Exabeam Advanced Analytics

In diesem Dokument wird beschrieben, wie Sie Exabeam Advanced Analytics in Google Security Operations einbinden.

Anwendungsbereiche

  1. Aktive Aktionen ausführen – Beobachtungslisten erstellen/löschen, Entitäten zu Beobachtungslisten hinzufügen, Kommentare zu Entitäten hinzufügen.
  2. Anreicherung durchführen: Informationen zu Entitäten mit Informationen von Exabeam anreichern.

Exabeam Advanced Analytics-Integration in Google Security Operations konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Clusterauthentifizierungstoken generieren

  1. Wählen Sie in Exabeam Einstellungen > Core > Administratorvorgänge > Cluster-Authentifizierungstoken aus. Die Seite „Cluster-Autorisierungstoken“ wird angezeigt.
  2. Klicken Sie auf das Pluszeichen. Das Dialogfeld „Token einrichten“ wird angezeigt.
  3. Geben Sie den Tokennamen und das Ablaufdatum in die entsprechenden Felder ein.
  4. Wählen Sie im Abschnitt Berechtigungsstufe die Option Standardrollen für das Token aus.
    1. Klicken Sie auf Token hinzufügen. Verwenden Sie die generierte Datei, um Ihren APIs die Authentifizierung per Token zu ermöglichen.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
API-Stamm String https://{api root} Ja API-Stamm der Exabeam Advanced Analytics-Instanz.
API-Token Secret – Ja API-Token der Exabeam Advanced Analytics-Instanz.
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Exabeam Advanced Analytics-Server gültig ist.

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zu Exabeam Advanced Analytics mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:
Bei Erfolg: „Successfully connected to the Logpoint server with the provided connection parameters!“

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:
if not successful: "Failed to connect to the Logpoint server! Error is {0}".format(exception.stacktrace)

 Allgemein

Entitäten anreichern

Beschreibung

Entitäten mit Informationen aus Exabeam Advanced Analytics anreichern Unterstützte Entitäten: Hostname, IP-Adresse und Nutzer. Der Parameter für den Ereigniszeitraum funktioniert mit Stunden.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Zeitachse für Entität zurückgeben Kästchen Wahr Ja Wenn diese Option aktiviert ist, gibt die Aktion die Zeitachse für die Entität zurück.
Zeitraum des Ereignisses Ganzzahl 24 Nein Geben Sie den Zeitraum für die Ereignisse an, die Sie sehen möchten (in Stunden).
Nur Anomalieereignisse Kästchen Wahr Nein Wenn diese Option aktiviert ist, werden nur Ereignisse zurückgegeben, die als Anomalien gelten.
Niedrigste abzurufende Ereignisrisikobewertung Ganzzahl – Nein Geben Sie an, wie hoch der niedrigste Risikowert des Ereignisses sein muss, damit es aufgenommen wird. Wenn nichts angegeben ist, wird keine Filterung durchgeführt.
Kommentare zurückgeben Kästchen Wahr Nein Wenn diese Option aktiviert ist, werden Kommentare im Zusammenhang mit der Entität zurückgegeben.
Insight erstellen Kästchen Wahr Nein Wenn diese Option aktiviert ist, wird für jede Entität eine Statistik erstellt.
Maximale Anzahl zurückzugebender Ereignisse Ganzzahl Nein Geben Sie an, wie viele Ereignisse zurückgegeben werden sollen. Wenn nichts angegeben ist, werden alle Ereignisse zurückgegeben.
Maximale Anzahl zurückzugebender Kommentare Ganzzahl 10 Nein Geben Sie an, wie viele Kommentare zurückgegeben werden sollen.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hostname
  • IP-Adresse
  • Nutzer

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis für Nutzer
{
    "username": "root",
    "userInfo": {
        "username": "root",
        "riskScore": 0.0,
        "averageRiskScore": 0.0,
        "pastScores": [
            0.0,
            0.0,
            0.0,
            0.0,
            0.0,
            0.0
        ],
        "lastSessionId": "root-20201010000111",
        "firstSeen": 1601510468890,
        "lastSeen": 1602298872682,
        "lastActivityType": "Account deleted",
        "lastActivityTime": 1602288071248,
        "info": {},
        "labels": [
            "service_account"
        ],
        "pendingRiskTransfers": []
    },
    "isExecutive": false,
    "accountNames": [],
    "peerGroupFieldName": "Peer Groups",
    "peerGroupType": "",
    "isMultiPeerGroup": true,
    "commentCount": 0,
    "isOnWatchlist": false,
    "hasDisabledModel": false,
    "hasDisabledEventType": false,
    "comments": [
        {
            "commentId": "6002d31b130b3800072d1c1d",
            "commentType": "user",
            "commentObjectId": "sysadmin",
            "text": "asd",
            "exaUser": "admin",
            "createTime": 1610797851298,
            "updateTime": 1610797851298,
            "edited": false
        }
    ],
    "events": [
        {
            "risk_score": "{value if available}",
            "source": "systemd",
            "session_id": "root-20201009000110",
            "rawlog_time": 1602201670967,
            "host": "centos-002",
            "session_order": 1,
            "hash": 1013256238,
            "event_type": "local-logon",
            "account": "root",
            "time": 1602201670967,
            "event_id": "4602@m",
            "user": "root",
            "event_code": "Started Session",
            "nonmachine_user": "root",
            "is_session_first": true
        }
    ]
}
JSON-Ergebnis für Asset
{
    "username": "root",
    "userInfo": {
        "username": "root",
        "riskScore": 0.0,
        "averageRiskScore": 0.0,
        "pastScores": [
            0.0,
            0.0,
            0.0,
            0.0,
            0.0,
            0.0
        ],
        "lastSessionId": "root-20201010000111",
        "firstSeen": 1601510468890,
        "lastSeen": 1602298872682,
        "lastActivityType": "Account deleted",
        "lastActivityTime": 1602288071248,
        "info": {},
        "labels": [
            "service_account"
        ],
        "pendingRiskTransfers": []
    },
    "isExecutive": false,
    "accountNames": [],
    "peerGroupFieldName": "Peer Groups",
    "peerGroupType": "",
    "isMultiPeerGroup": true,
    "commentCount": 0,
    "isOnWatchlist": false,
    "hasDisabledModel": false,
    "hasDisabledEventType": false,
    "comments": [
        {
            "commentId": "6002d31b130b3800072d1c1d",
            "commentType": "user",
            "commentObjectId": "sysadmin",
            "text": "asd",
            "exaUser": "admin",
            "createTime": 1610797851298,
            "updateTime": 1610797851298,
            "edited": false
        }
    ],
    "events": [
        {
            "risk_score": "{value if available}",
            "event_category": [
                "user-events",
                "asset-events"
            ],
            "source": "UNIX",
            "session_id": "sysadmin-20201009125727",
            "rawlog_time": 1602248247376,
            "host": "centos-002",
            "src_ip": "172.30.202.187",
            "session_order": 1,
            "getvalue('zone_info', src)": "siemplify",
            "dest_host": "centos-002",
            "hash": 1236616962,
            "event_type": "remote-logon",
            "src_network_type": "LAN",
            "account": "sysadmin",
            "time": 1602248247376,
            "event_id": "4619@m",
            "user": "sysadmin",
            "event_code": "ssh",
            "nonmachine_user": "sysadmin",
            "is_session_first": true,
            "entity_asset_id": "asset@centos-002-20201009"
        }
    ]
}
Entitätsanreicherung für Nutzer
Name des Anreicherungsfelds Logik – Wann anwenden?
EXBAA_riskScore Wenn in JSON verfügbar
EXBAA_pastScores Wenn in JSON verfügbar
EXBAA_lastSessionId Wenn in JSON verfügbar
EXBAA_firstSeen Wenn in JSON verfügbar
EXBAA_lastSeen Wenn in JSON verfügbar
EXBAA_lastActivityType Wenn in JSON verfügbar
EXBAA_lastActivityTime Wenn in JSON verfügbar
EXBAA_labels Wenn in JSON verfügbar
EXBAA_isExecutive Wenn in JSON verfügbar
EXBAA_commentCount Wenn in JSON verfügbar
EXBAA_accountNames Wenn in JSON verfügbar
EXBAA_isNotable Wenn in JSON verfügbar
Entitätsanreicherung für Asset
Name des Anreicherungsfelds Logik – Wann anwenden?
EXBAA_riskScore Wenn in JSON verfügbar
EXBAA_hostname Wenn in JSON verfügbar
EXBAA_ipAddress Wenn in JSON verfügbar
EXBAA_assetType Wenn in JSON verfügbar
EXBAA_lastSessionId Wenn in JSON verfügbar
EXBAA_firstSeen Wenn in JSON verfügbar
EXBAA_lastSeen Wenn in JSON verfügbar
EXBAA_labels Wenn in JSON verfügbar
EXBAA_commentCount Wenn in JSON verfügbar
EXBAA_accountNames Wenn in JSON verfügbar
EXBAA_isNotable Wenn in JSON verfügbar
Entitätsstatistik für Nutzer

Beispiel für eine Statistik

Entitätsstatistik für Asset

Beispiel für eine Statistik

Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht stoppen:
if success for entities (is_success = true): "Successfully returned information about the following entities from Exabeam Advanced Analytics:\n{0}".format(entity.identifier)

Wenn für einige nicht erfolgreich (is_success = true): „Die Aktion konnte keine Informationen zu den folgenden Entitäten aus Exabeam Advanced Analytics zurückgeben:\n {0}“.format(entity.identifier)

Wenn nicht für alle erfolgreich (is_success = false): Es wurden keine Entitäten mit Informationen von Exabeam angereichert.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

if fatal error, like wrong credentials, no connection to server, other: "Error executing action "Enrich Entities". Reason: {0}''.format(error.Stacktrace)

 Allgemein
Tabelle mit Fall-Repository

Case Wall-Tabelle basierend auf der Anreicherungstabelle, aber ohne Präfixe.

Die Idee ist, dass wir eine Spalte namens „Key“ und eine zweite Spalte namens „Value“ haben.

 Entität

Tabelle mit Fall-Repository

Für Nutzerereignisse (falls verfügbar)

Tabellenname: „{entity.identifier} Events“

Spalten:

Zeit

Risikobewertung

Typ

Host

Quelle

 Allgemein

Tabelle mit Fall-Repository

Für Asset-Ereignisse (falls verfügbar)

Tabellenname: „{entity.identifier} Events“

Spalten:

Zeit

Typ

Nutzer

Risikobewertung

Quelle

Allgemein

Tabelle mit Fall-Repository

Für Kommentare

Tabellenname: „{entity.identifier} Kommentare“

Spalten:

Nutzer

Kommentar

 Allgemein
Link zum Fall-Repository {link}

Beobachtungslisten auflisten

Beschreibung

Verfügbare Beobachtungslisten in Exabeam Advanced Analytics auflisten.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Maximale Anzahl zurückzugebender Beobachtungslisten Ganzzahl 100 Nein Geben Sie an, wie viele Watchlists zurückgegeben werden sollen.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
[
    {
        "watchlistId": "5e66f85c8fe56e9a122ccb45",
        "title": "Service Accounts",
        "category": "UserLabels"
    },
    {
        "watchlistId": "5e66f85c8fe56e9a122ccb44",
        "title": "Executive Users",
        "category": "UserLabels"
    },
    {
        "watchlistId": "5ffd9686130b3800072d1bef",
        "title": "user watchlist",
        "category": "Users"
    },
    {
        "watchlistId": "5ffb0fc0130b3800072d1bd3",
        "title": "testdan",
        "category": "Assets"
    },
    {
        "watchlistId": "5f7c37a2130b38000701691f",
        "title": "linux",
        "category": "Assets"
    },
    {
        "watchlistId": "5f7adc46130b38000701690d",
        "title": "Test-UBA",
        "category": "AssetLabels"
    },
    {
        "watchlistId": "5f22851d130b3800070168ff",
        "title": "DM Test",
        "category": "Users"
    },
    {
        "watchlistId": "5eb27c20130b3800077954e2",
        "title": "PrivilegedUsers-SailPoint",
        "category": "Users"
    },
    {
        "watchlistId": "5eb27ab6130b3800077954df",
        "title": "DisabledUsers-SailPoint",
        "category": "Users"
    },
    {
        "watchlistId": "5eb27a92130b3800077954dc",
        "title": "ServiceAccountsList-SailPoint",
        "category": "Users"
    },
    {
        "watchlistId": "5e9495d8130b380007795476",
        "title": "DANOTEST",
        "category": "Assets"
    }
]
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:
Wenn 200 und Daten verfügbar sind(is_success = true): „Verfügbare Watchlists wurden erfolgreich aus Exabeam Advanced Analytics abgerufen“.

Wenn 200 und Daten nicht verfügbar sind: „In Exabeam Advanced Analytics wurden keine Beobachtungslisten gefunden“.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Beobachtungsliste auflisten‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein
Tabelle mit Fall-Repository

Tabellenname: „Verfügbare Watchlists“

Spalten

Beobachtungslisten-ID

Titel

Kategorie

 Allgemein

Watchlist-Elemente auflisten

Beschreibung

Verfügbare Elemente in Beobachtungslisten aus Exabeam Advanced Analytics auflisten.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Titel auf der Merkliste CSV – Ja Geben Sie eine durch Kommas getrennte Liste von Watchlist-Titeln an, für die Elemente zurückgegeben werden sollen.
Max. Tage zurück Ganzzahl 1 Nein Geben Sie an, wie viele Tage rückwirkend Beobachtungslisten aufgeführt werden sollen. Der Standardwert ist 1.
Maximale Anzahl zurückzugebender Elemente Ganzzahl 100 Nein Geben Sie an, wie viele Elemente der Beobachtungsliste zurückgegeben werden sollen.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "title": "Test-UBA",
    "creator": "admin",
    "accessControl": "public",
    "category": "AssetLabels",
    "description": "Testing for dev purpose",
    "isOutOfBox": false,
    "items": [],
    "criteria": [
        "Server",
        "Workstation",
        "LdifFile",
        "Domain Controller",
        "TopTalker",
        "EducatedGuess"
    ],
    "totalNumberOfItems": 3,
    "accessControlRoles": [],
    "numberOfNotableItems": 0
}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte weder fehlschlagen noch die Ausführung eines Playbooks stoppen:
Wenn Daten verfügbar sind(is_success = true): „Successfully retrieve available items for the following watchlists in Exabeam Advanced Analytics:\n{0}“.format(list of watchlist titles)

Wenn für einige Daten nicht verfügbar sind(is_success = true): „Die Aktion konnte keine verfügbaren Elemente für die folgenden Beobachtungslisten in Exabeam Advanced Analytics abrufen:\n{0}“.format(Liste der Beobachtungslistentitel)

Wenn für alle keine Daten verfügbar sind: „In Exabeam Advanced Analytics wurden keine Elemente für die angegebenen Beobachtungslisten gefunden.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Beobachtungslisten auflisten‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Tabelle „Fall-Repository“
(für Nutzer)

Tabellenname: „Watchlists {0} Items“.format(watchlist title)

Spalten

Nutzername

Risikobewertung

 Allgemein

Tabelle „Fall-Repository“
(für Assets)

Table Name: "Watchlists {0} Items".format(watchlist title)

Spalten

Typ

Endpunkt

Risikobewertung

 Allgemein

Entität zur Beobachtungsliste hinzufügen

Beschreibung

Fügen Sie Entitäten zur Beobachtungsliste in Exabeam Advanced Analytics hinzu.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Titel der Beobachtungsliste String – Ja Geben Sie den Titel der Beobachtungsliste an, der Sie Entitäten hinzufügen möchten.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hostname
  • IP-Adresse
  • Nutzer

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn Daten verfügbar sind(is_success = true): „Die folgenden Entitäten wurden der Beobachtungsliste {0} in Exabeam Advanced Analytics hinzugefügt:\n{1}“.format( Titel der Beobachtungsliste, Entitäts-ID)

Wenn einige nicht hinzugefügt wurden(is_success = true): „Die Aktion konnte die folgenden Entitäten nicht zur Merkliste {0} in Exabeam Advanced Analytics hinzufügen:\n{1}“.format(watchlist title, entity identifier)

Wenn keine hinzugefügt wurden: „No entities were added to the watchlist {0} in Exabeam Advanced Analytics“.format(watchlist title)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Entität zur Watchlist hinzufügen‘. Reason: {0}''.format(error.Stacktrace)

Wenn die Beobachtungsliste nicht gefunden wird: „Fehler beim Ausführen der Aktion ‚Entität zur Beobachtungsliste hinzufügen‘. Grund: Die Beobachtungsliste {0} wurde in Exabeam Advanced Analytics nicht gefunden.''.format(watchlist title)

Wenn die Kategorie der Beobachtungsliste „AssetLabel“ oder „UserLabel“ ist: „Fehler beim Ausführen der Aktion ‚Entität zur Beobachtungsliste hinzufügen‘. Grund: Beobachtungslisten mit der Kategorie „AssetLabels“ und „UserLabels“ werden in dieser Aktion nicht unterstützt.''

 Allgemein

Entität aus Beobachtungsliste entfernen

Beschreibung

Entfernen Sie Entitäten aus der Beobachtungsliste in Exabeam Advanced Analytics.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Titel der Beobachtungsliste String – Ja Geben Sie den Titel der Beobachtungsliste an, aus der Sie Entitäten entfernen möchten.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hostname
  • IP-Adresse
  • Nutzer

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

if removed(is_success = true): "Successfully removed the following entities from the watchlist{0} in Exabeam Advanced Analytics:\n{1}".format(title, entity identifier)

Wenn einige nicht hinzugefügt wurden(is_success = true): „Die Aktion konnte die folgenden Entitäten nicht aus der Beobachtungsliste {0} in Exabeam Advanced Analytics entfernen:\n{1}“.format(title, entity identifier)

Wenn keine hinzugefügt wurden: „No entities were removed from the watchlist {0} in Exabeam Advanced Analytics“.format(watchlist title)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Entität aus Beobachtungsliste entfernen‘. Reason: {0}''.format(error.Stacktrace)

Wenn die Beobachtungsliste nicht gefunden wird: „Fehler beim Ausführen der Aktion ‚Entität aus Beobachtungsliste entfernen‘. Grund: Die Beobachtungsliste {0} wurde in Exabeam Advanced Analytics nicht gefunden.''.format(watchlist title)

Wenn Beobachtungslistenkategorie == „AssetLabel“ oder „UserLabel“: „Fehler beim Ausführen der Aktion ‚Entität aus Beobachtungsliste entfernen‘. Grund: Beobachtungslisten mit der Kategorie „AssetLabels“ und „UserLabels“ werden in dieser Aktion nicht unterstützt.''

 Allgemein

Kommentare zur Entität hinzufügen

Beschreibung

Kommentare zu Entitäten in Exabeam Advanced Analytics hinzufügen Unterstützte Entitäten: Hostname, IP-Adresse und Nutzer.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Kommentar String – Ja Geben Sie den Kommentar an, der der Entität hinzugefügt werden soll.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • Hostname
  • IP-Adresse
  • Nutzer

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "newComment": {
        "commentId": "6003e6e8130b3800072d1c35",
        "commentType": "asset",
        "commentObjectId": "centos-002",
        "text": "qwe",
        "exaUser": "admin",
        "createTime": 1610868456906,
        "updateTime": 1610868456906,
        "edited": false
    }
}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

if status code 200 for some(is_success = true): "Successfully added comment to the following entities {0} in Exabeam Advanced Analytics:\n{1}".format(entity identifier)

Wenn die Entität nicht gefunden wird: „Action wasn't able to add comment to the following entities {0} in Exabeam Advanced Analytics:\n{1}".format(entity identifier)

Wenn keine Entitäten vorhanden sind: „Den bereitgestellten Entitäten wurden keine Kommentare hinzugefügt.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Kommentare zu Entität hinzufügen‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Beobachtungsliste erstellen

Beschreibung

Erstellen Sie eine Beobachtungsliste in Exabeam Advanced Analytics.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Titel String – Ja Geben Sie den Titel für die Merkliste an.
Kategorie DDL

Nutzer

Mögliche Werte:

Nutzer

Asset

 Ja Geben Sie die Kategorie für die Beobachtungsliste an.
Zugriffssteuerung DDL

Privat

Mögliche Werte:

Öffentlich

 Ja Geben Sie die Zugriffssteuerung für die Watchlist an.
Beschreibung String – Nein Geben Sie eine Beschreibung für die Beobachtungsliste an.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "watchlistId": "6003ed61130b3800072d1c37",
    "title": "Keke",
    "category": "Users"
}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

if status code 200(is_success = true): "Successfully created watchlist {0} in Exabeam Advanced Analytics:\n{1}".format(title)

Wenn die Antwort „_apiErrorCode“ enthält (is_success=false): „Die Aktion konnte keine Watchlist in Exabeam Advanced Analytics erstellen. Reason: {0}".format(internalError)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Watchlist erstellen‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Beobachtungsliste löschen

Beschreibung

Beobachtungsliste in Exabeam Advanced Analytics löschen

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Titel der Beobachtungsliste String – Wahr Geben Sie den Titel der Merkliste an, die gelöscht werden soll.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

if status code 200(is_success = true): "Successfully deleted watchlist {0} in Exabeam Advanced Analytics:\n{1}".format(title)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Watchlist löschen‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten