Humio

Versión de integración: 5.0

Configurar la integración de Humio en Google Security Operations

Para obtener instrucciones detalladas sobre cómo configurar una integración en Google SecOps, consulta Configurar integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Raíz de la API Cadena https://cloud.us.humio.com Sí Raíz de la API de la instancia de Humio.
Token de API Contraseña N/A Sí Token de API de la instancia de Humio.
Verificar SSL Casilla Marcada Sí Si está habilitada, comprueba que el certificado SSL de la conexión al servidor de Humio sea válido.

Casos prácticos

  1. Ingiere los eventos de los repositorios
  2. Hacer búsquedas

Acciones

Ping

Descripción

Prueba la conectividad con Humio con los parámetros proporcionados en la página de configuración de la integración de la pestaña Google Security Operations Marketplace.

Parámetros

N/A

Fecha de ejecución

Esta acción no se ejecuta en entidades ni tiene parámetros de entrada obligatorios.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Panel de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si la conexión se realiza correctamente: "Successfully connected to the Humio server with the provided connection parameters!" ("Se ha conectado correctamente al servidor de Humio con los parámetros de conexión proporcionados").

La acción debería fallar y detener la ejecución de la guía:

Si no se resuelve correctamente: "No se ha podido conectar con el servidor de Humio. Error: {0}".format(exception.stacktrace)

 General

Descripción

Buscar eventos en función de los parámetros de Humio.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre del repositorio Cadena N/A Sí Especifica el nombre del repositorio en el que se debe buscar.
Filtro de consulta Cadena N/A No

Especifica la consulta que se debe ejecutar durante la búsqueda.

Nota: No se deben proporcionar las funciones "head()" y "select()".
Periodo DDL

Última hora

Valores posibles:

  • Última hora
  • Últimas 6 horas
  • Últimas 24 horas
  • La semana pasada
  • El mes pasado
  • Personalizado
 No

Especifica un periodo para los resultados.

Si se selecciona "Personalizado", también debe proporcionar el parámetro "Hora de inicio".
Hora de inicio Cadena N/A No

Especifica la hora de inicio de los resultados.

Este parámetro es obligatorio si se selecciona "Personalizado" en el parámetro "Periodo".

Formato: ISO 8601
Hora de finalización Cadena N/A No

Especifica la hora de finalización de los resultados.

Formato: ISO 8601.

Si no se proporciona ningún valor y se selecciona "Personalizado" en el parámetro "Periodo", este parámetro usará la hora actual.
Campos que se van a devolver CSV N/A No

Especifica los campos que se devolverán.

Si no se proporciona nada, la acción devuelve todos los campos.
Campo de ordenación Cadena N/A No

Especifica qué parámetro se debe usar para ordenar.

De forma predeterminada, la consulta ordena los datos por marca de tiempo en orden ascendente.
Tipo de campo de ordenación DDL

Cadena

Valores posibles:

  • Cadena
  • Número
  • Hex
 No

Especifica el tipo de campo que se utiliza para ordenar.

Este parámetro es necesario para asegurarse de que se devuelvan los resultados correctos.
Orden de clasificación DDL

Ascendente

Valores posibles:

