Devo

En este documento, se describe cómo integrar Devo en Google Security Operations.

Permiso de producto

Devo proporciona varios métodos de autenticación que se describen en el documento Credenciales de seguridad disponible en la documentación de Devo.

La integración de Google Security Operations admite tokens de autenticación o claves de acceso para la autenticación.

Se recomienda configurar la autenticación basada en tokens:

  1. Consulta el documento Authentication tokens disponible en la documentación de Devo.
  2. Sigue los pasos para crear un token. En el paso 3, selecciona Consulta datos con la API de REST.
  3. En el paso 4, para la tabla de destino, especifica "siem.logtrust.alert.info".

Finaliza el proceso de creación según la documentación para obtener un token.

API

Para obtener más información sobre la API, consulta el documento de referencia de la API disponible en la documentación de Devo.

Configura la integración de Devo en Google SecOps

Si quieres obtener instrucciones detalladas para configurar una integración en Google SecOps, consulta Configura integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
URL de API String https://apiv2-us.devo.com Sí Especifica la raíz de la API para la instancia de Devo de destino.
Token de API Contraseña N/A No

Si se usa una autenticación basada en tokens, especifica el token de la API para la instancia de Devo de destino.

Si se proporcionan tanto el token como las claves de acceso, la integración funciona con el token de la API y se ignoran las claves de acceso.
Clave de API Contraseña N/A No Si se usa una autenticación de claves de acceso, especifica la clave de API para la instancia de Devo de destino.
Secreto de API Contraseña N/A No Si se usa una autenticación de claves de acceso, especifica el secreto de API para la instancia de Devo de destino.
Verificar SSL Casilla de verificación Marcado No Si está habilitado, el servidor de Google SecOps verifica el certificado configurado para la raíz de la API.

Casos de uso

  1. Devo se puede usar como una fuente de alertas para que Google SecOps las procese.
  2. Se puede consultar Devo desde Google SecOps para enriquecer el contexto de las alertas de Google SecOps.

Acciones

Ping

Descripción

Prueba la conectividad con la instancia de Devo con los parámetros proporcionados en la página de configuración de la integración en la página de Google SecOps Content Hub.

Si no se otorga "siem.logtrust.alert.info" para el token de acceso generado, la acción Ping falla, incluso si el token es válido. Para obtener más información, consulta la sección Permiso del producto.

Parámetros

N/A

Caso de uso

La acción se usa para probar la conectividad en la página de configuración de la integración en la página de Google SecOps Content Hub y se puede ejecutar como una acción manual, no se usa en las guías.

Ejecutar en

La acción no se ejecuta en entidades ni tiene parámetros de entrada obligatorios.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success=False
Resultado de JSON
N/A
Enriquecimiento de entidades

N/A

Estadísticas

N/A

Muro de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se realiza correctamente: "Successfully connected to the Devo instance with the provided connection parameters!"

La acción debería fallar y detener la ejecución de una guía:

Si no se realiza correctamente, aparecerá el mensaje "Failed to connect to the LogRhythm server! Error is {0}".format(exception.stacktrace)

 General

Consulta avanzada

Descripción

Ejecuta una consulta avanzada basada en los parámetros proporcionados. Ten en cuenta que la acción no funciona en las entidades de Google SecOps. Para consultar una tabla que no sea siem.logtrust.alert.info, crea un token adicional para esa tabla siguiendo el documento Tokens de autenticación disponible en la documentación de Devo y especifícalo en la página de configuración de la integración.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Consulta String N/A Sí

Especifica una consulta para ejecutarla en la instancia de Devo.

Ejemplo: "from siem.logtrust.alert.info".
Período DDL

Última hora

Valores posibles:

  • Última hora
  • Últimas 6 horas
  • Últimas 24 horas
  • Última semana
  • Último mes
  • Personalizado
 No

Especifica un período para los resultados.

Si se selecciona "Personalizado", también debes proporcionar el parámetro "Hora de inicio".
Hora de inicio String N/A No

Especifica la hora de inicio de la consulta.

Este parámetro es obligatorio si se selecciona "Personalizado" para el parámetro "Período".

Formato: ISO 8601

Ejemplo: 2021-08-05T05:18:42Z
Hora de finalización String N/A No

Especifica la hora de finalización de la consulta.

Si no se proporciona nada y se selecciona "Personalizado" para el parámetro "Período", este parámetro usa la hora actual.

