Harmony Mobile

במסמך הזה מוסבר איך לשלב את Harmony Mobile עם Google SecOps.

תרחישים לדוגמה

  1. ביצוע העשרה של ישויות
  2. הוספת התראות

איך יוצרים מזהה לקוח וסוד לקוח

  1. עוברים לקטע Harmony Endpoint.
  2. עוברים אל 'הגדרות גלובליות'.
  3. עוברים לקטע 'מפתחות API'.
  4. לוחצים על הכפתור 'חדש'.
  5. בוחרים בשירות Harmony Mobile ובתפקיד Read-Only (קריאה בלבד).
  6. מעתיקים את הערכים של Client ID ו-Client Secret ומזינים אותם בהגדרות השילוב.

הגדרת שילוב של Harmony Mobile ב-Google Security Operations

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
ספריית הבסיס של ה-API String https://cloudinfra-gw.portal.checkpoint.com כן שורש ה-API של מופע Harmony Mobile.
מזהה לקוח String לא רלוונטי כן מזהה הלקוח של חשבון Harmony Mobile.
סוד לקוח סיסמה לא רלוונטי כן סוד הלקוח של חשבון Harmony Mobile.
אימות SSL תיבת סימון סימן אישור כן אם ההגדרה הזו מופעלת, המערכת בודקת שאישור ה-SSL של החיבור לשרת Harmony Mobile תקף.

פעולות

פינג

תיאור

בודקים את הקישוריות אל Harmony Mobile באמצעות פרמטרים שמופיעים בדף הגדרת האינטגרציה בכרטיסייה Google Security Operations Marketplace.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך
is_success is_success=False
is_success is_success=True
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של פלייבוק:
אם הפעולה הצליחה: 'Successfully connected to the Harmony Mobile server with the provided connection parameters!'

הפעולה אמורה להיכשל ולהפסיק את ההרצה של פלייבוק:
אם הפעולה לא מצליחה: "החיבור לשרת Harmony Mobile נכשל! השגיאה היא {0}".format(exception.stacktrace)

 כללי

העשרת ישויות

תיאור

העשרת ישויות באמצעות מידע מ-Harmony Mobile. ישויות נתמכות: שם המארח.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
יצירת תובנה תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה תיצור תובנה שמכילה את כל המידע שאוחזר לגבי הישות.

ריצה

הפעולה הזו מופעלת בישות Hostname (שם מארח).

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך
is_success is_success=False
is_success is_success=True
תוצאת JSON
{
    "client_version": "3.8.6.4637",
    "device_type": "Android",
    "email": "dana@example.com",
    "internal_id": 1,
    "last_connection": "Wed, 14 Jul 2021 05:26:09 +0000",
    "mail_sent": true,
    "mdm": null,
    "model": "HUAWEI / HUAWEI GRA-L09",
    "name": "Dana Doe",
    "number": "+11",
    "os_type": "Android_4_x",
    "os_version": "6.0",
    "risk": "No Risk",
    "status": "Active"
}
העשרה של ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
client_version כשהנתונים זמינים בפורמט JSON
device_type כשהנתונים זמינים בפורמט JSON
אימייל כשהנתונים זמינים בפורמט JSON
last_connection כשהנתונים זמינים בפורמט JSON
מודל כשהנתונים זמינים בפורמט JSON
name כשהנתונים זמינים בפורמט JSON
מספר כשהנתונים זמינים בפורמט JSON
os_type כשהנתונים זמינים בפורמט JSON
os_version כשהנתונים זמינים בפורמט JSON
סיכון כשהנתונים זמינים בפורמט JSON
סטטוס כשהנתונים זמינים בפורמט JSON
תובנות

דוגמה לתובנה לגבי ישות

Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט

הפעולה לא תיכשל ולא תפסיק את ההרצה של playbook:
אם הנתונים זמינים עבור אחד(is_success = true): "Successfully enriched the following entities using information from Harmony Mobile: {entity.identifier}".

אם הנתונים לא זמינים עבור אחד מהם (is_success=true): "לא הייתה אפשרות להעשיר את הישויות הבאות באמצעות מידע מ-Harmony Mobile: {entity.identifier}".

אם הנתונים לא זמינים לכל הישויות (is_success=false): אף אחת מהישויות שסופקו לא עברה העשרה.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של ה-Playbook:
אם יש שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "Error executing action "Enrich Entities". הסיבה: {0}''.format(error.Stacktrace)

 כללי

טבלה של Case Wall

 כותרת: {entity.identifier} ישות

מחבר

Harmony Mobile - Alerts Connector

תיאור

שליפת מידע על התראות מ-Harmony Mobile. הערה: מסנן הרשימה הלבנה פועל עם הפרמטר alertEvent.

הגדרה של Harmony Mobile - Alerts Connector ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר בנושא הגדרת המחבר.

פרמטרים של מחברים

משתמשים בפרמטרים הבאים כדי להגדיר את המחבר:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String שם המוצר כן מזינים את שם שדה המקור כדי לאחזר את שם שדה המוצר.
שם השדה של האירוע String alertType כן מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה בסביבה String "" לא

מתאר את שם השדה שבו מאוחסן שם הסביבה.

אם לא נמצא שדה סביבה, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי (regex) של סביבה String .* לא

תבנית regex להפעלה על הערך שנמצא בשדה 'שם שדה הסביבה'.

ברירת המחדל היא ‎ .* ‎ כדי לתפוס את כל הערכים ולהחזיר אותם ללא שינוי.

משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטוי רגולרי.

אם תבנית הביטוי הרגולרי היא null או ריקה, או שערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
זמן קצוב לסקריפט (בשניות) מספר שלם 180 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
ספריית הבסיס של ה-API String https://cloudinfra-gw.portal.checkpoint.com כן שורש ה-API של מופע Harmony Mobile.
מזהה לקוח String לא רלוונטי כן מזהה הלקוח של חשבון Harmony Mobile.
סוד לקוח סיסמה לא רלוונטי כן סוד הלקוח של חשבון Harmony Mobile.
הסיכון הנמוך ביותר לאחזור מספר שלם לא נכון רמת הסיכון הכי נמוכה שצריך להשתמש בה כדי לאחזר התראות. ערכים אפשריים: Informational (מידע), Low (נמוכה), Medium (בינונית), High (גבוהה). אם לא מציינים כלום, המחבר יטמיע התראות עם כל רמות הסיכון.
מספר השעות המקסימלי אחורה מספר שלם 1 לא מספר השעות שממנו יאוחזרו ההתראות.
מספר ההתראות המקסימלי לאחזור מספר שלם 100 לא מספר ההתראות לעיבוד בכל איטרציה של המחבר. ברירת מחדל: 100.
שימוש ברשימת ההיתרים כרשימה שחורה תיבת סימון התיבה לא מסומנת כן אם האפשרות הזו מופעלת, רשימת ההיתרים תשמש כרשימת חסימות.
אימות SSL תיבת סימון סימן אישור כן אם ההגדרה הזו מופעלת, המערכת בודקת שאישור ה-SSL של החיבור לשרת Harmony Mobile תקף.
כתובת שרת ה-Proxy String לא רלוונטי לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם משתמש של שרת proxy String לא רלוונטי לא שם המשתמש ב-proxy לאימות.
סיסמת שרת Proxy סיסמה לא רלוונטי לא סיסמת ה-proxy לאימות.

כללים של מחברים

תמיכה בשרת proxy

המחבר תומך בשרת proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.