Extrahop

Neste documento, descrevemos como integrar o ExtraHop ao Google Security Operations.

Configurar a integração do ExtraHop no Google SecOps

Para instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Raiz da API String Sim Raiz da API da instância do ExtraHop.
ID do cliente String N/A Sim ID do cliente da instância do ExtraHop.
Chave secreta do cliente Senha N/A Sim Chave secreta do cliente da instância do ExtraHop.
Verificar SSL Caixa de seleção Selecionado Sim Se ativado, verifique se o certificado SSL para a conexão com o servidor ExtraHop é válido.

Casos de uso do produto

Ingestão de alertas

Ações

Ping

Descrição

Teste a conectividade com o ExtraHop usando os parâmetros fornecidos na página de configuração de integração na página do Google SecOps Content Hub.

Parâmetros

N/A

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_succeed Verdadeiro/falso is_succeed:False

Painel de casos

Tipo de resultado Valor/Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

Se for bem-sucedido: "Conexão estabelecida com o servidor ExtraHop usando os parâmetros de conexão fornecidos!"

A ação deve falhar e interromper a execução de um playbook:

Se não for concluída: "Falha ao se conectar ao servidor do ExtraHop! Error is {0}".format(exception.stacktrace)

 Geral

Atualizar detecção

Atualizar uma detecção no ExtraHop.

Corrida

Essa ação não é executada em entidades.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
ID da detecção String N/A Sim Especifique o ID da detecção que precisa ser atualizada.
Status DDL Valores possíveis:
  • Fechado
  • Em andamento
  • Reconhecido
 Não Especifique o status da detecção.
Resolução DDL Valores possíveis:
  • Ação realizada
  • Nenhuma ação realizada
 Não Especifique a resolução da detecção. Se o parâmetro Status estiver definido como "Closed", o parâmetro Resolution será necessário.
Atribuir a String N/A Não Especifique o nome do analista a quem o alerta precisa ser atribuído. Se "Unassign" for fornecido, a ação vai remover a atribuição do alerta.

Saídas da ação

Tipo Disponível
Resultado do script Verdadeiro
Resultado do JSON Verdadeiro
Tabela de enriquecimento Falso
Tabela do painel de casos Falso
Link do Painel de Casos Falso
Anexo do Painel de Casos Falso
Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_success Verdadeiro/falso is_success:False
Resultado do JSON
 0: {
   "id": 4294967299,
   "start_time": 1693795020000,
   "update_time": 1693805700000,
   "end_time": 1694198520000,
   "title": "LLMNR Activity",
   "description": "[EVAL\\-W2019\\-PRD](https://wwt-mand.cloud.extrahop.com#/
   // metrics/devices/d0ded7fd86f0459890394969c49d2bf6.005056bd27330000/
   // overview?from=1693795020&interval_type=DT&until=1694198520) sent
   // Link-Local Multicast Name Resolution (LLMNR) requests that are part of an
   // internal broadcast query to resolve a hostname. The LLMNR protocol is 
   // known to be vulnerable to attacks.",
   "risk_score": 30,
   "type": "llmnr_activity_individual",
   "recommended_factors": [],
   "recommended": false,
   "categories": [
       "sec",
       "sec.hardening"
   ],
   "properties": {},
   "participants": [
       {
           "role": "offender",
           "scanner_service": null,
           "endpoint": null,
           "external": false,
           "object_id": 4294967305,
           "object_type": "device",
           "username": null,
           "id": 2
       }
   ],
   "ticket_id": null,
   "assignee": "ankita.shakya@wwtatc.com",
   "status": "in_progress",
   "resolution": null,
   "mitre_tactics": [],
   "mitre_techniques": [],
   "appliance_id": 1,
   "is_user_created": false,
   "mod_time": 1694790591224,
   "create_time": 1693795051521,
   "url": "https://wwt-mand.cloud.extrahop.com/extrahop/#/detections/detail/4294
   // 967299/?from=1693794120&until=1694199420&interval_type=DT"
}

Painel de casos

Tipo de resultado Valor/Descrição Tipo (entidade \ geral)
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

if returned info (is_success = true):

print "A detecção com o ID {detection id} foi atualizada no Extrahop."

A ação deve falhar e interromper a execução de um playbook:

Se houver um erro fatal, como credenciais incorretas, falta de conexão com o servidor, entre outros:

print "Error executing action "Update Detection". Motivo: {0}''.format(error.Stacktrace)

Se a detecção não for encontrada (código de status 404):

Erro ao executar a ação "Atualizar detecção". Motivo: a detecção com o ID {alert id} não foi encontrada no Extrahop. Verifique a ortografia."

Se "type": "request_error":

Erro ao executar a ação "Atualizar detecção". Motivo: {detail}"

Se o "Status" for "Selecione uma opção" e nada for fornecido em "Atribuir a":

Erro ao executar a ação "Atualizar detecção". Motivo: pelo menos um dos parâmetros "Status" ou "Atribuir a" precisa ter um valor."

Geral

Conectores

ExtraHop - Conector de detecções

Descrição

Extraia informações sobre detecções do ExtraHop. Observação: o filtro de lista de permissões funciona com o parâmetro "type".

Configurar o ExtraHop - Conector de detecções no Google SecOps

Para instruções detalhadas sobre como configurar um conector no Google SecOps, consulte Configurar o conector.

Parâmetros do conector

Use os seguintes parâmetros para configurar o conector:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do campo do produto String Nome do produto Sim Insira o nome do campo de origem para recuperar o nome do campo do produto.
Nome do campo do evento String tipo Sim Insira o nome do campo de origem para recuperar o nome do campo de evento.
Nome do campo do ambiente String "" Não

Descreve o nome do campo em que o nome do ambiente é armazenado.

Se o campo de ambiente não for encontrado, o ambiente será o padrão.
Padrão Regex do ambiente String . Não

Um padrão de regex a ser executado no valor encontrado no campo "Nome do campo de ambiente".

O valor padrão é . para capturar tudo e retornar o valor inalterado.

Usado para permitir que o usuário manipule o campo de ambiente usando a lógica de regex.

Se o padrão regex for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
Tempo limite de script (segundos) Inteiro 180 Sim Limite de tempo limite para o processo do Python que executa o script atual.
Raiz da API String https://{instance}.api.cloud.extrahop.com Sim Raiz da API da instância do ExtraHop.
ID do cliente String N/A Sim ID do cliente da instância do ExtraHop.
Chave secreta do cliente Senha N/A Sim Chave secreta do cliente da instância do ExtraHop.
Pontuação de risco mais baixa para buscar Inteiro N/A Não A menor pontuação de risco que precisa ser usada para buscar detecções. Máximo: 100. Se nada for fornecido, o conector vai ingerir detecções com todas as pontuações de risco.
Máximo de horas para trás Inteiro 1 Não Quantidade de horas para buscar detecções.
Máximo de detecções a serem buscadas Inteiro 100 Não Quantas detecções devem ser processadas por iteração do conector. Padrão: 100;
Usar a lista de permissões como uma lista de bloqueio Caixa de seleção Desmarcado Sim Se ativada, a lista de permissões será usada como uma lista de bloqueio.
Verificar SSL Caixa de seleção Selecionado Sim Se ativado, verifique se o certificado SSL da conexão com o servidor do ExtraHop é válido.
Endereço do servidor proxy String N/A Não O endereço do servidor proxy a ser usado.
Nome de usuário do proxy String N/A Não O nome de usuário do proxy para autenticação.
Senha do proxy Senha N/A Não A senha do proxy para autenticação.

Regras do conector

Suporte a proxy

O conector é compatível com proxy. Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.