Formato: ISO 8601

Ejemplo: 2021-08-05T05:18:42Z
Cantidad máxima de filas para devolver Número entero 50 No Especifica la cantidad máxima de filas que debe mostrar la acción.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success=False
Resultado de JSON
{
   "msg": "",
   "timestamp": 1630483519438,
   "cid": "01a5d92a25ba",
   "status": 0,
   "object": [
       {
           "eventdate": 1619452643049,
           "alertHost": "backoffice",
           "domain": "siemplify",
           "priority": 7.0,
           "context": "my.alert.siemplify.500",
           "category": "my.context",
           "status": 0,
           "alertId": "22797077",
           "srcIp": null,
           "srcPort": null,
           "srcHost": "",
           "dstIp": null,
           "dstPort": null,
           "dstHost": "",
           "protocol": "",
           "username": "user@siemplify.co",
           "application": "",
           "engine": "pil01-pro-custom-us-aws",
           "extraData": "{\"count\":\"13\",\"eventdate\":\"2021-04-26+15%3A56%3A30.0\"}"
       }
   ]
}
Enriquecimiento de entidades

N/A

Estadísticas

N/A

Muro de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se encontraron al menos algunos datos (is_success=true): "Successfully retrieved results for the provided query in Devo."

Si no se encuentran resultados (is_success=false): "No se encontraron resultados para la consulta proporcionada en Devo".

La acción debería fallar y detener la ejecución de una guía:

Si se informan errores en la consulta: "Error al ejecutar la acción "Búsqueda avanzada". Motivo: {message}''.format(error.Stacktrace)

Si el parámetro "hora de inicio" está vacío y el parámetro "Time Frame" se establece en "Custom" (falla): "Error executing action "". Reason: "hora de inicio" should be provided, when "Custom" is selected in the "Time Frame" parameter."

Si el valor del parámetro "Hora de inicio" es mayor que el valor del parámetro "Hora de finalización" (falla): "Error al ejecutar la acción "". Motivo: La "Hora de finalización" debe ser posterior a la "Hora de inicio".

Si se establece un valor negativo o 0 para el parámetro "Cantidad máxima de filas que se mostrarán": "Error al ejecutar la acción "". Motivo: "Cantidad máxima de filas que se mostrarán" debe ser un número positivo distinto de cero".

Si se informa un error grave, como credenciales incorrectas, falta de conexión con el servidor, entre otros: "Error al ejecutar la acción "Consulta avanzada". Reason: {0}''.format(error.Stacktrace)

 General
Tabla

Nombre de la tabla: Resultados de la consulta avanzada

Columnas de la tabla:

Todas las columnas que se devolvieron de la respuesta.

 General

Consulta simple

Descripción

Ejecutar una consulta simple basada en los parámetros proporcionados Ten en cuenta que la acción no funciona en las entidades de Google SecOps. Para consultar una tabla que no sea siem.logtrust.alert.info, crea un token adicional para esa tabla siguiendo el documento Tokens de autenticación disponible en la documentación de Devo y especifícalo en la página de configuración de la integración.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre de la tabla String siem.logtrust.alert.info Sí Especifica la tabla que se debe consultar.
Campos que se mostrarán CSV N/A No

Especifica los campos que se devolverán.

Si no se proporciona nada, la acción devuelve todos los campos.
Filtro Where String N/A No Especifica el filtro Where para la consulta que se debe ejecutar.
Período DDL

Última hora

Valores posibles:

Última hora

Últimas 6 horas

Últimas 24 horas

Última semana

Último mes

Personalizado

 No

Especifica un período para los resultados.

Si se selecciona "Personalizado", también debes proporcionar el parámetro "Hora de inicio".
Hora de inicio String N/A No

Especifica la hora de inicio de la consulta.

Este parámetro es obligatorio si se selecciona "Personalizado" para el parámetro "Período".

Formato: ISO 8601

Ejemplo: 2021-08-05T05:18:42Z
Hora de finalización String N/A No

Especifica la hora de finalización de la consulta.

Si no se proporciona nada y se selecciona "Personalizado" para el parámetro "Período", este parámetro usa la hora actual.

Formato: ISO 8601 Ejemplo: 2021-08-05T05:18:42Z
Cantidad máxima de filas para devolver Número entero 50 No Especifica la cantidad máxima de filas que debe mostrar la acción.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero o falso is_success=False
Resultado de JSON
{
   "msg": "",
   "timestamp": 1630483519438,
   "cid": "01a5d92a25ba",
   "status": 0,
   "object": [
       {
           "eventdate": 1619452643049,
           "alertHost": "backoffice",
           "domain": "siemplify",
           "priority": 7.0,
           "context": "my.alert.siemplify.500",
           "category": "my.context",
           "status": 0,
           "alertId": "22797077",
           "srcIp": null,
           "srcPort": null,
           "srcHost": "",
           "dstIp": null,
           "dstPort": null,
           "dstHost": "",
           "protocol": "",
           "username": "user@siemplify.co",
           "application": "",
           "engine": "pil01-pro-custom-us-aws",
           "extraData": "{\"count\":\"13\",\"eventdate\":\"2021-04-26+15%3A56%3A30.0\"}"
       }
   ]
}
Enriquecimiento de entidades

N/A

Estadísticas

N/A

Muro de casos
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se encontraron al menos algunos datos (is_success=true): "Successfully retrieved results for the query: "{constructed query}" in Devo."

