Humio

Versión de integración: 5.0

Configura la integración de Humio en Google Security Operations

Si quieres obtener instrucciones detalladas para configurar una integración en Google SecOps, consulta Configura integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Raíz de la API String https://cloud.us.humio.com Sí Es la raíz de la API de la instancia de Humio.
Token de API Contraseña N/A Sí Es el token de API de la instancia de Humio.
Verificar SSL Casilla de verificación Marcado Sí Si está habilitada, verifica que el certificado SSL para la conexión al servidor de Humio sea válido.

Casos de uso

  1. Realizar la transferencia de los eventos desde los repositorios
  2. Realizar búsqueda

Acciones

Ping

Descripción

Prueba la conectividad con Humio con los parámetros proporcionados en la página de configuración de la integración en la pestaña Google Security Operations Marketplace.

Parámetros

N/A

Ejecutar en

Esta acción no se ejecuta en entidades ni tiene parámetros de entrada obligatorios.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Muro de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si la conexión se realiza correctamente: "Successfully connected to the Humio server with the provided connection parameters!"

La acción debería fallar y detener la ejecución de la guía:

Si no se puede establecer la conexión, aparecerá el mensaje "No se pudo establecer la conexión con el servidor de Humio". Error is {0}".format(exception.stacktrace)

 General

Descripción

Busca eventos según los parámetros en Humio.

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre de repositorio String N/A Sí Especifica el nombre del repositorio en el que se debe realizar la búsqueda.
Filtro de búsqueda String N/A No

Especifica la consulta que se debe ejecutar durante la búsqueda.

Nota: No se deben proporcionar las funciones "head()" y "select()".
Período DDL

Última hora

Valores posibles:

  • Última hora
  • Últimas 6 horas
  • Últimas 24 horas
  • Última semana
  • Último mes
  • Personalizado
 No

Especifica un período para los resultados.

Si seleccionas "Personalizado", también debes proporcionar el parámetro "Hora de inicio".
Hora de inicio String N/A No

Especifica la hora de inicio de los resultados.

Este parámetro es obligatorio si se selecciona "Personalizado" para el parámetro "Período".

Formato: ISO 8601
Hora de finalización String N/A No

Especifica la hora de finalización de los resultados.

Formato: ISO 8601.

Si no se proporciona nada y se selecciona "Personalizado" para el parámetro "Período", este parámetro usa la hora actual.
Campos que se devolverán CSV N/A No

Especifica los campos que se devolverán.

Si no se proporciona nada, la acción devuelve todos los campos.
Campo de orden String N/A No

Especifica qué parámetro se debe usar para la ordenación.

De forma predeterminada, la consulta ordena los datos por marca de tiempo en orden ascendente.
Tipo de campo de orden DDL

String

Valores posibles:

  • String
  • Número
  • Hexadecimal
 No

Especifica el tipo del campo que se usa para la ordenación.

Este parámetro es necesario para garantizar que se devuelvan los resultados correctos.
Orden de clasificación DDL

ASC

Valores posibles:

  • ASC
  • DESC
 No Especifica el orden de clasificación.
Cantidad máxima de resultados para devolver Número entero 50 No Especifica la cantidad de resultados que se devolverán.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
[
  {
    "@timestamp": 1636028056292,
    "@rawstring": {
      "actor": {
        "ip": "31.43.227.151",
        "orgRoot": false,
        "organizationId": "z4ApqmrB7XbvsQB5E1muelI4WAKz4buZ",
        "proxyRequest": false,
        "type": "orgUser",
        "user": {
          "id": "MgPXnBAKQ4gCg25hW5jKhYTo",
          "isRoot": false,
          "username": "dana@example.com"
        }
      },
      "method": "google",
      "sensitive": false,
      "timestamp": "2021-11-04T12:14:16.292Z",
      "type": "user.signin"
    },
    "@id": "gZPMhXMMcScGXHwxZ7bRH6Ns_88_264_1636028056"
  },
  {
    "@timestamp": 1636028057934,
    "@rawstring": {
      "actor": {
        "ip": "31.43.227.151",
        "orgRoot": false,
        "organizationId": "z4ApqmrB7XbvsQB5E1muelI4WAKz4buZ",
        "proxyRequest": false,
        "type": "orgUser",
        "user": {
          "id": "MgPXnBAKQ4gCg25hW5jKhYTo",
          "isRoot": false,
          "username": "dana@example.com"
        }
      },
      "sensitive": false,
      "timestamp": "2021-11-04T12:14:17.934Z",
      "type": "notifications.user.create"
    },
    "@id": "lSLLg2gMDW8GwHtpZTGD8GU1_65_108_1636028057"
  }
]
Muro de casos
Tipo de resultado Valor o descripción Tipo
Tipo de resultado Valor/Descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se encontró al menos un resultado (is_success=true): "Se devolvieron correctamente los resultados de la búsqueda "{query}" en Humio."

