Illusive Networks

In diesem Dokument wird beschrieben, wie Sie Illusive Networks in Google SecOps einbinden.

Anwendungsfälle für Produkte

  1. Aktive Aktionen ausführen – forensische Scans ausführen, Entitäten anreichern, Deception-Nutzer/-Server hinzufügen/entfernen.
  2. Vorfälle in Simplify aufnehmen.

Illusive Networks-Integration in Google Security Operations konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
API-Stamm String http://x.x.x.x Ja API-Stamm der Illusive Networks-Instanz.
API-Schlüssel Passwort – Ja

API-Schlüssel von Illusive Networks.
Hinweis: Der String „Basic“ darf nicht Teil des Werts sein.
CA-Zertifikatsdatei String Falsch Base64-codierte CA-Zertifikatsdatei.
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Illusive Networks-Server gültig ist.

API-Schlüssel generieren

  1. Rufen Sie in der Illusive Networks-Konsole den Bereich „Settings“ (Einstellungen) auf.
  2. Scrollen Sie im Abschnitt „Allgemein“ nach unten zum Bereich „API-Schlüssel“.
  3. Klicken Sie auf den Button „Schlüssel hinzufügen“.
  4. Es wird empfohlen, dem API-Schlüssel alle Berechtigungen hinzuzufügen.
  5. Kopieren Sie aus dem bereitgestellten String alles außer dem String „Basic“.
  6. Fügen Sie diesen Wert in den Parameter „API-Schlüssel“ der Google SecOps-Integration ein.

Ratenbegrenzung aktualisieren

Für bestimmte Endpunkte in Illusive Networks gilt eine Ratenbegrenzung. Für den Connector ist es wichtig, dass das Limit hoch genug ist, damit alle Vorfälle aufgenommen werden. Wenn Sie die Ratenbegrenzung aktualisieren möchten, müssen Sie sich beim Verwaltungsserver anmelden und zu C:\Program Files\illusive-Management-Server-3.1.XXX.XXXX\conf\general.properties.txt wechseln.

Suchen Sie in der Datei nach den folgenden Attributen:

  • api.incident.rate.limit.maximum.num.requests
  • api.rate.limit.windows.duration.minutes

Wir empfehlen die folgende Einrichtung:

  • api.incident.rate.limit.maximum.num.requests=100
  • api.rate.limit.windows.duration.minutes=1
  • api.monitoring.rate.limit.maximum.num.requests = 100
  • api.forensics.rate.limit.maximum.num.requests = 100

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zu Illusive Networks mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Parameter

–

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Bei Erfolg: „Successfully connected to the Illusive Networks server with the provided connection parameters!“

Nicht erfolgreich: (Fehler) – Verbindung zum Illusive Networks-Server konnte nicht hergestellt werden. Error is {0}".format(exception.stacktrace)

 Allgemein

Entitäten anreichern

Beschreibung

Entitäten mit Informationen von Illusive Networks anreichern. Unterstützte Entitäten: Hostname.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
–

