Devo

In diesem Dokument wird beschrieben, wie Sie Devo in Google Security Operations einbinden.

Produktberechtigung

Devo bietet mehrere Authentifizierungsmethoden, die im Dokument Sicherheitsanmeldedaten in der Devo-Dokumentation beschrieben werden.

Die Google Security Operations-Integration unterstützt entweder Authentifizierungstokens oder Zugriffsschlüssel für die Authentifizierung.

Es wird empfohlen, die tokenbasierte Authentifizierung zu konfigurieren:

  1. Rufen Sie das Dokument Authentifizierungstokens in der Devo-Dokumentation auf.
  2. Folgen Sie der Anleitung zum Erstellen eines Tokens. Wählen Sie in Schritt 3 Daten mit der REST API abfragen aus.
  3. Geben Sie in Schritt 4 für die Zieltabelle „siem.logtrust.alert.info“ an.

Schließen Sie den Erstellungsprozess gemäß der Dokumentation ab, um ein Token zu erhalten.

API

Weitere Informationen zur API finden Sie im Dokument API-Referenz in der Devo-Dokumentation.

Devo-Integration in Google SecOps konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
API-URL String https://apiv2-us.devo.com Ja Geben Sie den API-Stamm für die Devo-Zielinstanz an.
API-Token Passwort – Nein

Wenn eine tokenbasierte Authentifizierung verwendet wird, geben Sie das API-Token für die Devo-Zielinstanz an.

Wenn sowohl Token als auch Zugriffsschlüssel angegeben sind, wird die Integration über das API-Token ausgeführt und die Zugriffsschlüssel werden ignoriert.
API-Schlüssel Passwort – Nein Wenn eine Zugriffsschlüsselauthentifizierung verwendet wird, geben Sie den API-Schlüssel für die Devo-Zielinstanz an.
API-Secret Passwort – Nein Wenn eine Zugriffsschlüsselauthentifizierung verwendet wird, geben Sie das API-Secret für die Devo-Zielinstanz an.
SSL überprüfen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, prüft der Google SecOps-Server das für den API-Stamm konfigurierte Zertifikat.

Anwendungsbereiche

  1. Devo kann als Quelle für Benachrichtigungen verwendet werden, die von Google SecOps verarbeitet werden sollen.
  2. Devo kann von Google SecOps abgefragt werden, um den Kontext von Google SecOps-Benachrichtigungen zu erweitern.

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zur Devo-Instanz mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Wenn „siem.logtrust.alert.info“ für das generierte Zugriffstoken nicht gewährt wird, schlägt die Ping-Aktion fehl, auch wenn das Token gültig ist. Weitere Informationen finden Sie im Abschnitt Produktberechtigung.

Parameter

–

Anwendungsfall

Die Aktion wird verwendet, um die Verbindung auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub zu testen. Sie kann als manuelle Aktion ausgeführt werden und wird nicht in Playbooks verwendet.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
N/A
Entitätsanreicherung

–

Statistiken

–

Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Bei Erfolg: „Successfully connected to the Devo instance with the provided connection parameters!“ (Verbindung zur Devo-Instanz mit den angegebenen Verbindungsparametern erfolgreich hergestellt!)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn nicht erfolgreich: „Failed to connect to the LogRhythm server! Error is {0}".format(exception.stacktrace)

 Allgemein

Erweiterte Abfrage

Beschreibung

Führt eine erweiterte Abfrage basierend auf den angegebenen Parametern aus. Beachten Sie, dass die Aktion für Google SecOps-Entitäten nicht funktioniert. Wenn Sie eine andere Tabelle als „siem.logtrust.alert.info“ abfragen möchten, erstellen Sie ein zusätzliches Token für diese Tabelle. Folgen Sie dazu der Anleitung im Dokument Authentifizierungstokens, das in der Devo-Dokumentation verfügbar ist, und geben Sie es auf der Seite für die Integrationskonfiguration an.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Abfrage String – Ja

Geben Sie eine Abfrage an, die für die Devo-Instanz ausgeführt werden soll.

Beispiel: „from siem.logtrust.alert.info“.
Zeitraum DDL

Letzte Stunde

Mögliche Werte:

  • Letzte Stunde
  • Letzte 6 Stunden
  • Letzte 24 Stunden
  • Letzte Woche
  • Letzter Monat
  • Benutzerdefiniert
 Nein

Geben Sie einen Zeitraum für die Ergebnisse an.

Wenn „Benutzerdefiniert“ ausgewählt ist, müssen Sie auch den Parameter „Beginn“ angeben.
Beginn String – Nein

Geben Sie den Beginn für die Abfrage an.

Dieser Parameter ist obligatorisch, wenn für den Parameter „Zeitraum“ die Option „Benutzerdefiniert“ ausgewählt ist.