Si no se encuentran resultados (is_success=false): "No se encontraron resultados para la consulta {constructed query} en Devo".

La acción debería fallar y detener la ejecución de una guía:

Si se informan errores en la consulta: "Error al ejecutar la acción "Búsqueda simple". Motivo: {message}''.format(error.Stacktrace)

Si el parámetro "Hora de inicio" está vacío y el parámetro "Período" se establece en "Personalizado" (falla): "Error al ejecutar la acción "". Motivo: Se debe proporcionar la "Hora de inicio" cuando se selecciona "Personalizado" en el parámetro "Período"."

Si el valor del parámetro "Hora de inicio" es mayor que el valor del parámetro "Hora de finalización" (falla): "Error al ejecutar la acción "". Motivo: La "Hora de finalización" debe ser posterior a la "Hora de inicio".

Si se establece un valor negativo o 0 para el parámetro "Cantidad máxima de filas que se mostrarán": "Error al ejecutar la acción "". Motivo: "Cantidad máxima de filas que se mostrarán" debe ser un número positivo distinto de cero".

Si se informa un error fatal, como credenciales incorrectas, falta de conexión al servidor, entre otros: "Error al ejecutar la acción "Consulta simple". Reason: {0}''.format(error.Stacktrace)

 General
Tabla

Nombre de la tabla: Resultados de la consulta simple

Columnas de la tabla: Todas las columnas que se muestran en la respuesta

 General

Conectores

Conector de alertas de Devo

Descripción

El conector se puede usar para recuperar registros de alertas de la tabla siem.logtrust.alert.info de Devo. La lista de entidades permitidas del conector se puede usar para transferir solo tipos específicos de alertas según el valor del contexto de la alerta.

Configura el conector de alertas de Devo en Google SecOps

Para obtener instrucciones detalladas sobre cómo configurar un conector en Google SecOps, consulta Configura el conector.

Parámetros del conector

Usa los siguientes parámetros para configurar el conector:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre del campo del producto String Devo Sí Ingresa el nombre del campo de origen para recuperar el nombre del campo del producto.
Nombre del campo del evento String "context" Sí Ingresa el nombre del campo de origen para recuperar el nombre del campo de evento.
Nombre del campo de entorno String "" No

Describe el nombre del campo en el que se almacena el nombre del entorno.

Si no se encuentra el campo de entorno, el entorno es el predeterminado.
Patrón de regex del entorno String .* No

Es un patrón de regex que se ejecuta en el valor que se encuentra en el campo "Nombre del campo de entorno".

El valor predeterminado es .* para capturar todo y devolver el valor sin cambios.

Se usa para permitir que el usuario manipule el campo de entorno a través de la lógica de regex.

Si el patrón de regex es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado.
URL de API String https://apiv2-us.devo.com Sí Especifica la URL de la API para la instancia de Devo de destino.
Token de API Contraseña N/A No Si se usa una autenticación basada en tokens, especifica el token de la API para la instancia de Devo de destino.
Clave de API Contraseña N/A No Si se usa una autenticación de claves de acceso, especifica la clave de API para la instancia de Devo de destino.
Secreto de API Contraseña N/A No Si se usa una autenticación de claves de acceso, especifica el secreto de API para la instancia de Devo de destino.
Verificar SSL Casilla de verificación Marcado No Si está habilitado, el servidor de Google SecOps verifica el certificado configurado para la raíz de la API.
Tiempo de desplazamiento en horas Número entero 24 Sí Recupera alertas de X horas hacia atrás.
Cantidad máx. de alertas por ciclo Número entero 30 Sí Es la cantidad de alertas que se deben procesar durante una ejecución del conector.
Prioridad mínima para recuperar String Normal Sí

Es la prioridad mínima de la alerta que se transferirá a Google SecOps, por ejemplo, Baja o Media.

Valores posibles: Muy baja, Baja, Normal, Alta, Muy alta
Usa la lista de entidades permitidas como una lista de entidades rechazadas Casilla de verificación Desmarcado Sí Si se habilita, la lista de entidades permitidas se usa como una lista de entidades bloqueadas.

Reglas de conector

Compatibilidad con proxy

El conector admite Proxy.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.