“已关闭”状态指定关闭原因。

运行于

此操作不会在实体上运行。

操作执行结果

脚本结果

脚本结果名称	值选项	示例
is_success	True/False	is_success:False

案例墙

结果类型	值/说明	类型
输出消息*	操作不应失败，也不应停止 playbook 执行： 如果报告了 200 状态代码 (is_success = true)：“已成功在 Cyberint 中更新 ID 为 "{alert_id}" 的提醒。”。 操作应失败并停止 playbook 执行： 如果报告了致命错误（例如凭据错误、无法连接到服务器等）：“执行操作‘更新提醒状态’时出错。原因：{0}''.format(error.Stacktrace) 如果提供“Select One”：“Error executing action "Update Alert Status". 原因：必须提供“状态”。 如果“状态”形参设置为“已关闭”，但未提供“关闭原因”形参：“执行操作‘更新提醒状态’时出错。原因：如果“状态”为“已关闭”，则需要提供“关闭原因”。	常规

连接器

Cyberint - Alerts 连接器

说明

从 Cyberint 拉取有关提醒的信息。

注意： 白名单过滤条件可与“type”参数搭配使用。

在 Google SecOps 中配置 Cyberint - 提醒连接器

有关如何在 Google SecOps 中配置连接器的详细说明，请参阅配置连接器。

连接器参数

使用以下参数配置连接器：

参数显示名称	类型	默认值	是否为必需属性	说明
商品字段名称	字符串	产品名称	是	输入源字段名称，以便检索产品字段名称。
事件字段名称	字符串	类型	是	输入源字段名称，以便检索事件字段名称。
环境字段名称	字符串	""	否	描述存储环境名称的字段的名称。 如果找不到环境字段，则环境为默认环境。
环境正则表达式模式	字符串	.*	否	要对“环境字段名称”字段中找到的值运行的正则表达式模式。 默认值为 .*，用于捕获所有内容并返回未更改的值。 用于允许用户通过正则表达式逻辑来操纵环境字段。 如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
脚本超时（秒）	整数	180	是	运行当前脚本的 Python 进程的超时时间限制。
API 根	字符串	https://{instance}.cyberint.io	是	Cyberint 实例的 API 根。
API 密钥	密码	不适用	是	Cyberint 实例的 API 密钥。
要提取的最低严重程度	整数	不适用	否	用于提取提醒的最低风险。可能的值：低、中、高、非常高。如果未指定任何内容，连接器将注入所有严重程度的提醒。
回溯的小时数上限	整数	1	否	提取提醒的小时数。
要提取的提醒数量上限	整数	100	否	每次连接器迭代要处理的提醒数量。默认值：100。
将白名单用作黑名单	复选框	尚未核查	是	如果启用，白名单将用作黑名单。
验证 SSL	复选框	勾选	是	如果已启用，请验证与 Cyberint 服务器的连接所用的 SSL 证书是否有效。
代理服务器地址	字符串	不适用	否	要使用的代理服务器的地址。
代理用户名	字符串	不适用	否	用于进行身份验证的代理用户名。
代理密码	密码	不适用	否	用于进行身份验证的代理密码。

连接器规则

代理支持

连接器支持代理。

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。