Si no se encuentran resultados (is_succees=true): "No se encontraron resultados para la búsqueda "{query}" en Humio".

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error grave, como credenciales incorrectas, falta de conexión con el servidor, etc.: "Error al ejecutar la acción "Execute Simple Search". Reason: {0}''.format(error.Stacktrace)

Si se informa el código de estado 400: "Error al ejecutar la acción "Ejecutar búsqueda simple". Reason: {0}''.format(response)

Si se informa el código de estado 404: "Error al ejecutar la acción "Ejecutar Búsqueda personalizada". Reason: {0}''.format(response)

 General
Muro de casos Nombre: Resultados General

Descripción

Buscar eventos con una consulta personalizada en Humio

Parámetros

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre de repositorio String N/A Sí Especifica el nombre del repositorio en el que se debe realizar la búsqueda.
Consulta String N/A Sí

Especifica la consulta que se debe ejecutar en Humio.

Nota: La función "head()" no debe formar parte de esta cadena.
Cantidad máxima de resultados para devolver Número entero 50 No Especifica la cantidad de resultados que se devolverán.

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos
Nombre del resultado de la secuencia de comandos Opciones de valor Ejemplo
is_success Verdadero/Falso is_success:False
Resultado de JSON
[
  {
    "@timestamp": 1636028056292,
    "@rawstring": {
      "actor": {
        "ip": "31.43.227.151",
        "orgRoot": false,
        "organizationId": "z4ApqmrB7XbvsQB5E1muelI4WAKz4buZ",
        "proxyRequest": false,
        "type": "orgUser",
        "user": {
          "id": "MgPXnBAKQ4gCg25hW5jKhYTo",
          "isRoot": false,
          "username": "dana@example.com"
        }
      },
      "method": "google",
      "sensitive": false,
      "timestamp": "2021-11-04T12:14:16.292Z",
      "type": "user.signin"
    },
    "@id": "gZPMhXMMcScGXHwxZ7bRH6Ns_88_264_1636028056"
  },
  {
    "@timestamp": 1636028057934,
    "@rawstring": {
      "actor": {
        "ip": "31.43.227.151",
        "orgRoot": false,
        "organizationId": "z4ApqmrB7XbvsQB5E1muelI4WAKz4buZ",

              "proxyRequest": false,
        "type": "orgUser",
        "user": {
          "id": "MgPXnBAKQ4gCg25hW5jKhYTo",
          "isRoot": false,
          "username": "dana@example.com"
        }
      },
      "sensitive": false,
      "timestamp": "2021-11-04T12:14:17.934Z",
      "type": "notifications.user.create"
    },
    "@id": "lSLLg2gMDW8GwHtpZTGD8GU1_65_108_1636028057"
  }
]
Muro de casos
Tipo de resultado Valor o descripción Tipo
Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si se encontró al menos un resultado (is_success=true): "Se devolvieron correctamente los resultados de la búsqueda "{query}" en Humio".

Si no se encuentran resultados (is_succees=true): "No se encontraron resultados para la búsqueda "{query}" en Humio".

La acción debería fallar y detener la ejecución de la guía:

Si se informa un error fatal, como credenciales incorrectas, falta de conexión con el servidor o algún otro problema, se mostrará el mensaje "Error al ejecutar la acción "Ejecutar Búsqueda personalizada"". Reason: {0}''.format(error.Stacktrace)

Si se informa el código de estado 400: "Error al ejecutar la acción "Ejecutar Búsqueda personalizada". Reason: {0}''.format(response)

Si se informa el código de estado 404: "Error al ejecutar la acción "Ejecutar Búsqueda personalizada". Reason: {0}''.format(response)

 General
Muro de casos Nombre: Resultados General

Conectores

Humio: conector de eventos

Descripción

Extrae información sobre los eventos del repositorio de Humio.

Configura el conector de eventos de Humio en Google SecOps

Si quieres obtener instrucciones detalladas para configurar un conector en Google SecOps, consulta Cómo configurar el conector.

Parámetros del conector

Usa los siguientes parámetros para configurar el conector:

Nombre visible del parámetro Tipo Valor predeterminado Es obligatorio Descripción
Nombre del campo del producto String Nombre del producto Sí Ingresa el nombre del campo de origen para recuperar el nombre del campo del producto.
Nombre del campo del evento String event_field Sí Ingresa el nombre del campo de origen para recuperar el nombre del campo del evento.
Nombre del campo del entorno String "" No

Describe el nombre del campo en el que se almacena el nombre del entorno.

Si no se encuentra el campo del entorno, se usa el entorno predeterminado.
Patrón de expresión regular del entorno String .* No

Es un patrón de regex que se ejecutará en el valor que se encuentra en el campo "Nombre del campo del entorno".

El valor predeterminado es .* para capturar todo y devolver el valor sin cambios.

Se usa para permitir que el usuario manipule el campo del entorno a través de la lógica de regex.

Si el patrón de regex es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado.
Tiempo de espera de la secuencia de comandos (segundos) Número entero 360 Sí Es el límite de tiempo de espera para el proceso de Python que ejecuta la secuencia de comandos actual.
Raíz de la API String https://cloud.us.humio.com Sí Es la raíz de la API de la instancia de Humio.
Token de API Contraseña N/A No Es el token de API de la instancia de Humio.
Nombre de repositorio String N/A Sí Nombre del repositorio del que se recuperarán los resultados.
Consulta String N/A No Consulta los eventos. Nota: Aquí no se deben agregar las funciones select() y head().
Nombre del campo de alerta String N/A No Es el nombre de la clave que se debe usar para el nombre de la alerta. Si no se proporciona ningún valor o se proporciona un valor no válido, el conector usará "Alerta de Humio" como alternativa.
Nombre del campo de gravedad CSV N/A Sí Es una lista separada por comas de las claves que se deben usar para la asignación de la gravedad. Nota: Si la clave contiene valores de "cadena", se deben asignar con "Severity Mapping JSON". Si se proporciona una clave no válida, se usará "Default" del parámetro "Severity Mapping JSON".
JSON de asignación de gravedad JSON

{

"fieldName": {

"value_1": 100,

"value_2": 75,

"value_3": -1

},

"Default": 50

}

 Sí Objeto JSON que contiene todas las claves con valores de cadena asignados. Nota: La clave "Default" es obligatoria.
Horas máximas hacia atrás Número entero 1 No Cantidad de horas desde las que se recuperan los eventos.
Cantidad máxima de eventos para recuperar Número entero 20 No Cantidad de eventos que se procesarán por iteración del conector.
Usar la lista blanca como lista negra Casilla de verificación Marcado Sí Si se habilita, la lista de entidades permitidas se usará como lista de entidades bloqueadas.
Verificar SSL Casilla de verificación Marcado Sí Si está habilitado, verifica que el certificado SSL para la conexión a Humio sea válido.
Dirección del servidor proxy String N/A No Es la dirección del servidor proxy que se usará.
Nombre de usuario del proxy String N/A No Nombre de usuario del proxy con el que se realizará la autenticación.
Contraseña de proxy Contraseña N/A No Contraseña del proxy para la autenticación.

Reglas del conector

Compatibilidad con proxy

El conector admite proxy.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.