FortiAnalyzer

Versione integrazione: 5.0

Configurare l'integrazione di FortiAnalyzer in Google Security Operations

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, vedi Configurare le integrazioni.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Root API Stringa https://{ip address} La radice dell'API dell'istanza FortiAnalyzer.
Nome utente Stringa N/D Nome utente dell'account FortiAnalyzer.
Password Password N/D Password dell'account FortiAnalyzer.
Verifica SSL Casella di controllo Selezionata Se abilitata, verifica che il certificato SSL per la connessione a FortiAnalyzer sia valido.

Azioni

Aggiungi commento all'avviso

Descrizione

Aggiungi un commento all'avviso in FortiAnalyzer.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID avviso Stringa N/D Specifica l'ID dell'avviso da aggiornare.
Commento Stringa N/D Specifica il commento per l'avviso.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
{
    "jsonrpc": "2.0",
    "id": "string",
    "result": {
        "status": "done"
    }
}
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se le informazioni restituite (is_success=true): "Commento aggiunto correttamente all'avviso con ID {id} in FortiAnalyzer."

L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Aggiungi commento all'avviso". Motivo: {0}''.format(error.Stacktrace)"

Se l'avviso non viene trovato: "Errore durante l'esecuzione dell'azione "Aggiungi commento all'avviso". Motivo: l'avviso con ID {alert id} non è stato trovato in FortiAnalyzer. Controlla l'ortografia."

Generale

Arricchire le entità

Descrizione

Arricchisci le entità utilizzando le informazioni di FortiAnalyzer. Entità supportate: Nome host, indirizzo IP.

Parametri

N/D

Pubblica su

Questa azione viene eseguita sulle seguenti entità:

  • Nome host
  • Indirizzo IP

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
{
    "adm_pass": [
        "ENC",
        "FLP+Dq8f3t2/S+GQ6DfPL2iRhtmk1CEZzEeH8+nVkRkFd72IUbBZM6uDyw0fQ1j1i28H1wtfqf6HlGEK2ubxs0rXE4L+Uqj433si+AmEF9gEB5gLw/4P5YYRkw/aOYF74k8/8bincoa31jBe0u0HWRNdWYQSyG7IWgvZGsPK4at0gwZI"
    ],
    "adm_usr": "admin",
    "app_ver": "",
    "av_ver": "",
    "beta": -1,
    "branch_pt": 1255,
    "build": 1255,
    "checksum": "",
    "conf_status": 0,
    "conn_mode": 0,
    "conn_status": 0,
    "db_status": 0,
    "desc": "",
    "dev_status": 0,
    "eip": "",
    "fap_cnt": 0,
    "faz.full_act": 0,
    "faz.perm": 15,
    "faz.quota": 0,
    "faz.used": 0,
    "fex_cnt": 0,
    "first_tunnel_up": 0,
    "flags": 2097152,
    "foslic_cpu": 0,
    "foslic_dr_site": 0,
    "foslic_inst_time": 0,
    "foslic_last_sync": 0,
    "foslic_ram": 0,
    "foslic_type": 0,
    "foslic_utm": 0,
    "fsw_cnt": 0,
    "ha_group_id": 0,
    "ha_group_name": "",
    "ha_mode": 0,
    "ha_slave": null,
    "hdisk_size": 0,
    "hostname": "",
    "hw_rev_major": 0,
    "hw_rev_minor": 0,
    "hyperscale": 0,
    "ip": "172.30.203.248",
    "ips_ext": 0,
    "ips_ver": "",
    "last_checked": 1665664693,
    "last_resync": 0,
    "latitude": "0.0",
    "lic_flags": 0,
    "lic_region": "",
    "location_from": "",
    "logdisk_size": 0,
    "longitude": "0.0",
    "maxvdom": 10,
    "mgmt.__data[0]": 0,
    "mgmt.__data[1]": 0,
    "mgmt.__data[2]": 0,
    "mgmt.__data[3]": 0,
    "mgmt.__data[4]": 0,
    "mgmt.__data[5]": 0,
    "mgmt.__data[6]": 0,
    "mgmt.__data[7]": 0,
    "mgmt_if": "",
    "mgmt_mode": 2,
    "mgmt_uuid": "1841991674",
    "mgt_vdom": "",
    "module_sn": "",
    "mr": 2,
    "name": "FGVMEV2YKQ61YQD5",
    "node_flags": 0,
    "nsxt_service_name": "",
    "oid": 181,
    "onboard_rule": null,
    "opts": 0,
    "os_type": 0,
    "os_ver": 7,
    "patch": 2,
    "platform_str": "FortiGate-VM64",
    "prefer_img_ver": "",
    "prio": 0,
    "private_key": "",
    "private_key_status": 0,
    "psk": "",
    "role": 0,
    "sn": "FGVMEV2YKQ61YQD5",
    "source": 2,
    "tab_status": "",
    "tunnel_cookie": "",
    "tunnel_ip": "",
    "vdom": [
        {
            "comments": null,
            "devid": "FGVMEV2YKQ61YQD5",
            "ext_flags": 0,
            "flags": 0,
            "name": "root",
            "node_flags": 0,
            "oid": 3,
            "opmode": 1,
            "rtm_prof_id": 0,
            "status": null,
            "tab_status": null,
            "vdom_type": 1,
            "vpn_id": 0
        }
    ],
    "version": 700,
    "vm_cpu": 0,
    "vm_cpu_limit": 0,
    "vm_lic_expire": 0,
    "vm_mem": 0,
    "vm_mem_limit": 0,
    "vm_status": 0
}
Arricchimento entità - Prefisso FortiAn_
Nome campo di arricchimento Origine (chiave JSON) Logica - Quando applicarla
adm_usr adm_usr Quando disponibile in formato JSON
build build Quando disponibile in formato JSON
ip ip Quando disponibile in formato JSON
last_checked last_checked Quando disponibile in formato JSON
last_resync last_resync Quando disponibile in formato JSON
nome nome Quando disponibile in formato JSON
sn sn Quando disponibile in formato JSON
os_type os_type Quando disponibile in formato JSON
os_ver os_ver Quando disponibile in formato JSON
patch patch Quando disponibile in formato JSON
platform\_str platform\_str Quando disponibile in formato JSON
versione versione Quando disponibile in formato JSON
decr decr Quando disponibile in formato JSON
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se i dati sono disponibili per un'entità (is_success=true): "Successfully enriched the following entities using information from FortiAnalyzer: {entity.identifier}".

Se i dati non sono disponibili per un'entità (is_success=true): "L'azione non è riuscita ad arricchire le seguenti entità utilizzando le informazioni di FortiAnalyzer: {entity.identifier}"

Se i dati non sono disponibili per tutte le entità (is_success=false): "Nessuna delle entità fornite è stata arricchita."

L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Arricchisci entità". Motivo: {0}''.format(error.Stacktrace)

Generale
Tabella Bacheca casi

Titolo: {entity.identifier}

Colonne:

Valore chiave

Entità

Dindin

Descrizione

Verifica la connettività a FortiAnalyzer con i parametri forniti nella pagina di configurazione dell'integrazione nella scheda Google Security Operations Marketplace.

Parametri

N/D

Pubblica su

Questa azione non viene eseguita sulle entità e non ha parametri di input obbligatori.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
N/A
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se l'operazione va a buon fine: "Connessione al server BitSight riuscita con i parametri di connessione forniti."

L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

Se l'operazione non va a buon fine: "Impossibile connettersi al server BitSight. Error is {0}".format(exception.stacktrace)

Generale

Log di ricerca

Descrizione

Cerca i log in FortiAnalyzer.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Tipo di log DDL

Traffico

Valori possibili:

  • Traffico
  • Controllo tramite app
  • Attacco
  • Contenuti, DLP
  • Filtro email
  • Evento, Storia
  • Virus
  • VOIP
  • Filtro web
  • Netscan
  • Evento FCT
  • Traffico FCT
  • WAF
  • GTP
No Specifica il tipo di log in cui eseguire la ricerca.
Filtro sensibile alle maiuscole Casella di controllo Deselezionata No Se abilitato, il filtro è sensibile alle maiuscole.
Filtro query Stringa N/D No Specifica il filtro della query per la ricerca.
ID dispositivo Stringa All\_Fortigate No

Specifica l'ID del dispositivo da cercare.

Se non viene fornito nulla, l'azione esegue la ricerca in All_Fortigate.

Esempi di valori: All_FortiGate, All_FortiMail, All_FortiWeb, All_FortiManager, All_Syslog, All_FortiClient, All_FortiCache, All_FortiProxy, All_FortiAnalyzer, All_FortiSandbox, All_FortiAuthenticator, All_FortiDDoS

Intervallo di tempo DDL

Mese scorso

Valori possibili:

  • Ultima ora
  • Ultime 6 ore
  • Ultime 24 ore
  • Settimana scorsa
  • Mese scorso
  • Personalizzato
No

Specifica un periodo di tempo per i risultati.

Se è selezionata l'opzione "Personalizzato", devi fornire anche il parametro "Ora di inizio".

Ora di inizio Stringa N/D No

Specifica l'ora di inizio per i risultati.

Questo parametro è obbligatorio se è selezionato "Personalizzato" per il parametro "Intervallo di tempo".

Formato: ISO 8601

Ora di fine Stringa N/D No

Specifica l'ora di fine per i risultati.

Formato: ISO 8601.

Se non viene fornito nulla e per il parametro "Intervallo di tempo" è selezionato "Personalizzato", questo parametro utilizza l'ora corrente.

Ordine cronologico DDL

DECR

Valori possibili:

  • DECR
  • CRESC
No Specifica l'ordinamento temporale nella ricerca.
Numero massimo di log da restituire Numero intero 20 No Specifica il numero di log che vuoi restituire. Valore predefinito: 20. Massimo: 1000.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
{
    "sessionid": "29658",
    "srcip": "172.30.201.188",
    "dstip": "173.243.138.210",
    "srcport": "17453",
    "dstport": "443",
    "trandisp": "noop",
    "duration": "1",
    "proto": "6",
    "sentbyte": "216",
    "rcvdbyte": "112",
    "sentpkt": "4",
    "rcvdpkt": "2",
    "logid": "0001000014",
    "service": "HTTPS",
    "app": "HTTPS",
    "appcat": "unscanned",
    "srcintfrole": "undefined",
    "dstintfrole": "undefined",
    "eventtime": "1665752066921638736",
    "srccountry": "Reserved",
    "dstcountry": "Canada",
    "srcintf": "root",
    "dstintf": "port1",
    "dstowner": "540",
    "tz": "-0700",
    "devid": "FGVMEV2YKQ61YQD5",
    "vd": "root",
    "csf": "FortiNetFabric",
    "dtime": "2022-10-14 05:54:27",
    "itime_t": "1665752069",
    "devname": "FGVMEV2YKQ61YQD5"
}{
    "date": "2022-10-14",
    "time": "05:54:27",
    "id": "7154350659607724033",
    "itime": "2022-10-14 05:54:29",
    "euid": "102",
    "epid": "102",
    "dsteuid": "102",
    "dstepid": "102",
    "logver": "702021255",
    "type": "traffic",
    "subtype": "local",
    "level": "notice",
    "action": "close",
    "policyid": "0"
}
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se le informazioni restituite (is_success=true): "Successfully retrieved logs for the provided criteria in FortiAnalyzer." (Recupero riuscito dei log per i criteri forniti in FortiAnalyzer).

Se non vengono restituite informazioni (is_success=true): "No logs were found for the provided criteria in FortiAnalyzer." (Non sono stati trovati log per i criteri forniti in FortiAnalyzer.)

L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Cerca log". Motivo: {0}''.format(error.Stacktrace)"

Se nella risposta viene segnalato un errore: "Error executing action "Search Logs". Motivo: {0}''.format(error/message)"

Generale

Aggiorna avviso

Descrizione

Aggiorna un avviso in FortiAnalyzer.

Parametri

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
ID avviso Stringa N/D Specifica l'ID dell'avviso da aggiornare.
Stato di conferma DDL

Selezionane uno

Valori possibili:

  • Selezionane uno
  • Conferma
  • Annulla conferma
No Specifica lo stato di conferma dell'avviso.
Contrassegna come letto Casella di controllo Deselezionata No Se abilitata, l'azione contrassegna l'avviso come letto.
Assegna a Stringa N/D No Specifica a chi deve essere assegnato l'avviso.

Pubblica su

Questa azione non viene eseguita sulle entità.

Risultati dell'azione

Risultato script
Nome del risultato dello script Opzioni del valore Esempio
is_success Vero/Falso is_success=False
Risultato JSON
{
    "alerttime": "1665653864",
    "logcount": "17",
    "alertid": "202210131000040003",
    "adom": "root",
    "epid": "1",
    "epname": "not implemented dev type",
    "subject": "desc:Trim local db",
    "euid": "1",
    "euname": "N/A",
    "devname": "fortianalyzer",
    "logtype": "event",
    "devtype": "FortiAnalyzer",
    "devid": "FAZ-VMTM22013516",
    "vdom": "_self_locallog_",
    "groupby1": "desc:Trim local db",
    "triggername": "Local Device Event",
    "tag": "Default,System,Local",
    "eventtype": "event",
    "severity": "medium",
    "extrainfo": "{ \"msg\": \"Requested to trim database tables older than 60 days to enforce the retention policy of Adom FortiAuthenticator.\" }",
    "ackflag": "no",
    "readflag": "yes",
    "filterkey": "3377053565526629289",
    "firstlogtime": "1665653864",
    "multiflag": "",
    "lastlogtime": "1665653887",
    "updatetime": "1665747977",
    "filtercksum": "2072153473",
    "filterid": "1",
    "assignto": "api_user",
    "ackby": "admin",
    "acktime": "1665747892"
}
Bacheca casi
Tipo di risultato Valore / Descrizione Tipo
Messaggio di output*

L'azione non deve non riuscire né interrompere l'esecuzione di un playbook:

Se le informazioni restituite (is_success=true): "Successfully updated alert with ID {alert id} in FortiAnalyzer." (Avviso con ID {alert id} aggiornato correttamente in FortiAnalyzer).

L'azione deve non riuscire e interrompere l'esecuzione di un playbook:

Se viene segnalato un errore irreversibile, ad esempio credenziali errate, nessuna connessione al server o altro: "Errore durante l'esecuzione dell'azione "Aggiorna avviso". Motivo: {0}''.format(error.Stacktrace)

Se l'avviso non viene trovato: "Errore durante l'esecuzione dell'azione "Aggiorna avviso". Motivo: l'avviso con ID {alert id} non è stato trovato in FortiAnalyzer. Controlla l'ortografia."

Se il parametro "Stato di conferma" è impostato su "Seleziona uno", il parametro "Contrassegna come letto" è impostato su False e non viene fornito nulla nel parametro "Assegna a": "Errore durante l'esecuzione dell'azione "Aggiorna avviso". Motivo: almeno uno dei parametri "Stato di conferma", "Contrassegna come letto" o "Assegna a" deve avere un valore.

Generale

Connettori

FortiAnalyzer - Alerts Connector

Descrizione

Recupera informazioni sugli avvisi da FortiAnalyzer.

Configura il connettore FortiAnalyzer - Alerts in Google SecOps

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, vedi Configurazione del connettore.

Parametri del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Nome campo prodotto Stringa siemplify_type Inserisci il nome del campo di origine per recuperare il nome del campo prodotto.
Nome campo evento Stringa event_type Inserisci il nome del campo di origine per recuperare il nome del campo evento.
Nome campo ambiente Stringa "" No

Descrive il nome del campo in cui è memorizzato il nome dell'ambiente.

Se il campo dell'ambiente non viene trovato, l'ambiente è quello predefinito.

Pattern regex ambiente Stringa .* No

Un pattern regex da eseguire sul valore trovato nel campo "Nome campo ambiente".

Il valore predefinito è .* per acquisire tutto e restituire il valore invariato.

Utilizzato per consentire all'utente di manipolare il campo dell'ambiente tramite la logica delle espressioni regolari.

Se il pattern regex è null o vuoto oppure il valore dell'ambiente è null, il risultato finale dell'ambiente è l'ambiente predefinito.

Timeout dello script (secondi) Numero intero 180 Limite di timeout per il processo Python che esegue lo script corrente.
Root API Stringa https://{ip address} La radice dell'API dell'istanza FortiAnalyzer.
Nome utente Stringa N/D Nome utente dell'account FortiAnalyzer.
Password Password N/D Password dell'account FortiAnalyzer.
Gravità minima da recuperare Stringa Media No

La gravità minima da utilizzare per recuperare gli avvisi.

Valori possibili: basso, medio, alto, critico. Se non viene specificato nulla, il connettore acquisisce gli avvisi con tutte le gravità.

Ore massime indietro Numero intero 1 No Numero di ore da cui recuperare gli avvisi.
Numero massimo di avvisi da recuperare Numero intero 20 No Numero di avvisi per tipo da elaborare per un'iterazione del connettore.
Utilizzare l'elenco dinamico come lista bloccata Casella di controllo Deselezionata Se abilitato, l'elenco dinamico viene utilizzato come lista nera.
Verifica SSL Casella di controllo Selezionata Se abilitato, il connettore verifica che il certificato SSL per la connessione al server FortiAnalyzer sia valido.
Indirizzo del server proxy Stringa N/D No L'indirizzo del server proxy da utilizzare.
Nome utente proxy Stringa N/D No Il nome utente del proxy con cui eseguire l'autenticazione.
Password proxy Password N/D No La password del proxy per l'autenticazione.

Regole del connettore

Supporto del proxy

Il connettore supporta il proxy.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.