  • Ascendente
  • Descendente
 No Especifica el orden de clasificación.
Número máximo de resultados que se devolverán Entero 50 No Especifica el número de resultados que se devolverán.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
[
  {
    "@timestamp": 1636028056292,
    "@rawstring": {
      "actor": {
        "ip": "31.43.227.151",
        "orgRoot": false,
        "organizationId": "z4ApqmrB7XbvsQB5E1muelI4WAKz4buZ",
        "proxyRequest": false,
        "type": "orgUser",
        "user": {
          "id": "MgPXnBAKQ4gCg25hW5jKhYTo",
          "isRoot": false,
          "username": "dana@example.com"
        }
      },
      "method": "google",
      "sensitive": false,
      "timestamp": "2021-11-04T12:14:16.292Z",
      "type": "user.signin"
    },
    "@id": "gZPMhXMMcScGXHwxZ7bRH6Ns_88_264_1636028056"
  },
  {
    "@timestamp": 1636028057934,
    "@rawstring": {
      "actor": {
        "ip": "31.43.227.151",
        "orgRoot": false,
        "organizationId": "z4ApqmrB7XbvsQB5E1muelI4WAKz4buZ",
        "proxyRequest": false,
        "type": "orgUser",
        "user": {
          "id": "MgPXnBAKQ4gCg25hW5jKhYTo",
          "isRoot": false,
          "username": "dana@example.com"
        }
      },
      "sensitive": false,
      "timestamp": "2021-11-04T12:14:17.934Z",
      "type": "notifications.user.create"
    },
    "@id": "lSLLg2gMDW8GwHtpZTGD8GU1_65_108_1636028057"
  }
]
Panel de casos
Tipo de resultado Valor o descripción Tipo
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se encuentra al menos un resultado (is_success=true): "Se han devuelto correctamente los resultados de la consulta "{query}" en Humio."

Si no se encuentran resultados (is_success=true): "No se han encontrado resultados para la consulta "{query}" en Humio."

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro error: "Error al ejecutar la acción "Ejecutar búsqueda simple". Motivo: {0}''.format(error.Stacktrace)

Si se devuelve el código de estado 400: "Error al ejecutar la acción "Ejecutar búsqueda simple". Motivo: {0}''.format(response)

Si se informa del código de estado 404: "Error al ejecutar la acción "Ejecutar búsqueda personalizada". Motivo: {0}''.format(response)

 General
Panel de casos Nombre: resultados General

Descripción

Buscar eventos mediante una consulta personalizada en Humio.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre del repositorio Cadena N/A Sí Especifica el nombre del repositorio en el que se debe buscar.
Consulta Cadena N/A Sí

Especifica la consulta que se debe ejecutar en Humio.

Nota: La función "head()" no debe formar parte de esta cadena.
Número máximo de resultados que se devolverán Entero 50 No Especifica el número de resultados que se devolverán.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
[
  {
    "@timestamp": 1636028056292,
    "@rawstring": {
      "actor": {
        "ip": "31.43.227.151",
        "orgRoot": false,
        "organizationId": "z4ApqmrB7XbvsQB5E1muelI4WAKz4buZ",
        "proxyRequest": false,
        "type": "orgUser",
        "user": {
          "id": "MgPXnBAKQ4gCg25hW5jKhYTo",
          "isRoot": false,
          "username": "dana@example.com"
        }
      },
      "method": "google",
      "sensitive": false,
      "timestamp": "2021-11-04T12:14:16.292Z",
      "type": "user.signin"
    },
    "@id": "gZPMhXMMcScGXHwxZ7bRH6Ns_88_264_1636028056"
  },
  {
    "@timestamp": 1636028057934,
    "@rawstring": {
      "actor": {
        "ip": "31.43.227.151",
        "orgRoot": false,
        "organizationId": "z4ApqmrB7XbvsQB5E1muelI4WAKz4buZ",

              "proxyRequest": false,
        "type": "orgUser",
        "user": {
          "id": "MgPXnBAKQ4gCg25hW5jKhYTo",
          "isRoot": false,
          "username": "dana@example.com"
        }
      },
      "sensitive": false,
      "timestamp": "2021-11-04T12:14:17.934Z",
      "type": "notifications.user.create"
    },
    "@id": "lSLLg2gMDW8GwHtpZTGD8GU1_65_108_1636028057"
  }
]
Panel de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se ha encontrado al menos un resultado (is_success=true): "Se han devuelto correctamente los resultados de la consulta "{query}" en Humio."