Ausführen am

Diese Aktion wird für die Host-Entität ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "machineId": "00428a29-0343-4e13-aa97-3b624739c509",
    "machineName": "HELLO",
    "isHealthy": false,
    "lastDeploymentMethodType": "WMI",
    "distinguishedName": "CN=HELLO,CN=Computers,dc=iln,dc=local",
    "groupName": null,
    "sourceDiscoveryName": "iln.local",
    "collectData": true,
    "policyName": null,
    "assignmentStatus": "ANALYSIS",
    "operatingSystemType": "Windows",
    "operatingSystemName": "Windows Server 2016 Standard Evaluation",
    "operatingSystemVersion": "10.0 (14393)",
    "agentVersion": null,
    "bitness": null,
    "loggedInUserName": null,
    "lastLogonTime": 1613078764501,
    "succeededDeceptionFamilies": 0,
    "shouldBeUninstalledDeceptionFamilies": 0,
    "desiredDeceptionFamilies": 0,
    "deceptionFamiliesPercentages": null,
    "lastExecutionType": "AGENT",
    "machineLastExecutionPhaseType": "CONNECTION",
    "machineLastExecutionPhaseStatus": "FAILURE",
    "machineLastExecutionPhaseErrorMessage": "Unreachable - no ping",
    "mitigationStatusType": null,
    "machineExecutionUnifiedStatus": "FAILURE_CONNECTION",
    "machineLastExecutionPhaseFinishDate": "2021-02-12T10:17:30.623Z",
    "endpointTrapHealthCheckHostStatus": "NotTested",
    "endpointTrapHealthCheckHostStatusLastUpdated": null,
    "failedDeceptionFamilies": 0,
    "inProgressDeceptionFamilies": 0,
    "notDeployedDeceptionFamilies": 0,
    "policyId": null,
    "ghost": false
}
Entitätsanreicherung
Name des Anreicherungsfelds Logik – Wann wird sie angewendet?
ILLNET_machineName Wenn in JSON verfügbar (Hostinformationen)
ILLNET_isHealthy Wenn in JSON verfügbar (Hostinformationen)
ILLNET_host Wenn in JSON verfügbar (Hostinformationen)
ILLNET_distinguishedName Wenn in JSON verfügbar (Hostinformationen)
ILLNET_sourceDiscoveryName Wenn in JSON verfügbar (Hostinformationen)
ILLNET_policyName Wenn in JSON verfügbar (Hostinformationen)
ILLNET_operatingSystemName Wenn in JSON verfügbar (Hostinformationen)
ILLNET_agentVersion Wenn in JSON verfügbar (Hostinformationen)
ILLNET_loggedInUserName Wenn in JSON verfügbar (Hostinformationen)
ILLNET_machineExecutionUnifiedStatus Wenn in JSON verfügbar (Hostinformationen)
ILLNET_bitness Wenn in JSON verfügbar (Hostinformationen)
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht stoppen:
Wenn Daten für mindestens eine Entität verfügbar sind (is_success = true): „Die folgenden Entitäten wurden erfolgreich mit Illusive Networks angereichert: \n {entity.identifier}“.

Wenn für mindestens eine Entität keine Daten verfügbar sind (is_success = true): „Die Aktion konnte die folgenden Entitäten nicht mit Illusive Networks anreichern: \n {entity.identifier}“.

Wenn für alle keine Daten verfügbar sind (is_success = false): „Keine Entitäten wurden angereichert“.

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:
Bei einem schwerwiegenden Fehler, z. B. falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚Entitäten anreichern‘. Reason: {0}''.format(error.Stacktrace)

Bei Statuscode 429: „Fehler beim Ausführen der Aktion ‚Entitäten anreichern‘. Grund: Fehler bei der Ratenbegrenzung. Weitere Informationen zum Erhöhen der Ratenbegrenzung finden Sie in der Dokumentation.“

 Allgemein
Tabelle mit Fall-Repository

Name: {entity.identifier}

Es gibt nur zwei Spalten: „Schlüssel“ und „Wert“.

 Entität

Forensischen Scan ausführen

Beschreibung

Führen Sie einen forensischen Scan auf dem Endpunkt in Illusive Networks aus. Funktioniert mit IP- und Hostnamen-Entitäten.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Systeminformationen einbeziehen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, gibt die Aktion Systeminformationen zurück.
Informationen zu Prefetch-Dateien einschließen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, gibt die Aktion Informationen zu Prefetch-Dateien zurück.
Informationen zu „Programme hinzufügen/entfernen“ einschließen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, gibt die Aktion Informationen zu Programmen zurück, die hinzugefügt oder entfernt wurden.
Informationen zu Startprozessen einschließen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, gibt die Aktion Informationen zu Startprozessen zurück.
Informationen zu laufenden Prozessen einschließen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, gibt die Aktion Informationen zu laufenden Prozessen zurück.
Informationen zu Programmen zur Unterstützung von Nutzern einbeziehen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, gibt die Aktion Informationen zu Programmen für die Nutzerunterstützung zurück.
PowerShell-Verlaufsinformationen einbeziehen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, gibt die Aktion Informationen zum PowerShell-Verlauf zurück.

Maximale Anzahl zurückzugebender Elemente

 Ganzzahl 50 Nein Geben Sie an, wie viele Elemente zurückgegeben werden sollen. Wenn nichts angegeben ist, gibt die Aktion alles zurück.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • IP-Adresse
  • Host

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "Entity.identifier": {
        "host_info": "{Host_info part}",
        "prefetch_info": "{prefetch_info}",
        "installed_programs_info": "{installed_programs_info}",
        "startup_processes": "{startup_processes}",
        "running_processes": "{running_processes}",
        "user_assist_info": "{user_assist_info}",
        "powershell_history": "{powershell history}"
    }
}
Entitätsanreicherung
Name des Anreicherungsfelds Logik – Wann wird sie angewendet?
ILLNET_osName Wenn in JSON verfügbar (Hostinformationen)
ILLNET_machineType Wenn in JSON verfügbar (Hostinformationen)
ILLNET_host Wenn in JSON verfügbar (Hostinformationen)
ILLNET_loggedInUser Wenn in JSON verfügbar (Hostinformationen)
ILLNET_userProfiles Wenn in JSON verfügbar (Hostinformationen)
ILLNET_operatingSystemType Wenn in JSON verfügbar (Hostinformationen)
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:
Wenn die Ausführung für mindestens ein Element erfolgreich war (is_success = true): „Der forensische Scan wurde auf den folgenden Endpunkten in Illusive Networks erfolgreich ausgeführt: {entity.identifier}“

Wenn mindestens ein Endpunkt nicht erfolgreich war: „Die Aktion konnte keine Informationen aus dem forensischen Scan auf den folgenden Endpunkten abrufen: {entity.identifier}“

Wenn für alle Endpunkte kein Erfolg erzielt wurde: „Auf den angegebenen Endpunkten wurden keine forensischen Informationen gefunden.“

Asynchrone Nachricht: „Der forensische Scan wurde auf den folgenden Endpunkten gestartet: {entity identifier}. \n

Forensischer Scan auf den folgenden Endpunkten abgeschlossen: „
“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
Bei schwerwiegenden Fehlern wie falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚Forensischen Scan ausführen‘. Reason: {0}''.format(error.Stacktrace)

Wenn keiner der Parameter „include ...“ aktiviert ist: „Fehler beim Ausführen der Aktion ‚Forensischen Scan ausführen‘. Grund: Sie müssen mindestens einen der Parameter „... einschließen“ aktivieren.

 Allgemein
Hostinformationen in der Tabelle des Fall-Repositorys

Name: {entity.identifier}

Es gibt nur zwei Spalten: „Schlüssel“ und „Wert“.

 Entität
Case Wall Table Prefetch_Info

Name: „{entity.identifier}: Prefetch Files Information“

Spalten:

Dateiname

Letzte Ausführung

Änderungszeitpunkt der Datei

Prefetch-Dateiname

Allgemein

Tabelle mit Fall-Repository

INSTALLED_PROGRAMS_INFO

Name: „{entity.identifier}: Informationen zum Hinzufügen/Entfernen von Programmen“

Spalten:

Anzeigename

Dateiname

 Allgemein

Tabelle mit Fall-Repository

STARTUP_PROCESSES

Name: „{entity.identifier}: Startup Processes“

Spalten:

Name

Befehl

Standort

Nutzer

Allgemein

Tabelle mit Fall-Repository

RUNNING_PROCESSES

Name: „{entity.identifier}: Laufende Prozesse“

Spalten:

Nutzer

Admin-Berechtigungen

Befehl

Prozess-ID

Prozessname

Beginn

Allgemein

Tabelle mit Fall-Repository

USER_ASSIST_INFO

Name: „{entity.identifier}: Informationen zu Programmen zur Nutzerunterstützung“

Spalten:

Dateiname

Nutzername

Datum der letzten Verwendung

****

Tabelle mit Fall-Repository

POWER_SHELL_HISTORY

Name: „{entity.identifier}: Powershell-Verlauf“

Spalten:

Nutzername

Befehl

Irreführende Elemente auflisten

Beschreibung

Verfügbare Täuschungselemente in Illusive Networks auflisten.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Irreführender Typ DDL

Alle

Mögliche Werte:

Alle

Nur Nutzer

Nur Server

 Ja Geben Sie an, welche Art von irreführenden Elementen zurückgegeben werden soll.
Irreführender Status DDL

Alle

Mögliche Werte:

Alle

Nur genehmigte, nur vorgeschlagene

Ja Geben Sie an, welche Art von irreführenden Elementen basierend auf dem Status zurückgegeben werden soll.
Maximale Anzahl zurückzugebender Elemente Ganzzahl 50 Nein Geben Sie an, wie viele Elemente zurückgegeben werden sollen. Standardeinstellung: 50. Wenn nichts angegeben ist, werden alle Elemente zurückgegeben.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
    "users": [
        {
            "username": "backupad",
            "password": "5437niwY",
            "domainName": "intw-lab.local",
            "policyNames": [
                "Full Protection"
            ],
            "adUser": false,
            "activeUser": false,
            "deceptiveState": "APPROVED"
        },
        {
            "username": "jvillar",
            "password": "ritA1102",
            "domainName": "intw-lab.local",
            "policyNames": [],
            "adUser": true,
            "activeUser": false,
            "deceptiveState": "SUGGESTED"
        },
        {
            "username": "gaccess.user",
            "password": "psUiS01",
            "domainName": "intw-lab.local",
            "policyNames": [],
            "adUser": true,
            "activeUser": false,
            "deceptiveState": "SUGGESTED"
        },
        {
            "username": "service.user",
            "password": "mAkaYe4",
            "domainName": "intw-lab.local",
            "policyNames": [],
            "adUser": true,
            "activeUser": false,
            "deceptiveState": "SUGGESTED"
        }
    ],
    "servers": [
        {
            "host": "10.0.0.2",
            "serviceTypes": [
                "DB"
            ],
            "policyNames": [
                "Full Protection"
            ],
            "adHost": false,
            "deceptiveState": "APPROVED"
        },
        {
            "host": "10.0.0.1",
            "serviceTypes": [
                "DB"
            ],
            "policyNames": [
                "Full Protection"
            ],
            "adHost": false,
            "deceptiveState": "APPROVED"
        }
    ]
}
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
Wenn 200 und Daten verfügbar sind (is_success = true): „Verfügbare Täuschungselemente von Illusive Networks wurden erfolgreich zurückgegeben“.

Wenn 200 und keine Daten verfügbar sind (is_success=false) „No data was found regarding deceptive items based on the provided criteria in Illusive Networks.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
Bei einem schwerwiegenden Fehler, z. B. falschen Anmeldedaten, keiner Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚Irreführende Elemente auflisten‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein
Tabelle mit Fall-Repository

Name: „Deceptive Users“

Spalte:

Nutzername

Passwort

Domain

Richtlinien

AD-Nutzer

Aktiv

Bundesland

Allgemein
Tabelle mit Fall-Repository

Name: „Deceptive Servers“

Spalte:

Host

Dienste

Richtlinien

AD-Server

Bundesland

Allgemein

Betrügerischen Nutzer hinzufügen

Beschreibung

Fügen Sie in Illusive Networks irreführende Nutzer hinzu.

Parameter

Name Standardwert Ist obligatorisch Beschreibung
Nutzername – Ja Geben Sie den Nutzernamen für den neuen Deceptive-Nutzer an.
Passwort – Ja Geben Sie das Passwort für den neuen betrügerischen Nutzer an.
DNS-Domain – Nein Geben Sie den Domainnamen für den neuen betrügerischen Nutzer an.
Richtliniennamen – Nein Geben Sie eine durch Kommas getrennte Liste von Richtlinien an, die auf den neuen betrügerischen Nutzer angewendet werden sollen. Wenn nichts angegeben ist, werden standardmäßig alle Richtlinien verwendet.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Erfolg (is_success=true) → Der irreführende Nutzer wurde in Illusive Networks hinzugefügt.

Fall 1: User Already Exists (fail) - Error executing action "{action name}". Grund: Der irreführende Nutzer „{username}“ ist bereits vorhanden.

Fall 2: 400-Statuscode (Fehler): Fehler beim Ausführen der Aktion „{action name}“. Grund: {Fehlermeldung}.

Fall 3: Allgemeiner Fehler (Fehler) – Fehler beim Ausführen der Aktion „{action name}“. Grund: {error traceback}.

 Allgemein

Betrügerischen Nutzer entfernen

Beschreibung

Entfernen Sie den betrügerischen Nutzer aus Illusive Networks.

Parameter

Name Standardwert Ist obligatorisch Beschreibung
Nutzername – Ja Geben Sie den Nutzernamen des betrügerischen Nutzers an, der entfernt werden soll.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Erfolg → Der betrügerische Nutzer in Illusive Networks wurde entfernt.

Fall 1: User doesn't exist (is_success=false) - Der betrügerische Nutzer „{username}“ konnte nicht entfernt werden. Grund: Der irreführende Nutzer „{username}“ ist nicht vorhanden.

Fall 2: Allgemeiner Fehler (Fehler) – Fehler beim Ausführen der Aktion „{action name}“. Grund: {error traceback}.

 Allgemein

Täuschenden Server hinzufügen

Beschreibung

Fügen Sie in Illusive Networks Täuschungsserver hinzu.

Parameter

Name Standardwert Ist obligatorisch Beschreibung
Servername – Ja Geben Sie den Namen für den neuen Täuschungsserver an.
Diensttypen DB Ja Geben Sie eine durch Kommas getrennte Liste von Diensttypen für den neuen Deceptive-Server an.
Richtliniennamen Nein Geben Sie eine durch Kommas getrennte Liste der Richtlinien an, die auf den neuen Deceptive-Server angewendet werden sollen. Wenn nichts angegeben ist, werden standardmäßig alle Richtlinien verwendet.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Erfolg (is_success=true) → Der Täuschungsserver wurde erfolgreich in Illusive Networks hinzugefügt.

Fall 1: Server Already Exists (fail) - Fehler beim Ausführen der Aktion „{action name}“. Grund: Der betrügerische Server „{server name}“ ist bereits vorhanden.

Fall 2: Status 400 (Fehler) – Fehler beim Ausführen der Aktion „{action name}“. Grund: {Fehlermeldung}.

Fall 3: Allgemeiner Fehler – Fehler beim Ausführen der Aktion „{action name}“. Grund: {error traceback}.

 Allgemein

Betrügerischen Server entfernen

Beschreibung

Entfernen Sie den betrügerischen Server von Illusive Networks.

Parameter

Name Standardwert Ist obligatorisch Beschreibung
Servername – Ja Geben Sie den Namen des betrügerischen Servers an, der entfernt werden soll.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Erfolg → Der betrügerische Server in Illusive Networks wurde entfernt.

Fall 1: Server doesn't exist (is_success=false) - Der betrügerische Server „{server name}“ konnte nicht entfernt werden. Grund: Der irreführende Server „{server name}“ existiert nicht.

Fall 2: Allgemeiner Fehler – Fehler beim Ausführen der Aktion „{action name}“. Grund: {error traceback}.

 Allgemein

Connectors

Illusive Networks – Incidents Connector

Beschreibung

Vorfälle mit zugehöriger forensischer Zeitachse von Illusive Networks abrufen.

Illusive Networks – Incidents-Connector in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters Type> Standardwert Ist obligatorisch Beschreibung
Produktfeldname String Produktname Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds String details_serviceType Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds String "" Nein

Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung String .* Nein

Ein Regex-Muster, das für den Wert im Feld „Environment Field Name“ ausgeführt werden soll.

Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben.

Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ über Regex-Logik zu bearbeiten.

Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden) Ganzzahl 180 Ja Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
API-Stamm String http://x.x.x.x Ja API-Stamm der Illusive Networks-Instanz.
API-Schlüssel String – Ja API-Schlüssel von Illusive Networks. Hinweis: Der String „Basic“ darf nicht Teil des Werts sein.
Schweregrad der Benachrichtigung String Mittel Ja

Schweregrad der Google SecOps-Benachrichtigung, die basierend auf den Vorfällen von Illusive Networks erstellt wird.

Mögliche Werte:

Informationell

Niedrig

Mittel

Hoch

Kritisch
Maximale Anzahl von Stunden rückwärts Ganzzahl 1 Nein Anzahl der Stunden, ab denen Vorfälle abgerufen werden sollen.
Maximale Anzahl abzurufender Vorfälle Ganzzahl 10 Nein Anzahl der Vorfälle, die pro Connector-Iteration verarbeitet werden sollen. Der Maximalwert beträgt 1.000.
Zulassungsliste als Sperrliste verwenden Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird die Zulassungsliste als Sperrliste verwendet.
SSL überprüfen Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Illusive Networks-Server gültig ist.
CA-Zertifikatsdatei String – Nein Base64-codierte CA-Zertifikatsdatei.
Proxyserveradresse String – Nein Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername String – Nein Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort Passwort – Nein Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Proxyunterstützung

Der Connector unterstützt Proxys.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten