Devo

Ce document explique comment intégrer Devo à Google Security Operations.

Autorisation de produit

Devo propose plusieurs méthodes d'authentification décrites dans le document Security credentials (Identifiants de sécurité) disponible dans la documentation Devo.

L'intégration de Google Security Operations est compatible avec les jetons d'authentification ou les clés d'accès pour l'authentification.

Nous vous recommandons de configurer l'authentification basée sur des jetons :

  1. Accédez au document Authentication tokens (Jetons d'authentification) disponible dans la documentation Devo.
  2. Suivez la procédure de création d'un jeton. À l'étape 3, sélectionnez Interroger des données à l'aide de l'API REST.
  3. À l'étape 4, spécifiez "siem.logtrust.alert.info" pour la table cible.

Terminez le processus de création conformément à la documentation pour obtenir un jeton.

API

Pour en savoir plus sur l'API, consultez la documentation de référence de l'API disponible dans la documentation Devo.

Configurer l'intégration Devo dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
URL de l'API Chaîne https://apiv2-us.devo.com Oui Spécifiez la racine de l'API pour l'instance Devo cible.
Jeton d'API Mot de passe N/A Non

Si une authentification basée sur un jeton est utilisée, spécifiez le jeton d'API pour l'instance Devo cible.

Si un jeton et des clés d'accès sont fournis, l'intégration fonctionne sur le jeton d'API et ignore les clés d'accès.
Clé API Mot de passe N/A Non Si l'authentification par clé d'accès est utilisée, spécifiez la clé API de l'instance Devo cible.
Code secret de l'API Mot de passe N/A Non Si l'authentification par clés d'accès est utilisée, spécifiez le code secret de l'API pour l'instance Devo cible.
Vérifier le protocole SSL Case à cocher Cochée Non Si cette option est activée, le serveur Google SecOps vérifie le certificat configuré pour la racine de l'API.

Cas d'utilisation

  1. Devo peut être utilisé comme source d'alertes à traiter par Google SecOps.
  2. Devo peut être interrogé depuis Google SecOps pour enrichir le contexte des alertes Google SecOps.

Actions

Ping

Description

Testez la connectivité à l'instance Devo avec les paramètres fournis sur la page de configuration de l'intégration dans la page Hub de contenus Google SecOps.

Si "siem.logtrust.alert.info" n'est pas accordé pour le jeton d'accès généré, l'action Ping échoue même si le jeton est valide. Pour en savoir plus, consultez la section Autorisation d'accès au produit.

Paramètres

N/A

Cas d'utilisation

L'action est utilisée pour tester la connectivité sur la page de configuration de l'intégration dans la page Google SecOps Content Hub. Elle peut être exécutée en tant qu'action manuelle, et non utilisée dans les playbooks.

Exécuter sur

L'action ne s'exécute pas sur les entités et ne comporte pas de paramètres d'entrée obligatoires.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success=False
Résultat JSON
N/A
Enrichissement d'entités

N/A

Insights

N/A

Mur des cas
Type de résultat Valeur/Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si l'opération réussit : "Successfully connected to the Devo instance with the provided connection parameters!" (Connexion à l'instance Devo établie avec les paramètres de connexion fournis)

L'action doit échouer et arrêter l'exécution d'un playbook :

Si l'opération échoue : "Failed to connect to the LogRhythm server! Error is {0}".format(exception.stacktrace)

 Général

Requête avancée

Description

Exécutez une requête avancée en fonction des paramètres fournis. Notez que l'action ne fonctionne pas sur les entités Google SecOps. Pour interroger une table autre que siem.logtrust.alert.info, créez un jeton supplémentaire pour cette table en suivant le document Authentication tokens (Jetons d'authentification) disponible dans la documentation Devo, puis spécifiez-le sur la page de configuration de l'intégration.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Query Chaîne N/A Oui

Spécifiez une requête à exécuter sur l'instance Devo.

Exemple : "from siem.logtrust.alert.info".
Période LDD

La dernière heure

Valeurs possibles :

  • La dernière heure
  • Les 6 dernières heures
  • Dernières 24 heures
  • La semaine dernière
  • Le mois dernier
  • Personnalisé
 Non

Spécifiez une période pour les résultats.

Si vous sélectionnez "Personnalisé", vous devez également fournir le paramètre "Heure de début".
Heure de début Chaîne N/A Non

Spécifiez l'heure de début de la requête.

Ce paramètre est obligatoire si "Personnalisé" est sélectionné pour le paramètre "Période".

Format : ISO 8601

Exemple : 2021-08-05T05:18:42Z
Heure de fin Chaîne N/A Non

Spécifiez l'heure de fin de la requête.

Si aucune valeur n'est fournie et que "Personnalisé" est sélectionné pour le paramètre "Période", ce paramètre utilise l'heure actuelle.

Format : ISO 8601

Exemple : 2021-08-05T05:18:42Z
Nombre maximal de lignes à renvoyer Integer 50 Non Spécifiez le nombre maximal de lignes que l'action doit renvoyer.

Exécuter sur

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success=False
Résultat JSON
{
   "msg": "",
   "timestamp": 1630483519438,
   "cid": "01a5d92a25ba",
   "status": 0,
   "object": [
       {
           "eventdate": 1619452643049,
           "alertHost": "backoffice",
           "domain": "siemplify",
           "priority": 7.0,
           "context": "my.alert.siemplify.500",
           "category": "my.context",
           "status": 0,
           "alertId": "22797077",
           "srcIp": null,
           "srcPort": null,
           "srcHost": "",
           "dstIp": null,
           "dstPort": null,
           "dstHost": "",
           "protocol": "",
           "username": "user@siemplify.co",
           "application": "",
           "engine": "pil01-pro-custom-us-aws",
           "extraData": "{\"count\":\"13\",\"eventdate\":\"2021-04-26+15%3A56%3A30.0\"}"
       }
   ]
}
Enrichissement d'entités

N/A

Insights

N/A

Mur des cas
Type de résultat Valeur/Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si au moins certaines données ont été trouvées (is_success=true) : "Successfully retrieved results for the provided query in Devo."

Si aucun résultat n'est trouvé (is_success=false) : "Aucun résultat trouvé pour la requête fournie dans Devo."

L'action doit échouer et arrêter l'exécution d'un playbook :

Si des erreurs sont signalées dans la requête : "Erreur lors de l'exécution de l'action "Recherche avancée". Reason: {message}''.format(error.Stacktrace)

Si le paramètre "Heure de début" est vide et que le paramètre "Période" est défini sur "Personnalisé" (échec) : "Erreur lors de l'exécution de l'action "". Motif : l'heure de début doit être indiquée lorsque "Personnalisé" est sélectionné dans le paramètre "Période"."

Si la valeur du paramètre "Heure de début" est supérieure à celle du paramètre "Heure de fin" (échec) : "Erreur lors de l'exécution de l'action "". Motif : l'heure de fin doit être postérieure à l'heure de début.

Si une valeur négative ou 0 est définie pour le paramètre "Nombre maximal de lignes à renvoyer" : "Erreur lors de l'exécution de l'action "". Motif : "Nombre maximal de lignes à renvoyer" doit être un nombre positif non nul."

Si une erreur fatale est signalée (par exemple, des identifiants incorrects, l'absence de connexion au serveur, etc.) : "Error executing action "Advanced Query". Reason: {0}''.format(error.Stacktrace)

 Général
Table

Nom de la table : Advanced Query Results

Colonnes du tableau :

Toutes les colonnes renvoyées par la réponse.

 Général

Requête simple

Description

Exécutez une requête simple en fonction des paramètres fournis. Notez que l'action ne fonctionne pas sur les entités Google SecOps. Pour interroger une table autre que siem.logtrust.alert.info, créez un jeton supplémentaire pour cette table en suivant le document Authentication tokens (Jetons d'authentification) disponible dans la documentation Devo, puis spécifiez-le sur la page de configuration de l'intégration.

Paramètres

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Nom de la table Chaîne siem.logtrust.alert.info Oui Spécifiez la table à interroger.
Champs à renvoyer CSV N/A Non

Spécifiez les champs à renvoyer.

Si rien n'est fourni, l'action renvoie tous les champs.
Filtre WHERE Chaîne N/A Non Spécifiez le filtre Where pour la requête à exécuter.
Période LDD

La dernière heure

Valeurs possibles :

La dernière heure

Les 6 dernières heures

Dernières 24 heures

La semaine dernière

Le mois dernier

Personnalisé

 Non

Spécifiez une période pour les résultats.

Si vous sélectionnez "Personnalisé", vous devez également fournir le paramètre "Heure de début".
Heure de début Chaîne N/A Non

Spécifiez l'heure de début de la requête.

Ce paramètre est obligatoire si "Personnalisé" est sélectionné pour le paramètre "Période".

Format : ISO 8601

Exemple : 2021-08-05T05:18:42Z
Heure de fin Chaîne N/A Non

Spécifiez l'heure de fin de la requête.

Si aucune valeur n'est fournie et que "Personnalisé" est sélectionné pour le paramètre "Période", ce paramètre utilise l'heure actuelle.

Format : ISO 8601 Exemple : 2021-08-05T05:18:42Z
Nombre maximal de lignes à renvoyer Integer 50 Non Spécifiez le nombre maximal de lignes que l'action doit renvoyer.

Exécuter sur

Cette action ne s'exécute pas sur les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
is_success Vrai/Faux is_success=False
Résultat JSON
{
   "msg": "",
   "timestamp": 1630483519438,
   "cid": "01a5d92a25ba",
   "status": 0,
   "object": [
       {
           "eventdate": 1619452643049,
           "alertHost": "backoffice",
           "domain": "siemplify",
           "priority": 7.0,
           "context": "my.alert.siemplify.500",
           "category": "my.context",
           "status": 0,
           "alertId": "22797077",
           "srcIp": null,
           "srcPort": null,
           "srcHost": "",
           "dstIp": null,
           "dstPort": null,
           "dstHost": "",
           "protocol": "",
           "username": "user@siemplify.co",
           "application": "",
           "engine": "pil01-pro-custom-us-aws",
           "extraData": "{\"count\":\"13\",\"eventdate\":\"2021-04-26+15%3A56%3A30.0\"}"
       }
   ]
}
Enrichissement d'entités

N/A

Insights

N/A

Mur des cas
Type de résultat Valeur/Description Type
Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si au moins certaines données ont été trouvées (is_success=true) : "Successfully retrieved results for the query: "{constructed query}" in Devo."

Si aucun résultat n'est trouvé (is_success=false) : "Aucun résultat trouvé pour la requête {constructed query} dans Devo".

L'action doit échouer et arrêter l'exécution d'un playbook :

Si des erreurs sont signalées dans la requête : "Erreur lors de l'exécution de l'action "Recherche simple". Reason: {message}''.format(error.Stacktrace)

Si le paramètre "Heure de début" est vide et que le paramètre "Période" est défini sur "Personnalisé" (échec) : "Erreur lors de l'exécution de l'action "". Motif : "Heure de début" doit être fourni lorsque "Personnalisé" est sélectionné dans le paramètre "Période"."

Si la valeur du paramètre "Heure de début" est supérieure à celle du paramètre "Heure de fin" (échec) : "Erreur lors de l'exécution de l'action "". Motif : l'heure de fin doit être postérieure à l'heure de début.

Si une valeur négative ou 0 est définie pour le paramètre "Nombre maximal de lignes à renvoyer" : "Erreur lors de l'exécution de l'action "". Motif : "Nombre maximal de lignes à renvoyer" doit être un nombre positif non nul."

Si une erreur fatale est signalée (par exemple, des identifiants incorrects, l'absence de connexion au serveur, etc.) : "Error executing action "Simple Query". Reason: {0}''.format(error.Stacktrace)

 Général
Table

Nom de la table : Simple Query Results

Colonnes du tableau : toutes les colonnes renvoyées par la réponse

 Général

Connecteurs

Connecteur Devo Alerts

Description

Le connecteur peut être utilisé pour récupérer les enregistrements d'alerte de la table siem.logtrust.alert.info de Devo. La liste d'autorisation de connecteurs peut être utilisée pour n'ingérer que certains types d'alertes en fonction de la valeur de contexte de l'alerte.

Configurer le connecteur d'alertes Devo dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'un connecteur dans Google SecOps, consultez Configurer le connecteur.

Paramètres du connecteur

Utilisez les paramètres suivants pour configurer le connecteur :

Nom à afficher du paramètre Type Valeur par défaut Est obligatoire Description
Nom du champ de produit Chaîne Devo Oui Saisissez le nom du champ source pour récupérer le nom du champ produit.
Nom du champ d'événement Chaîne "context" Oui Saisissez le nom du champ source pour récupérer le nom du champ d'événement.
Nom du champ d'environnement Chaîne "" Non

Nom du champ dans lequel le nom de l'environnement est stocké.

Si le champ d'environnement n'est pas trouvé, l'environnement par défaut est utilisé.
Modèle d'expression régulière de l'environnement Chaîne .* Non

Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ "Nom du champ d'environnement".

La valeur par défaut est ".*" pour tout récupérer et renvoyer la valeur inchangée.

Permet à l'utilisateur de manipuler le champ "environment" à l'aide d'une logique d'expression régulière.

Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final est l'environnement par défaut.
URL de l'API Chaîne https://apiv2-us.devo.com Oui Spécifiez l'URL de l'API pour l'instance Devo cible.
Jeton d'API Mot de passe N/A Non Si une authentification basée sur un jeton est utilisée, spécifiez le jeton d'API pour l'instance Devo cible.
Clé API Mot de passe N/A Non Si l'authentification par clé d'accès est utilisée, spécifiez la clé API de l'instance Devo cible.
Code secret de l'API Mot de passe N/A Non Si l'authentification par clés d'accès est utilisée, spécifiez le code secret de l'API pour l'instance Devo cible.
Vérifier le protocole SSL Case à cocher Cochée Non Si cette option est activée, le serveur Google SecOps vérifie le certificat configuré pour la racine de l'API.
Heure du décalage en heures Integer 24 Oui Récupérez les alertes des X dernières heures.
Nombre maximal d'alertes par cycle Integer 30 Oui Nombre d'alertes à traiter lors d'une exécution du connecteur.
Priorité minimale à récupérer Chaîne Normal Oui

Priorité minimale de l'alerte à ingérer dans Google SecOps, par exemple "Faible" ou "Moyenne".

Valeurs possibles : Très faible, Faible, Normal, Élevé, Très élevé
Utiliser la liste d'autorisation comme liste de blocage Case à cocher Décochée Oui Si cette option est activée, la liste d'autorisation est utilisée comme liste de blocage.

Règles du connecteur

Assistance de proxy

Le connecteur est compatible avec le proxy.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.