Si no se encuentran resultados (is_success=true): "No se han encontrado resultados para la consulta "{query}" en Humio"

La acción debería fallar y detener la ejecución de la guía:

Si se informa de un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro error: "Error al ejecutar la acción "Ejecutar búsqueda personalizada". Motivo: {0}''.format(error.Stacktrace)

Si se devuelve el código de estado 400: "Error al ejecutar la acción "Ejecutar búsqueda personalizada". Motivo: {0}''.format(response)

Si se informa del código de estado 404: "Error al ejecutar la acción "Ejecutar búsqueda personalizada". Motivo: {0}''.format(response)

 General
Panel de casos Nombre: resultados General

Conectores

Humio - Events Connector

Descripción

Extrae información sobre los eventos del repositorio de Humio.

Configurar Humio - Events Connector en Google SecOps

Para obtener instrucciones detalladas sobre cómo configurar un conector en Google SecOps, consulta el artículo Configurar el conector.

Parámetros del conector

Utiliza los siguientes parámetros para configurar el conector:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre del campo de producto Cadena Nombre del producto Sí Introduce el nombre del campo de origen para obtener el nombre del campo de producto.
Nombre del campo de evento Cadena event_field Sí Introduzca el nombre del campo de origen para obtener el nombre del campo de evento.
Nombre del campo de entorno Cadena "" No

Describe el nombre del campo en el que se almacena el nombre del entorno.

Si no se encuentra el campo de entorno, se utiliza el entorno predeterminado.
Patrón de regex de entorno Cadena .* No

Una expresión regular que se aplicará al valor encontrado en el campo "Nombre del campo de entorno".

El valor predeterminado es .* para captar todos los valores y devolverlos sin cambios.

Se usa para permitir que el usuario manipule el campo del entorno mediante la lógica de expresiones regulares.

Si el patrón de expresión regular es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno será el entorno predeterminado.
Tiempo de espera de secuencia de comandos (segundos) Entero 360 Sí Límite de tiempo de espera del proceso de Python que ejecuta la secuencia de comandos actual.
Raíz de la API Cadena https://cloud.us.humio.com Sí Raíz de la API de la instancia de Humio.
Token de API Contraseña N/A No Token de API de la instancia de Humio.
Nombre del repositorio Cadena N/A Sí Se obtendrá el nombre del repositorio de los resultados.
Consulta Cadena N/A No Consulta los eventos. Nota: No se deben añadir las funciones select() y head().
Nombre del campo de alerta Cadena N/A No Nombre de la clave que se debe usar para el nombre de la alerta. Si no se proporciona ningún valor o se proporciona un valor no válido, el conector usará "Alerta de Humio" como alternativa.
Nombre del campo de gravedad CSV N/A Sí Lista separada por comas de las claves que se deben usar para asignar la gravedad. Nota: Si la clave contiene valores de cadena, deben asignarse con "JSON de asignación de gravedad". Si se proporciona una clave no válida, se usará el valor "Default" del parámetro "Severity Mapping JSON".
JSON de asignación de gravedad JSON

{

"fieldName": {

"value_1": 100,

"value_2": 75,

"value_3": -1

},

"Default": 50

}

 Sí Objeto JSON que contiene todas las claves con valores de cadena asignados. Nota: La clave "Default" es obligatoria.
Número máximo de horas hacia atrás Entero 1 No Número de horas desde las que se deben obtener los eventos.
Número máximo de eventos que se van a obtener Entero 20 No Número de eventos que se procesarán por cada iteración del conector.
Usar la lista blanca como lista negra Casilla Marcada Sí Si está habilitada, la lista de permitidos se usará como lista de denegados.
Verificar SSL Casilla Marcada Sí Si está habilitada, verifica que el certificado SSL de la conexión a Humio sea válido.
Dirección del servidor proxy Cadena N/A No Dirección del servidor proxy que se va a usar.
Nombre de usuario del proxy Cadena N/A No Nombre de usuario del proxy para autenticarse.
Contraseña del proxy Contraseña N/A No La contraseña del proxy para autenticarte.

Reglas de conectores

Compatibilidad con proxy

El conector admite proxies.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.