ExtraHop

Dokumen ini menjelaskan cara mengintegrasikan ExtraHop dengan Google Security Operations.

Mengonfigurasi integrasi ExtraHop di Google SecOps

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Parameter integrasi

Gunakan parameter berikut untuk mengonfigurasi integrasi:

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
Root API	String		Ya	Root API instance ExtraHop.
Client ID	String	T/A	Ya	Client ID instance ExtraHop.
Rahasia Klien	Sandi	T/A	Ya	Rahasia Klien instance ExtraHop.
Verifikasi SSL	Kotak centang	Dicentang	Ya	Jika diaktifkan, pastikan sertifikat SSL untuk koneksi ke server ExtraHop valid.

Kasus Penggunaan Produk

Penyerapan pemberitahuan

Tindakan

Ping

Deskripsi

Uji konektivitas ke ExtraHop dengan parameter yang disediakan di halaman konfigurasi integrasi di halaman Google SecOps Content Hub.

Parameter

T/A

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_succeed	Benar/Salah	is_succeed:False

Repositori Kasus

Jenis hasil	Nilai/Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: jika berhasil: "Successfully connected to the ExtraHop server with the provided connection parameters!" Tindakan akan gagal dan menghentikan eksekusi playbook: Jika tidak berhasil: "Failed to connect to the ExtraHop server! Error is {0}".format(exception.stacktrace)	Umum

Deteksi Update

Mengupdate deteksi di ExtraHop.

Dijalankan Pada

Tindakan ini tidak berjalan di entity.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
ID Deteksi	String	T/A	Ya	Tentukan ID deteksi yang perlu diperbarui.
Status	DDL	Nilai yang Mungkin: Tutup Dalam Proses Dikonfirmasi	Tidak	Tentukan status untuk deteksi.
Resolusi	DDL	Nilai yang Mungkin: Tindakan yang Dilakukan Tidak Ada Tindakan yang Dilakukan	Tidak	Tentukan resolusi untuk deteksi. Jika parameter Status ditetapkan ke "Closed", parameter Resolution diperlukan.
Tetapkan Kepada	String	T/A	Tidak	Tentukan nama analis yang perlu diberi tugas untuk menangani pemberitahuan. Jika "Batalkan penetapan" diberikan, tindakan ini akan menghapus penetapan dari notifikasi.

Output Tindakan

Jenis	Tersedia
Hasil Skrip	Benar
Hasil JSON	Benar
Tabel Pengayaan	Salah
Tabel Repositori Kasus	Salah
Link Repositori Kasus	Salah
Lampiran Repositori Kasus	Salah

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	Benar/Salah	is_success:False

Hasil JSON

 0: {
   "id": 4294967299,
   "start_time": 1693795020000,
   "update_time": 1693805700000,
   "end_time": 1694198520000,
   "title": "LLMNR Activity",
   "description": "[EVAL\\-W2019\\-PRD](https://wwt-mand.cloud.extrahop.com#/
   // metrics/devices/d0ded7fd86f0459890394969c49d2bf6.005056bd27330000/
   // overview?from=1693795020&interval_type=DT&until=1694198520) sent
   // Link-Local Multicast Name Resolution (LLMNR) requests that are part of an
   // internal broadcast query to resolve a hostname. The LLMNR protocol is 
   // known to be vulnerable to attacks.",
   "risk_score": 30,
   "type": "llmnr_activity_individual",
   "recommended_factors": [],
   "recommended": false,
   "categories": [
       "sec",
       "sec.hardening"
   ],
   "properties": {},
   "participants": [
       {
           "role": "offender",
           "scanner_service": null,
           "endpoint": null,
           "external": false,
           "object_id": 4294967305,
           "object_type": "device",
           "username": null,
           "id": 2
       }
   ],
   "ticket_id": null,
   "assignee": "[e-mail]",
   "status": "in_progress",
   "resolution": null,
   "mitre_tactics": [],
   "mitre_techniques": [],
   "appliance_id": 1,
   "is_user_created": false,
   "mod_time": 1694790591224,
   "create_time": 1693795051521,
   "url": "https://wwt-mand.cloud.extrahop.com/extrahop/#/detections/detail/4294
   // 967299/?from=1693794120&until=1694199420&interval_type=DT"
}

Repositori Kasus

Jenis hasil	Nilai/Deskripsi	Type (Entity \ General)
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: if returned info (is_success = true): print "Successfully updated detection with ID {detection id} in Extrahop." Tindakan akan gagal dan menghentikan eksekusi playbook: jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau error lainnya: print "Error executing action "Update Detection". Reason: {0}''.format(error.Stacktrace) Jika deteksi tidak ditemukan (kode status 404): Terjadi error saat menjalankan tindakan "Update Detection". Alasan: deteksi dengan ID {alert id} tidak ditemukan di Extrahop. Periksa ejaannya." Jika "type": "request_error": Terjadi error saat menjalankan tindakan "Update Detection". Alasan: {detail}" Jika "Status" adalah "Pilih Satu", dan tidak ada yang diberikan di "Ditugaskan Kepada": Terjadi error saat menjalankan tindakan "Update Detection". Alasan: setidaknya salah satu parameter "Status" atau "Ditugaskan Kepada" harus memiliki nilai."	Umum

Konektor

ExtraHop - Detections Connector

Deskripsi

Mengambil informasi tentang deteksi dari ExtraHop. Catatan: Filter daftar yang diizinkan berfungsi dengan parameter "type".

Mengonfigurasi ExtraHop - Detections Connector di Google SecOps

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi konektor di Google SecOps, lihat Mengonfigurasi konektor.

Parameter konektor

Gunakan parameter berikut untuk mengonfigurasi konektor:

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Diisi	Deskripsi
Nama Kolom Produk	String	Nama Produk	Ya	Masukkan nama kolom sumber untuk mengambil nama Kolom Produk.
Nama Kolom Peristiwa	String	jenis	Ya	Masukkan nama kolom sumber untuk mengambil nama Kolom Peristiwa.
Nama Kolom Lingkungan	String	""	Tidak	Menjelaskan nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ditemukan, lingkungan tersebut adalah lingkungan default.
Pola Regex Lingkungan	String	.	Tidak	Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom "Nama Kolom Lingkungan". Default-nya adalah . untuk menangkap semua dan menampilkan nilai yang tidak berubah. Digunakan untuk mengizinkan pengguna memanipulasi kolom lingkungan melalui logika ekspresi reguler. Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
Waktu Tunggu Skrip (Detik)	Bilangan bulat	180	Ya	Batas waktu tunggu untuk proses python yang menjalankan skrip saat ini.
Root API	String	https://{instance}.api.cloud.extrahop.com	Ya	Root API instance ExtraHop.
Client ID	String	T/A	Ya	Client ID instance ExtraHop.
Rahasia Klien	Sandi	T/A	Ya	Rahasia Klien instance ExtraHop.
Skor Penilaian Risiko Terendah yang Akan Diambil	Bilangan bulat	T/A	Tidak	Skor risiko terendah yang perlu digunakan untuk mengambil deteksi. Maksimum: 100. Jika tidak ada yang diberikan, konektor akan menyerap deteksi dengan semua penilaian risiko.
Jam Maksimum Mundur	Bilangan bulat	1	Tidak	Jumlah jam dari tempat pengambilan deteksi.
Deteksi Maksimum yang Akan Diambil	Bilangan bulat	100	Tidak	Jumlah deteksi yang akan diproses per satu iterasi konektor. Default: 100.
Menggunakan daftar yang diizinkan sebagai daftar yang tidak diizinkan	Kotak centang	Tidak dicentang	Ya	Jika diaktifkan, daftar yang diizinkan akan digunakan sebagai daftar yang tidak diizinkan.
Verifikasi SSL	Kotak centang	Dicentang	Ya	Jika diaktifkan, pastikan sertifikat SSL untuk koneksi ke server ExtraHop valid.
Alamat Server Proxy	String	T/A	Tidak	Alamat server proxy yang akan digunakan.
Nama Pengguna Proxy	String	T/A	Tidak	Nama pengguna proxy untuk melakukan autentikasi.
Sandi Proxy	Sandi	T/A	Tidak	Sandi proxy untuk autentikasi.

Aturan Konektor

Dukungan Proxy

Konektor mendukung proxy. Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.