ExtraHop

このドキュメントでは、ExtraHop を Google Security Operations と統合する方法について説明します。

Google SecOps で ExtraHop 統合を構成する

Google SecOps で統合を構成する方法について詳しくは、統合を構成するをご覧ください。

統合のパラメータ

次のパラメータを使用して統合を構成します。

パラメータの表示名 種類 デフォルト値 必須 説明
API ルート 文字列 ○ ExtraHop インスタンスの API ルート。
クライアント ID 文字列 なし ○ ExtraHop インスタンスのクライアント ID。
クライアント シークレット パスワード なし ○ ExtraHop インスタンスのクライアント シークレット。
SSL を確認 チェックボックス オン ○ 有効にした場合は、ExtraHop サーバーへの接続用の SSL 証明書が有効であることを確認します。

プロダクトのユースケース

アラートの取り込み

アクション

Ping

説明

Google SecOps Content Hub ページの統合構成ページで提供されているパラメータを使用して、ExtraHop への接続性をテストします。

パラメータ

なし

アクションの結果

スクリプトの結果
スクリプトの結果名 値のオプション 例
is_succeed True/False is_succeed:False

ケースウォール

結果のタイプ 値 / 説明 種類
出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

成功した場合:「指定された接続パラメータで ExtraHop サーバーに正常に接続しました。」

アクションが失敗し、ハンドブックの実行が停止します。

成功しなかった場合: 「ExtraHop サーバーに接続できませんでした。エラー: {0}」.format(exception.stacktrace)

 全般

検出を更新

ExtraHop で検出を更新します。

実行

このアクションはエンティティに対しては実行されません。

パラメータ

パラメータの表示名 種類 デフォルト値 必須 説明
検出 ID 文字列 なし ○ 更新が必要な検出の ID を指定します。
ステータス DDL 有効な値:
  • クローズ
  • 処理中
  • 確認済み
 いいえ 検出のステータスを指定します。
解決策 DDL 有効な値:
  • Action Taken
  • 対応なし
 いいえ 検出の解決策を指定します。Status パラメータが「Closed」に設定されている場合は、Resolution パラメータが必要です。
担当者 文字列 なし いいえ アラートを割り当てるアナリストの名前を指定します。「Unassign」が指定されている場合、アクションはアラートから割り当てを削除します。

アクションの出力

種類 利用可能
スクリプトの結果 正しい
JSON の結果 正しい
拡充テーブル False
Case Wall テーブル False
ケースウォールのリンク False
Case Wall のアタッチメント False
スクリプトの結果
スクリプトの結果名 値のオプション 例
is_success True/False is_success:False
JSON の結果
 0: {
   "id": 4294967299,
   "start_time": 1693795020000,
   "update_time": 1693805700000,
   "end_time": 1694198520000,
   "title": "LLMNR Activity",
   "description": "[EVAL\\-W2019\\-PRD](https://wwt-mand.cloud.extrahop.com#/
   // metrics/devices/d0ded7fd86f0459890394969c49d2bf6.005056bd27330000/
   // overview?from=1693795020&interval_type=DT&until=1694198520) sent
   // Link-Local Multicast Name Resolution (LLMNR) requests that are part of an
   // internal broadcast query to resolve a hostname. The LLMNR protocol is 
   // known to be vulnerable to attacks.",
   "risk_score": 30,
   "type": "llmnr_activity_individual",
   "recommended_factors": [],
   "recommended": false,
   "categories": [
       "sec",
       "sec.hardening"
   ],
   "properties": {},
   "participants": [
       {
           "role": "offender",
           "scanner_service": null,
           "endpoint": null,
           "external": false,
           "object_id": 4294967305,
           "object_type": "device",
           "username": null,
           "id": 2
       }
   ],
   "ticket_id": null,
   "assignee": "ankita.shakya@wwtatc.com",
   "status": "in_progress",
   "resolution": null,
   "mitre_tactics": [],
   "mitre_techniques": [],
   "appliance_id": 1,
   "is_user_created": false,
   "mod_time": 1694790591224,
   "create_time": 1693795051521,
   "url": "https://wwt-mand.cloud.extrahop.com/extrahop/#/detections/detail/4294
   // 967299/?from=1693794120&until=1694199420&interval_type=DT"
}

Case Wall

結果のタイプ 値 / 説明 タイプ（エンティティ \ 全般）
出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。

情報が返された場合（is_success = true）:

「Successfully updated detection with ID {detection id} in Extrahop.」を出力します。

アクションが失敗し、ハンドブックの実行が停止します。

認証情報が誤っている、サーバーへの接続がないなど、致命的なエラーの場合、その他:

「アクション「検出の更新」の実行エラー」を出力します。理由: {0}」.format(error.Stacktrace)

検出が見つからない場合（404 ステータス コード）:

アクション「Update Detection」の実行中にエラーが発生しました。理由: ID {alert id} の検出が Extrahop で見つかりませんでした。スペルを確認してください。」

"type": "request_error" の場合:

アクション「Update Detection」の実行中にエラーが発生しました。理由: {detail}」

[ステータス] が [1 つ選択] で、[割り当て先] に何も指定されていない場合:

アクション「Update Detection」の実行中にエラーが発生しました。Reason: at least one of the "Status" or "Assign To" parameters should have a value."

全般

コネクタ

ExtraHop - 検出コネクタ

説明

ExtraHop からの検出に関する情報を pull します。注: 許可リスト フィルタは「type」パラメータと連動します。

ExtraHop を構成する - Google SecOps の検出コネクタ

Google SecOps でコネクタを構成する方法の詳細については、コネクタの構成をご覧ください。

コネクタ パラメータ

次のパラメータを使用してコネクタを構成します。

パラメータの表示名 種類 デフォルト値 必須 説明
プロダクト フィールド名 文字列 プロダクト名 ○ ソース フィールド名を入力してプロダクト フィールド名を取得します。
イベント フィールド名 文字列 タイプ ○ ソース フィールド名を入力してイベント フィールド名を取得します。
環境フィールド名 文字列 "" いいえ

環境名が保存されるフィールドの名前を記述します。

環境フィールドがない場合、その環境がデフォルトの環境です。
環境の正規表現パターン 文字列 。 いいえ

[環境フィールド名] フィールドで見つかった値に対して実行する正規表現パターン。

デフォルトは . です。すべてキャッチして値を変更せずに返す。

ユーザーが正規表現ロジックで環境フィールドを操作できるようにするために使用されます。

正規表現パターンが null か空の場合、または環境値が null の場合、最終的な環境の結果はデフォルト環境になります。
スクリプトのタイムアウト（秒） 整数 180 はい 現在のスクリプトを実行している Python プロセスのタイムアウト上限。
API ルート 文字列 https://{instance}.api.cloud.extrahop.com ○ ExtraHop インスタンスの API ルート。
クライアント ID 文字列 なし ○ ExtraHop インスタンスのクライアント ID。
クライアント シークレット パスワード なし ○ ExtraHop インスタンスのクライアント シークレット。
取得する最小のリスク スコアリング 整数 なし いいえ 検出の取得に必要なリスクスコアが最も低い。最大: 100。何も指定しない場合、コネクタはすべてのリスク スコアリングの検出結果を取り込みます。
最大遡及時間 整数 1 いいえ どの時点から検出を取得するかの時間数。
取得する最大検出数 整数 100 いいえ 1 回のコネクタの反復処理で対応する検出の数。デフォルト: 100。
許可リストを拒否リストとして使用 チェックボックス オフ ○ 有効にすると、許可リストが拒否リストとして使用されます。
SSL を確認 チェックボックス オン ○ 有効にした場合は、ExtraHop サーバーへの接続用の SSL 証明書が有効であることを確認します。
プロキシ サーバーのアドレス 文字列 なし いいえ 使用するプロキシ サーバーのアドレス。
プロキシのユーザー名 文字列 なし いいえ 認証に使用するプロキシのユーザー名。
プロキシ パスワード パスワード なし いいえ 認証に使用するプロキシ パスワード。

コネクタ ルール

プロキシのサポート

コネクタでプロキシがサポートされます。さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。