Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Logpoint

In diesem Dokument wird beschrieben, wie Sie Logpoint in Google SecOps einbinden.

Anwendungsbereiche

Aktive Aktionen ausführen – Abfragen ausführen, um weitere Informationen zu den Entitäten zu erhalten.

Logpoint-Integration in Google Security Operations konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
IP-Adresse	String	https://x.x.x.x	Ja	IP-Adresse der Logpoint-Instanz.
Nutzername	String	–	Ja	Nutzername des Logpoint-Kontos.
Secret	Passwort	–	Ja	Geheimer API-Schlüssel des Logpoint-Kontos
CA-Zertifikatsdatei	String	–	Nein	Base64-codierte CA-Zertifikatsdatei.
SSL überprüfen	Kästchen	Aktiviert	Ja	Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Logpoint-Server gültig ist.

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zum Logpoint mit den Parametern, die auf der Seite für die Integrationskonfiguration im Google SecOps Content Hub angegeben sind.

Parameter

–

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden: Bei Erfolg: „Successfully connected to the Logpoint server with the provided connection parameters!“ Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden: if not successful: „Failed to connect to the Logpoint server! Error is {0}".format(exception.stacktrace)	Allgemein

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:
Bei Erfolg: „Successfully connected to the Logpoint server with the provided connection parameters!“

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:
if not successful: „Failed to connect to the Logpoint server! Error is {0}".format(exception.stacktrace)

Allgemein

Abfrage ausführen

Beschreibung

Suchanfrage in Logpoint ausführen.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Abfrage	String	–	Ja	Geben Sie die Abfrage an, die in Logpoint ausgeführt werden soll.
Zeitraum	DDL	Letzte 24 Stunden Mögliche Werte: Letzte Stunde Letzte 12 Stunden Letzte 24 Stunden Letzte 30 Tage Letzte 365 Tage Benutzerdefiniert	Ja	Geben Sie den Zeitraum für die Abfrage an. Wenn „Benutzerdefiniert“ ausgewählt ist, müssen Sie auch eine Start- und Endzeit angeben.
Beginn	String	–	Nein	Geben Sie den Beginn für die Abfrage an. Format: JJJJ-MM-TTThh:mm:ssZ oder Zeitstempel.
Ende	String	–	Nein	Geben Sie die Endzeit für die Abfrage an.Format: JJJJ-MM-TTThh:mm:ssZ oder Zeitstempel. Wenn nichts angegeben ist, wird die aktuelle Zeit als Endzeit verwendet.
Repositories	CSV	–	Nein	Geben Sie eine durch Kommas getrennte Liste der Namen der Repositories an. Wenn nichts angegeben ist, wird in allen Repositories gesucht.
Maximale Anzahl zurückzugebender Ergebnisse	Ganzzahl	100	Nein	Geben Sie an, wie viele Ergebnisse zurückgegeben werden sollen.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

JSON-Ergebnis

{
    "query_type": "simple",
    "rows": [
        {
            "msg": "2021-01-10 10:27:50 Benchmarker; reporting speed; service=norm_front; actual_mps=1; doable_mps=19096;",
            "log_ts": 1610274470,
            "actual_mps": "1",
            "doable_mps": "19096",
            "_type_str": "_tz device_name msg source_name col_type object norm_id service collected_at label device_ip
    _enrich_policy action _fromV550 repo_name logpoint_name",
    "device_name": "localhost",
            "_offset": 48317,
            "logpoint_name": "Logpoint",
            "action": "reporting speed",
            "repo_name": "_logpoint",
            "source_name": "/opt/immune/var/log/benchmarker/norm_front.log",
            "col_ts": 1610274470,
            "_tz": "UTC",
            "norm_id": "Logpoint",
            "_identifier": "0",
            "collected_at": "Logpoint",
            "device_ip": "127.0.0.1",
            "service": "norm_front",
            "_fromV550": "t",
            "_enrich_policy": "None",
            "_type_num": "actual_mps doable_mps col_ts sig_id log_ts _offset _identifier",
            "_type_ip": "device_ip",
            "sig_id": "10505",
            "col_type": "filesystem",
            "object": "Benchmarker",
            "_labels": [
                "Logpoint",
                "Benchmarker"
            ]
        }
    ],
    "version": 6,
    "extracted_terms": [],
    "time_range": [
        1609496280,
        1610274480
    ],
    "orig_search_id": "9acac4a0-e530-4a19-a446-e17d4d9f8aae",
    "success": true,
    "final": true,
    "totalPages": 1,
    "estim_count": 185003,
    "complete": true,
    "status": {
        "Logpoint": {
            "default": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 3,
                "final": true
            },
            "_logpoint": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 185000,
                "final": true
            },
            "LogSource1": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 0,
                "final": true
            },
            "_LogpointAlerts": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 0,
                "final": true
            }
        }
    }
}

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden: Wenn „success == true“ für alle Anfragen (is_success = true): „Successfully executed query and retrieved results from Logpoint“. Wenn „success == true“ für alle Anfragen, aber keine Ergebnisse (is_success=false): „Für die angegebene Abfrage wurden keine Daten gefunden.“ Wenn success == false für mindestens eine Anfrage (is_success = false): „Die Aktion konnte die Abfrage nicht erfolgreich ausführen und keine Ergebnisse von Logpoint abrufen. Reason: {0}".format(message) Asynchrone Nachricht „Warten, bis die Verarbeitung der Abfrage in Logpoint abgeschlossen ist.“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Bei einem schwerwiegenden Fehler, z. B. falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚Abfrage ausführen‘. Reason: {0}''.format(error.Stacktrace) Bei Zeitüberschreitung: Fehler beim Ausführen der Aktion „Abfrage ausführen“. Grund: Zeitüberschreitung bei der Aktion. Bitte grenzen Sie den Zeitraum ein oder verringern Sie die Anzahl der zurückzugebenden Ergebnisse. Wenn mindestens ein Repository nicht gefunden wird: „Fehler beim Ausführen der Aktion ‚Abfrage ausführen‘. Grund: Die folgenden Repositories wurden in Logpoint nicht gefunden: {0}. Prüfen Sie, ob alle Repositories verfügbar sind.".format(durch Kommas getrennte Liste der nicht gefundenen Repositories) Wenn „Benutzerdefiniert“ ausgewählt ist, aber keine „Startzeit“ angegeben wurde: „Fehler beim Ausführen der Aktion ‚Abfrage ausführen‘. Grund: Sie müssen einen „Beginn“ angeben, wenn Sie für den Zeitraum „Benutzerdefiniert“ ausgewählt haben.“	Allgemein
Tabelle mit Fall-Repository	Tabellenname: „Ergebnisse“ Alle Spalten aus der Antwort werden als Tabellenspalten verwendet.	Allgemein

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:
Wenn „success == true“ für alle Anfragen (is_success = true): „Successfully executed query and retrieved results from Logpoint“.

Wenn „success == true“ für alle Anfragen, aber keine Ergebnisse (is_success=false): „Für die angegebene Abfrage wurden keine Daten gefunden.“

Wenn success == false für mindestens eine Anfrage (is_success = false): „Die Aktion konnte die Abfrage nicht erfolgreich ausführen und keine Ergebnisse von Logpoint abrufen. Reason: {0}".format(message)

Asynchrone Nachricht

„Warten, bis die Verarbeitung der Abfrage in Logpoint abgeschlossen ist.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
Bei einem schwerwiegenden Fehler, z. B. falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚Abfrage ausführen‘. Reason: {0}''.format(error.Stacktrace)

Bei Zeitüberschreitung:

Fehler beim Ausführen der Aktion „Abfrage ausführen“. Grund: Zeitüberschreitung bei der Aktion. Bitte grenzen Sie den Zeitraum ein oder verringern Sie die Anzahl der zurückzugebenden Ergebnisse.

Wenn mindestens ein Repository nicht gefunden wird:

„Fehler beim Ausführen der Aktion ‚Abfrage ausführen‘. Grund: Die folgenden Repositories wurden in Logpoint nicht gefunden: {0}. Prüfen Sie, ob alle Repositories verfügbar sind.".format(durch Kommas getrennte Liste der nicht gefundenen Repositories)

Wenn „Benutzerdefiniert“ ausgewählt ist, aber keine „Startzeit“ angegeben wurde:

„Fehler beim Ausführen der Aktion ‚Abfrage ausführen‘. Grund: Sie müssen einen „Beginn“ angeben, wenn Sie für den Zeitraum „Benutzerdefiniert“ ausgewählt haben.“

Allgemein

Tabelle mit Fall-Repository

Tabellenname: „Ergebnisse“

Alle Spalten aus der Antwort werden als Tabellenspalten verwendet.

Allgemein

Entitätsabfrage ausführen

Beschreibung

Abfrage in Logpoint basierend auf den Entitäten ausführen. Derzeit unterstützte Entitätstypen: Nutzer, IP-Adresse, E-Mail-Adresse, URL, Datei-Hash, Hostname. Hinweis: „Email Address“ ist eine Nutzerentität, die dem Format einer E‑Mail-Adresse entspricht.

Mit Aktionsparametern arbeiten

Mit dieser Aktion können Sie ganz einfach Informationen zu Entitäten abrufen. So können Sie beispielsweise den Anwendungsfall lösen, bei dem Sie die Anzahl der Logs der Endpunkte sehen möchten, die vom bereitgestellten Hash betroffen sind, ohne eine komplizierte Abfrage erstellen zu müssen.

Um dieses Problem im Logpoint zu beheben, müssen Sie die folgende Abfrage vorbereiten: ("device_ip"="10.0.0.1" or "device_ip"="10.0.0.2") and ("hash"="7694f4a66316e53c8cdd9d9954bd611d" or "hash"="8264ee52f589f4c0191aa94f87aa1aeb") | chart count() by device_ip

Wenn Sie dieselbe Abfrage mit der Aktion „Entitätsabfrage ausführen“ erstellen möchten, müssen Sie die Aktionsparameter so ausfüllen:

Abfrage	\| chart count() by device_ip
IP-Entitätsschlüssel	device_ip
Entitätsschlüssel für Datei-Hash	Hash
Entitätsübergreifender Operator	UND

Alle anderen Felder können leer bleiben.

Wenn Sie sehen möchten, wie viele Endpunkte von den bereitgestellten Hashes betroffen waren, sieht die Konfiguration von „Entitätsabfrage ausführen“ so aus:

Abfrage	\| chart count() by device_ip
Entitätsschlüssel für Datei-Hash	Hash

„Entitätsübergreifender Operator“ hat in dieser Situation keine Auswirkungen, da er sich nur auf die Abfrage auswirkt, wenn mehrere „Entitätsschlüssel“ angegeben sind.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Abfrage	String		Ja	Geben Sie die Abfrage an, die ausgeführt werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Zeitraum	DDL	Letzte 24 Stunden Mögliche Werte: Letzte Stunde Letzte 12 Stunden Letzte 24 Stunden Letzte 30 Tage Letzte 365 Tage Benutzerdefiniert	Ja	Geben Sie den Zeitraum für die Abfrage an. Wenn „Benutzerdefiniert“ ausgewählt ist, müssen Sie auch eine Startzeit angeben. Als Endzeit wird standardmäßig die aktuelle Zeit verwendet.
Beginn	String		Nein	Geben Sie den Beginn für die Abfrage an. Format: JJJJ-MM-TTThh:mm:ssZ oder Zeitstempel.
Ende	String		Nein	Geben Sie die Endzeit für die Abfrage an.Format: JJJJ-MM-TTThh:mm:ssZ oder Zeitstempel. Wenn nichts angegeben ist, wird die aktuelle Zeit als Endzeit verwendet.
Repositories	CSV		Nein	Geben Sie eine durch Kommas getrennte Liste der Namen der Repositories an. Wenn nichts angegeben ist, wird in allen Repositories gesucht.
IP-Entitätsschlüssel	String		Nein	Geben Sie an, welcher Schlüssel für IP-Entitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Hostname-Entitätsschlüssel	String		Nein	Geben Sie an, welcher Schlüssel für Hostnamen-Entitäten verwendet werden soll, wenn Sie die vorbereiten . Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Entitätsschlüssel für Datei-Hash			Nein	Geben Sie an, welcher Schlüssel für Datei-Hash-Entitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Schlüssel der Nutzerentität			Nein	Geben Sie an, welcher Schlüssel für Nutzerentitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
URL-Entitätsschlüssel			Nein	Geben Sie an, welcher Schlüssel mit URL-Entitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Entitätsschlüssel für E‑Mail-Adresse			Nein	Geben Sie an, welcher Schlüssel für Entitäten vom Typ „E-Mail-Adresse“ verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Beenden, wenn nicht genügend Entitäten vorhanden sind	Kästchen	Aktiviert	Ja	Wenn diese Option aktiviert ist, wird die Aktion erst ausgeführt, wenn alle Entitätstypen für die angegebenen „.. Entitätsschlüssel“ verfügbar sind. Beispiel: Wenn „IP Entity Key“ und „File Hash Entity Key“ angegeben sind, aber im Bereich keine Datei-Hashes vorhanden sind, wird die Abfrage nicht ausgeführt, wenn dieser Parameter aktiviert ist.
Entitätsübergreifender Operator	DDL	ODER Mögliche Werte: ODER UND	Ja	Geben Sie an, welcher logische Operator zwischen verschiedenen Entitätstypen verwendet werden soll.
Maximale Anzahl zurückzugebender Ergebnisse	Ganzzahl	100	Nein	Geben Sie an, wie viele Ergebnisse zurückgegeben werden sollen.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