Format: ISO 8601

Beispiel: 2021-08-05T05:18:42Z
Ende String – Nein

Geben Sie die Endzeit für die Abfrage an.

Wenn nichts angegeben ist und für den Parameter „Zeitraum“ die Option „Benutzerdefiniert“ ausgewählt ist, wird für diesen Parameter die aktuelle Zeit verwendet.

Format: ISO 8601

Beispiel: 2021-08-05T05:18:42Z
Maximale Anzahl zurückzugebender Zeilen Ganzzahl 50 Nein Geben Sie die maximale Anzahl von Zeilen an, die die Aktion zurückgeben soll.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
   "msg": "",
   "timestamp": 1630483519438,
   "cid": "01a5d92a25ba",
   "status": 0,
   "object": [
       {
           "eventdate": 1619452643049,
           "alertHost": "backoffice",
           "domain": "siemplify",
           "priority": 7.0,
           "context": "my.alert.siemplify.500",
           "category": "my.context",
           "status": 0,
           "alertId": "22797077",
           "srcIp": null,
           "srcPort": null,
           "srcHost": "",
           "dstIp": null,
           "dstPort": null,
           "dstHost": "",
           "protocol": "",
           "username": "user@siemplify.co",
           "application": "",
           "engine": "pil01-pro-custom-us-aws",
           "extraData": "{\"count\":\"13\",\"eventdate\":\"2021-04-26+15%3A56%3A30.0\"}"
       }
   ]
}
Entitätsanreicherung

–

Statistiken

–

Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn mindestens einige Daten gefunden wurden (is_success=true): „Ergebnisse für die angegebene Abfrage in Devo wurden abgerufen.“

Wenn keine Ergebnisse gefunden werden (is_success=false): „In Devo wurden keine Ergebnisse für die angegebene Abfrage gefunden.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn in der Abfrage Fehler gemeldet werden: „Fehler beim Ausführen der Aktion ‚Erweiterte Suche‘. Reason: {message}''.format(error.Stacktrace)

Wenn der Parameter „Start Time“ leer ist und der Parameter „Time Frame“ auf „Custom“ gesetzt ist (Fehler): „Error executing action "". Reason: "Start Time" should be provided, when "Custom" is selected in the "Time Frame" parameter.“

Wenn der Wert des Parameters „Start Time“ größer ist als der Wert des Parameters „End Time“ (Fehler): „Error executing action "". Reason: "End Time" should be later than "Start Time".

Wenn für den Parameter „Max Rows to Return“ ein negativer Wert oder 0 festgelegt ist: „Error executing action "". Reason: "Max Rows to Return" should be positive, non-zero number.“

Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Erweiterte Abfrage‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein
Tabelle

Tabellenname: Erweiterte Abfrageergebnisse

Tabellenspalten:

Alle Spalten, die von der Antwort zurückgegeben werden.

 Allgemein

Einfache Abfrage

Beschreibung

Führen Sie eine einfache Abfrage basierend auf den angegebenen Parametern aus. Beachten Sie, dass die Aktion nicht für Google SecOps-Entitäten funktioniert. Wenn Sie eine andere Tabelle als „siem.logtrust.alert.info“ abfragen möchten, erstellen Sie ein zusätzliches Token für diese Tabelle. Folgen Sie dazu der Anleitung im Dokument Authentifizierungstokens, das in der Devo-Dokumentation verfügbar ist, und geben Sie es auf der Seite für die Integrationskonfiguration an.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Tabellenname String siem.logtrust.alert.info Ja Geben Sie die Tabelle an, die abgefragt werden soll.
Zurückzugebende Felder CSV – Nein

Geben Sie die Felder an, die zurückgegeben werden sollen.

Wenn nichts angegeben ist, gibt die Aktion alle Felder zurück.
Where-Filter String – Nein Geben Sie den Where-Filter für die Abfrage an, die ausgeführt werden soll.
Zeitraum DDL

Letzte Stunde

Mögliche Werte:

Letzte Stunde

Letzte 6 Stunden

Letzte 24 Stunden

Letzte Woche

Letzter Monat

Benutzerdefiniert

 Nein

Geben Sie einen Zeitraum für die Ergebnisse an.

Wenn „Benutzerdefiniert“ ausgewählt ist, müssen Sie auch den Parameter „Beginn“ angeben.
Beginn String – Nein

Geben Sie den Beginn für die Abfrage an.

Dieser Parameter ist obligatorisch, wenn für den Parameter „Zeitraum“ die Option „Benutzerdefiniert“ ausgewählt ist.

Format: ISO 8601

Beispiel: 2021-08-05T05:18:42Z
Ende String – Nein

Geben Sie die Endzeit für die Abfrage an.

Wenn nichts angegeben ist und für den Parameter „Zeitraum“ die Option „Benutzerdefiniert“ ausgewählt ist, wird für diesen Parameter die aktuelle Zeit verwendet.

Format: ISO 8601, Beispiel: 2021-08-05T05:18:42Z
Maximale Anzahl zurückzugebender Zeilen Ganzzahl 50 Nein Geben Sie die maximale Anzahl von Zeilen an, die die Aktion zurückgeben soll.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
   "msg": "",
   "timestamp": 1630483519438,
   "cid": "01a5d92a25ba",
   "status": 0,
   "object": [
       {
           "eventdate": 1619452643049,
           "alertHost": "backoffice",
           "domain": "siemplify",
           "priority": 7.0,
           "context": "my.alert.siemplify.500",
           "category": "my.context",
           "status": 0,
           "alertId": "22797077",
           "srcIp": null,
           "srcPort": null,
           "srcHost": "",
           "dstIp": null,
           "dstPort": null,
           "dstHost": "",
           "protocol": "",
           "username": "user@siemplify.co",
           "application": "",
           "engine": "pil01-pro-custom-us-aws",
           "extraData": "{\"count\":\"13\",\"eventdate\":\"2021-04-26+15%3A56%3A30.0\"}"
       }
   ]
}
Entitätsanreicherung

–

Statistiken

–

Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn mindestens einige Daten gefunden wurden (is_success=true): „Ergebnisse für die Abfrage ‚{constructed query}‘ in Devo wurden abgerufen.“

Wenn keine Ergebnisse gefunden werden (is_success=false): „Keine Ergebnisse für die Abfrage {constructed query} in Devo gefunden.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn in der Abfrage Fehler gemeldet werden: „Fehler beim Ausführen der Aktion ‚Einfache Suche‘. Reason: {message}''.format(error.Stacktrace)

Wenn der Parameter „Start Time“ leer ist und der Parameter „Time Frame“ auf „Custom“ gesetzt ist (Fehler): „Error executing action "". Reason: "Start Time" should be provided, when "Custom" is selected in the "Time Frame" parameter.“

Wenn der Wert des Parameters „Start Time“ größer ist als der Wert des Parameters „End Time“ (Fehler): „Error executing action "". Reason: "End Time" should be later than "Start Time".

Wenn für den Parameter „Max Rows to Return“ ein negativer Wert oder 0 festgelegt ist: „Error executing action "". Reason: "Max Rows to Return" should be positive, non-zero number.“

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Einfache Abfrage‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein
Tabelle

Tabellenname: Simple Query Results

Tabellenspalten: Alle Spalten, die in der Antwort zurückgegeben werden

 Allgemein

Connectors

Devo Alerts Connector

Beschreibung

Mit dem Connector können Benachrichtigungsdatensätze aus der Tabelle „siem.logtrust.alert.info“ von Devo abgerufen werden. Mit der Connector-Zulassungsliste können Sie nur bestimmte Arten von Benachrichtigungen basierend auf dem Kontextwert der Benachrichtigung aufnehmen.

Devo Alerts-Connector in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Produktfeldname String Devo Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds String "context" Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds String "" Nein

Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung String .* Nein

Ein Regex-Muster, das für den Wert im Feld „Environment Field Name“ ausgeführt werden soll.

Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben.

Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ mithilfe von Regex-Logik zu bearbeiten.

Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
API-URL String https://apiv2-us.devo.com Ja Geben Sie die API-URL für die Devo-Zielinstanz an.
API-Token Passwort – Nein Wenn eine tokenbasierte Authentifizierung verwendet wird, geben Sie das API-Token für die Devo-Zielinstanz an.
API-Schlüssel Passwort – Nein Wenn eine Zugriffsschlüsselauthentifizierung verwendet wird, geben Sie den API-Schlüssel für die Devo-Zielinstanz an.
API-Secret Passwort – Nein Wenn eine Zugriffsschlüsselauthentifizierung verwendet wird, geben Sie das API-Secret für die Devo-Zielinstanz an.
SSL überprüfen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, prüft der Google SecOps-Server das für den API-Stamm konfigurierte Zertifikat.
Zeitversatz in Stunden Ganzzahl 24 Ja Ruft Benachrichtigungen von X Stunden rückwärts ab.
Max. Anzahl an Benachrichtigungen pro Zyklus Ganzzahl 30 Ja Anzahl der Benachrichtigungen, die während einer Connector-Ausführung verarbeitet werden sollen.
Mindestpriorität für das Abrufen String Normal Ja

Mindestpriorität der Benachrichtigung, die in Google SecOps aufgenommen werden soll, z. B. „Niedrig“ oder „Mittel“.

Mögliche Werte: Sehr niedrig, Niedrig, Normal, Hoch, Sehr hoch
Zulassungsliste als Sperrliste verwenden Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, wird die Zulassungsliste als Sperrliste verwendet.

Connector-Regeln

Proxyunterstützung

Der Connector unterstützt Proxy.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten