Devo

Neste documento, descrevemos como integrar o Devo ao Google Security Operations.

Permissão do produto

A Devo oferece vários métodos de autenticação descritos no documento Credenciais de segurança, disponível na documentação da Devo.

A integração do Google Security Operations é compatível com tokens de autenticação ou chaves de acesso para autenticação.

Recomendamos configurar a autenticação baseada em token:

  1. Acesse o documento Tokens de autenticação disponível na documentação do Devo.
  2. Siga as etapas para criar um token. Na etapa 3, selecione Consultar dados usando a API REST.
  3. Na etapa 4, para a tabela de destino, especifique "siem.logtrust.alert.info".

Conclua o processo de criação de acordo com a documentação para receber um token.

API

Para mais informações sobre a API, consulte o documento de referência da API disponível na documentação do Devo.

Configurar a integração do Devo no Google SecOps

Para instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
URL da API String https://apiv2-us.devo.com Sim Especifique a raiz da API para a instância de destino do Devo.
Token da API Senha N/A Não

Se uma autenticação baseada em token for usada, especifique o token de API para a instância de destino do Devo.

Se o token e as chaves de acesso forem fornecidos, a integração vai funcionar no token de API e ignorar as chaves de acesso.
Chave de API Senha N/A Não Se uma autenticação de chaves de acesso for usada, especifique a chave de API para a instância de destino do Devo.
Chave secreta da API Senha N/A Não Se uma autenticação de chaves de acesso for usada, especifique a chave secreta da API para a instância de destino do Devo.
Verificar SSL Caixa de seleção Selecionado Não Se ativado, o servidor do Google SecOps verifica o certificado configurado para a raiz da API.

Casos de uso

  1. O Devo pode ser usado como uma fonte de alertas para o Google SecOps processar.
  2. O Devo pode ser consultado no Google SecOps para enriquecer o contexto de alertas do Google SecOps.

Ações

Ping

Descrição

Teste a conectividade com a instância do Devo usando os parâmetros fornecidos na página de configuração de integração na página do Google SecOps Content Hub.

Se "siem.logtrust.alert.info" não for concedido para o token de acesso gerado, a ação Ping vai falhar, mesmo que o token seja válido. Para mais informações, consulte a seção Permissão do produto.

Parâmetros

N/A

Caso de uso

A ação é usada para testar a conectividade na página de configuração de integração na página do Google SecOps Content Hub e pode ser executada como uma ação manual, não usada em playbooks.

Corrida

A ação não é executada em entidades nem tem parâmetros de entrada obrigatórios.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success=False
Resultado do JSON
N/A
Enriquecimento de entidades

N/A

Insights

N/A

Painel de casos
Tipo de resultado Valor/Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se a conexão for bem-sucedida: "Conexão com a instância do Devo estabelecida usando os parâmetros fornecidos."

A ação deve falhar e interromper a execução de um playbook:

Se não for bem-sucedida: "Failed to connect to the LogRhythm server! O erro é {0}".format(exception.stacktrace)

 Geral

Consulta avançada

Descrição

Executa uma consulta avançada com base nos parâmetros fornecidos. A ação não está funcionando em entidades do Google SecOps. Para consultar uma tabela diferente de siem.logtrust.alert.info, crie um token adicional para essa tabela seguindo o documento Tokens de autenticação disponível na documentação do Devo e especifique-o na página de configuração da integração.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Consulta String N/A Sim

Especifique uma consulta para executar na instância do Devo.

Exemplo: "from siem.logtrust.alert.info".
Período DDL

Última hora

Valores possíveis:

  • Última hora
  • Últimas 6 horas
  • Últimas 24 horas
  • Última semana
  • Mês anterior
  • Personalizado
 Não

Especifique um período para os resultados.

Se "Personalizado" for selecionado, você também precisará fornecer o parâmetro "Horário de início".
Horário de início String N/A Não

Especifique o horário de início da consulta.

Esse parâmetro é obrigatório se "Personalizado" estiver selecionado para o parâmetro "Período".

Formato: ISO 8601

Exemplo: 2021-08-05T05:18:42Z
Horário de término String N/A Não

Especifique o horário de término da consulta.

Se nada for fornecido e "Personalizado" for selecionado para o parâmetro "Período", esse parâmetro vai usar o horário atual.

Formato: ISO 8601

Exemplo: 2021-08-05T05:18:42Z
Número máximo de linhas a serem retornadas Inteiro 50 Não Especifique o número máximo de linhas que a ação deve retornar.

Corrida

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success=False
Resultado do JSON
{
   "msg": "",
   "timestamp": 1630483519438,
   "cid": "01a5d92a25ba",
   "status": 0,
   "object": [
       {
           "eventdate": 1619452643049,
           "alertHost": "backoffice",
           "domain": "siemplify",
           "priority": 7.0,
           "context": "my.alert.siemplify.500",
           "category": "my.context",
           "status": 0,
           "alertId": "22797077",
           "srcIp": null,
           "srcPort": null,
           "srcHost": "",
           "dstIp": null,
           "dstPort": null,
           "dstHost": "",
           "protocol": "",
           "username": "user@siemplify.co",
           "application": "",
           "engine": "pil01-pro-custom-us-aws",
           "extraData": "{\"count\":\"13\",\"eventdate\":\"2021-04-26+15%3A56%3A30.0\"}"
       }
   ]
}
Enriquecimento de entidades

N/A

Insights

N/A

Painel de casos
Tipo de resultado Valor/Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se pelo menos alguns dados forem encontrados (is_success=true): "Os resultados da consulta fornecida foram recuperados com sucesso no Devo."

Se nenhum resultado for encontrado (is_success=false): "Nenhum resultado encontrado para a consulta fornecida no Devo."

A ação deve falhar e interromper a execução de um playbook:

Se forem relatados erros na consulta: "Erro ao executar a ação 'Pesquisa avançada'. Motivo: {message}''.format(error.Stacktrace)

Se o parâmetro "Horário de início" estiver vazio e o parâmetro "Período" estiver definido como "Personalizado" (falha): "Erro ao executar a ação "". Motivo: o "Horário de início" precisa ser informado quando a opção "Personalizado" é selecionada no parâmetro "Período"."

Se o valor do parâmetro "Horário de início" for maior que o valor do parâmetro "Horário de término" (falha): "Erro ao executar a ação "". Motivo: o "Horário de término" precisa ser posterior ao "Horário de início".

Se um valor negativo ou 0 for definido para o parâmetro "Número máximo de linhas a serem retornadas": "Erro ao executar a ação "". Motivo: o número máximo de linhas a serem retornadas precisa ser um número positivo diferente de zero."

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Consulta avançada'. Motivo: {0}''.format(error.Stacktrace)

 Geral
Tabela

Nome da tabela:Advanced Query Results

Colunas da tabela:

Todas as colunas retornadas da resposta.

 Geral

Consulta simples

Descrição

Executar uma consulta simples com base nos parâmetros fornecidos. A ação não está funcionando em entidades do Google SecOps. Para consultar uma tabela diferente de siem.logtrust.alert.info, crie um token adicional para essa tabela seguindo o documento Tokens de autenticação disponível na documentação do Devo e especifique-o na página de configuração da integração.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome da tabela String siem.logtrust.alert.info Sim Especifique a tabela que será consultada.
Campos a serem retornados CSV N/A Não

Especifique os campos que serão retornados.

Se nada for fornecido, a ação vai retornar todos os campos.
Filtro Where String N/A Não Especifique o filtro Where para a consulta que precisa ser executada.
Período DDL

Última hora

Valores possíveis:

Última hora

Últimas 6 horas

Últimas 24 horas

Última semana

Mês anterior

Personalizado

 Não

Especifique um período para os resultados.

Se "Personalizado" for selecionado, você também precisará fornecer o parâmetro "Horário de início".
Horário de início String N/A Não

Especifique o horário de início da consulta.

Esse parâmetro é obrigatório se "Personalizado" estiver selecionado para o parâmetro "Período".

Formato: ISO 8601

Exemplo: 2021-08-05T05:18:42Z
Horário de término String N/A Não

Especifique o horário de término da consulta.

Se nada for fornecido e "Personalizado" for selecionado para o parâmetro "Período", esse parâmetro vai usar o horário atual.

Formato: ISO 8601 Exemplo: 2021-08-05T05:18:42Z
Número máximo de linhas a serem retornadas Inteiro 50 Não Especifique o número máximo de linhas que a ação deve retornar.

Corrida

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success=False
Resultado do JSON
{
   "msg": "",
   "timestamp": 1630483519438,
   "cid": "01a5d92a25ba",
   "status": 0,
   "object": [
       {
           "eventdate": 1619452643049,
           "alertHost": "backoffice",
           "domain": "siemplify",
           "priority": 7.0,
           "context": "my.alert.siemplify.500",
           "category": "my.context",
           "status": 0,
           "alertId": "22797077",
           "srcIp": null,
           "srcPort": null,
           "srcHost": "",
           "dstIp": null,
           "dstPort": null,
           "dstHost": "",
           "protocol": "",
           "username": "user@siemplify.co",
           "application": "",
           "engine": "pil01-pro-custom-us-aws",
           "extraData": "{\"count\":\"13\",\"eventdate\":\"2021-04-26+15%3A56%3A30.0\"}"
       }
   ]
}
Enriquecimento de entidades

N/A

Insights

N/A

Painel de casos
Tipo de resultado Valor/Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se pelo menos alguns dados forem encontrados (is_success=true): "Os resultados da consulta "{constructed query}" foram recuperados com sucesso no Devo."

Se nenhum resultado for encontrado (is_success=false): "Nenhum resultado encontrado para a consulta {constructed query} no Devo".

A ação deve falhar e interromper a execução de um playbook:

Se forem informados erros na consulta: "Erro ao executar a ação 'Pesquisa simples'. Motivo: {message}''.format(error.Stacktrace)

Se o parâmetro "Horário de início" estiver vazio e o parâmetro "Período" estiver definido como "Personalizado" (falha): "Erro ao executar a ação "". Motivo: o "Horário de início" precisa ser informado quando a opção "Personalizado" é selecionada no parâmetro "Período"."

Se o valor do parâmetro "Horário de início" for maior que o valor do parâmetro "Horário de término" (falha): "Erro ao executar a ação "". Motivo: o "Horário de término" precisa ser posterior ao "Horário de início".

Se um valor negativo ou 0 for definido para o parâmetro "Máximo de linhas a serem retornadas": "Erro ao executar a ação "". Motivo: "Máximo de linhas a serem retornadas" precisa ser um número positivo diferente de zero."

Se um erro fatal, como credenciais incorretas, falta de conexão com o servidor ou outro, for relatado: "Erro ao executar a ação 'Consulta simples'. Motivo: {0}''.format(error.Stacktrace)

 Geral
Tabela

Nome da tabela:resultados da consulta simples

Colunas da tabela:todas as colunas retornadas da resposta.

 Geral

Conectores

Conector de alertas do Devo

Descrição

O conector pode ser usado para buscar registros de alerta da tabela siem.logtrust.alert.info da Devo. A lista de permissões do conector pode ser usada para ingerir apenas tipos específicos de alertas com base no valor do contexto do alerta.

Configurar o conector de alertas do Devo no Google SecOps

Para instruções detalhadas sobre como configurar um conector no Google SecOps, consulte Configurar o conector.

Parâmetros do conector

Use os seguintes parâmetros para configurar o conector:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do campo do produto String Devo Sim Insira o nome do campo de origem para recuperar o nome do campo do produto.
Nome do campo do evento String "context" Sim Insira o nome do campo de origem para recuperar o nome do campo de evento.
Nome do campo do ambiente String "" Não

Descreve o nome do campo em que o nome do ambiente é armazenado.

Se o campo de ambiente não for encontrado, o ambiente será o padrão.
Padrão Regex do ambiente String .* Não

Um padrão de regex para ser executado no valor encontrado no campo "Nome do campo de ambiente".

O padrão é .* para capturar tudo e retornar o valor inalterado.

Usado para permitir que o usuário manipule o campo de ambiente usando a lógica de regex.

Se o padrão de regex for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
URL da API String https://apiv2-us.devo.com Sim Especifique o URL da API para a instância de destino do Devo.
Token da API Senha N/A Não Se uma autenticação baseada em token for usada, especifique o token de API para a instância de destino do Devo.
Chave de API Senha N/A Não Se uma autenticação de chaves de acesso for usada, especifique a chave de API para a instância de destino do Devo.
Chave secreta da API Senha N/A Não Se uma autenticação de chaves de acesso for usada, especifique a chave secreta da API para a instância de destino do Devo.
Verificar SSL Caixa de seleção Selecionado Não Se ativado, o servidor do Google SecOps verifica o certificado configurado para a raiz da API.
Tempo de deslocamento em horas Inteiro 24 Sim Busca alertas de X horas atrás.
Máximo de alertas por ciclo Inteiro 30 Sim Número de alertas que devem ser processados durante uma execução do conector.
Prioridade mínima para buscar String Normal Sim

Prioridade mínima do alerta a ser ingerido no Google SecOps, por exemplo, Baixa ou Média.

Valores possíveis: muito baixo, baixo, normal, alto, muito alto
Usar a lista de permissões como uma lista de bloqueio Caixa de seleção Desmarcado Sim Se ativada, a lista de permissões será usada como uma lista de bloqueio.

Regras do conector

Suporte a proxy

O conector é compatível com proxy.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.