IP-Adresse
Host
Nutzer
Hash
URL

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

JSON-Ergebnis

{
    "query_type": "simple",
    "rows": [
        {
            "msg": "2021-01-10 10:27:50 Benchmarker; reporting speed; service=norm_front; actual_mps=1; doable_mps=19096;",
            "log_ts": 1610274470,
            "actual_mps": "1",
            "doable_mps": "19096",
            "_type_str": "_tz device_name msg source_name col_type object norm_id service collected_at label device_ip
    _enrich_policy action _fromV550 repo_name logpoint_name",
    "device_name": "localhost",
            "_offset": 48317,
            "logpoint_name": "Logpoint",
            "action": "reporting speed",
            "repo_name": "_logpoint",
            "source_name": "/opt/immune/var/log/benchmarker/norm_front.log",
            "col_ts": 1610274470,
            "_tz": "UTC",
            "norm_id": "Logpoint",
            "_identifier": "0",
            "collected_at": "Logpoint",
            "device_ip": "127.0.0.1",
            "service": "norm_front",
            "_fromV550": "t",
            "_enrich_policy": "None",
            "_type_num": "actual_mps doable_mps col_ts sig_id log_ts _offset _identifier",
            "_type_ip": "device_ip",
            "sig_id": "10505",
            "col_type": "filesystem",
            "object": "Benchmarker",
            "_labels": [
                "Logpoint",
                "Benchmarker"
            ]
        }
    ],
    "version": 6,
    "extracted_terms": [],
    "time_range": [
        1609496280,
        1610274480
    ],
    "orig_search_id": "9acac4a0-e530-4a19-a446-e17d4d9f8aae",
    "success": true,
    "final": true,
    "totalPages": 1,
    "estim_count": 185003,
    "complete": true,
    "status": {
        "Logpoint": {
            "default": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 3,
                "final": true
            },
            "_logpoint": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 185000,
                "final": true
            },
            "LogSource1": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 0,
                "final": true
            },
            "_LogpointAlerts": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 0,
                "final": true
            }
        }
    }
}

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden: Wenn „success == true“ für alle Anfragen (is_success = true): „Successfully executed query and retrieved results from Logpoint“. Wenn „success == true“ für alle Anfragen, aber keine Ergebnisse (is_success=false): „Für die angegebene Abfrage wurden keine Daten gefunden.“ Wenn success == false für mindestens eine Anfrage (is_success = false): „Die Aktion konnte die Abfrage nicht erfolgreich ausführen und keine Ergebnisse von Logpoint abrufen. Reason: {0}".format(message) Asynchrone Nachricht „Warten, bis die Verarbeitung der Abfrage in Logpoint abgeschlossen ist.“ Wenn „Anhalten, wenn nicht genügend Entitäten vorhanden sind“ aktiviert ist und nicht genügend Entitätstypen für die angegebenen „Entitätsschlüssel“ verfügbar sind (is_success=false): Die Aktion konnte die Abfrage nicht erstellen, da nicht genügend Entitätstypen für die angegebenen „.. Entitätsschlüssel“ bereitgestellt wurden. Deaktivieren Sie den Parameter „Anhalten, wenn nicht genügend Entitäten vorhanden sind“ oder geben Sie für jeden angegebenen „.. Entitätsschlüssel“ mindestens eine Entität an. Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden: Bei einem schwerwiegenden Fehler, z. B. falschen Anmeldedaten, keiner Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚Entitätsabfrage ausführen‘. Reason: {0}''.format(error.Stacktrace) Bei Zeitüberschreitung: Fehler beim Ausführen der Aktion „Entitätsabfrage ausführen“. Grund: Zeitüberschreitung bei der Aktion. Grenzen Sie den Zeitraum ein oder verringern Sie die Anzahl der zurückzugebenden Ergebnisse. Wenn mindestens ein Repository nicht gefunden wird: „Fehler beim Ausführen der Aktion ‚Entitätsabfrage ausführen‘. Grund: Die folgenden Repositories wurden in Logpoint nicht gefunden: {0}. Prüfen Sie, ob alle Repositories verfügbar sind.".format(durch Kommas getrennte Liste der nicht gefundenen Repositories) Wenn keine „Entity“-Schlüssel angegeben sind: Fehler beim Ausführen der Aktion „Entitätsabfrage ausführen“. Grund: Geben Sie mindestens einen „.. Entity Key“-Parameter an. Wenn „Benutzerdefiniert“ ausgewählt ist, aber keine „Startzeit“ angegeben wurde: „Fehler beim Ausführen der Aktion ‚Entitätsabfrage ausführen‘. Grund: Sie müssen einen „Beginn“ angeben, wenn Sie für den Zeitraum „Benutzerdefiniert“ ausgewählt haben.“	Allgemein
Tabelle für Fall-Repository	Tabellenname: „Results“ Alle Spalten aus der Antwort werden als Tabellenspalten verwendet.	Allgemein

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabenachricht*

Wenn „success == true“ für alle Anfragen, aber keine Ergebnisse (is_success=false): „Für die angegebene Abfrage wurden keine Daten gefunden.“

Asynchrone Nachricht

„Warten, bis die Verarbeitung der Abfrage in Logpoint abgeschlossen ist.“

Wenn „Anhalten, wenn nicht genügend Entitäten vorhanden sind“ aktiviert ist und nicht genügend Entitätstypen für die angegebenen „Entitätsschlüssel“ verfügbar sind (is_success=false): Die Aktion konnte die Abfrage nicht erstellen, da nicht genügend Entitätstypen für die angegebenen „.. Entitätsschlüssel“ bereitgestellt wurden. Deaktivieren Sie den Parameter „Anhalten, wenn nicht genügend Entitäten vorhanden sind“ oder geben Sie für jeden angegebenen „.. Entitätsschlüssel“ mindestens eine Entität an.

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:
Bei einem schwerwiegenden Fehler, z. B. falschen Anmeldedaten, keiner Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚Entitätsabfrage ausführen‘. Reason: {0}''.format(error.Stacktrace)

Bei Zeitüberschreitung:

Fehler beim Ausführen der Aktion „Entitätsabfrage ausführen“. Grund: Zeitüberschreitung bei der Aktion. Grenzen Sie den Zeitraum ein oder verringern Sie die Anzahl der zurückzugebenden Ergebnisse.

Wenn mindestens ein Repository nicht gefunden wird:
„Fehler beim Ausführen der Aktion ‚Entitätsabfrage ausführen‘. Grund: Die folgenden Repositories wurden in Logpoint nicht gefunden: {0}. Prüfen Sie, ob alle Repositories verfügbar sind.".format(durch Kommas getrennte Liste der nicht gefundenen Repositories)

Wenn keine „Entity“-Schlüssel angegeben sind:

Fehler beim Ausführen der Aktion „Entitätsabfrage ausführen“. Grund: Geben Sie mindestens einen „.. Entity Key“-Parameter an.

Wenn „Benutzerdefiniert“ ausgewählt ist, aber keine „Startzeit“ angegeben wurde:

„Fehler beim Ausführen der Aktion ‚Entitätsabfrage ausführen‘. Grund: Sie müssen einen „Beginn“ angeben, wenn Sie für den Zeitraum „Benutzerdefiniert“ ausgewählt haben.“

Allgemein

Tabelle für Fall-Repository

Tabellenname: „Results“

Alle Spalten aus der Antwort werden als Tabellenspalten verwendet.

Allgemein

Repositories auflisten

Beschreibung

Verfügbare Repositories in Logpoint auflisten.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Maximale Anzahl zurückzugebender Repositories	Ganzzahl	100	Nein	Geben Sie an, wie viele Berichte zurückgegeben werden sollen.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

JSON-Ergebnis

{
    "success": true,
    "allowed_repos": [
        {
            "repo": "default",
            "address": "127.0.0.1:5504/default"
        },
        {
            "repo": "_logpoint",
            "address": "127.0.0.1:5504/_logpoint"
        },
        {
            "repo": "_LogpointAlerts",
            "address": "127.0.0.1:5504/_LogpointAlerts"
        },
        {
            "repo": "LogSource1",
            "address": "127.0.0.1:5504/LogSource1"
        }
    ],
    "logpoint": [
        {
            "name": "Logpoint",
            "ip": "127.0.0.1"
        }
    ]
}

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden: if success == true (is_success = true): „Successfully retrieve available repos query from Logpoint“. Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Bei einem schwerwiegenden Fehler, z. B. falschen Anmeldedaten, keiner Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚List Repos‘. Reason: {0}''.format(error.Stacktrace)	Allgemein
Tabelle mit Fall-Repository	Tabellenname: „Verfügbare Repositories“ Name: allowed_repos/repo Adresse – allowed_repos/address	Allgemein

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
if success == true (is_success = true): „Successfully retrieve available repos query from Logpoint“.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:
Bei einem schwerwiegenden Fehler, z. B. falschen Anmeldedaten, keiner Verbindung zum Server oder anderen Fehlern: „Fehler beim Ausführen der Aktion ‚List Repos‘. Reason: {0}''.format(error.Stacktrace)

Allgemein

Tabelle mit Fall-Repository

Tabellenname: „Verfügbare Repositories“

Name: allowed_repos/repo

Adresse – allowed_repos/address

Allgemein

Vorfallstatus aktualisieren

Beschreibung

Aktualisieren Sie den Vorfallstatus in Logpoint.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Vorfall-ID	String	–	Ja	Geben Sie die ID des Vorfalls an, den Sie aktualisieren möchten.
Aktion	DLL	Schließen Mögliche Werte: Klären Schließen	Ja	Geben Sie die Aktion für den Vorfall an.

Anzeigename des Parameters

Typ

Standardwert

Ist obligatorisch

Beschreibung

Vorfall-ID

String

–

Geben Sie die ID des Vorfalls an, den Sie aktualisieren möchten.

Aktion

DLL

Schließen

Mögliche Werte:

Klären

Schließen

Geben Sie die Aktion für den Vorfall an.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden: if success== true (is_success = true): "Successfully {0} incident with ID {1} in Logpoint.".format(resolved/closed, incident_id) if success== false(is_success = true): "Action wasn't able to {0} incident with ID {1} in Logpoint.".format(resolve/close, incident_id) Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Vorfallstatus aktualisieren‘. Reason: {0}''.format(error.Stacktrace)	Allgemein

Ergebnistyp

Wert / Beschreibung

Typ

Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
if success== true (is_success = true): "Successfully {0} incident with ID {1} in Logpoint.".format(resolved/closed, incident_id)

if success== false(is_success = true): "Action wasn't able to {0} incident with ID {1} in Logpoint.".format(resolve/close, incident_id)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Vorfallstatus aktualisieren‘. Reason: {0}''.format(error.Stacktrace)

Allgemein

Connector

Logpoint – Incidents Connector

Beschreibung

Vorfälle aus Logpoint abrufen.

Logpoint – Incidents-Connector in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Produktfeldname	String	Produktname	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds	String	Typ	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds	String	""	Nein	Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung	String	.*	Nein	Ein Regex-Muster, das für den Wert im Feld „Environment Field Name“ ausgeführt werden soll. Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben. Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ über Regex-Logik zu bearbeiten. Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden)	Ganzzahl	180	Ja	Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
IP-Adresse	String	https://x.x.x.x	Ja	IP-Adresse der Logpoint-Instanz.
Nutzername	String	–	Ja	Nutzername des Logpoint-Kontos.
Secret	Passwort	–	Ja	Secret des Logpoint-Kontos.
Maximale Anzahl von Stunden rückwärts	Ganzzahl	1	Nein	Anzahl der Stunden, ab denen Vorfälle abgerufen werden sollen.
Geringstes Risiko beim Abrufen	String	–	Nein	Niedrigstes Risiko der abzurufenden Vorfälle. Mögliche Werte: Kritisch, Hoch, Mittel, Niedrig.
Maximale Anzahl abzurufender Vorfälle	Ganzzahl	10	Nein	Anzahl der Vorfälle, die pro Connector-Iteration verarbeitet werden sollen.
Zulassungsliste als Sperrliste verwenden	Kästchen	Deaktiviert	Ja	Wenn diese Option aktiviert ist, wird die Zulassungsliste als Sperrliste verwendet.
SSL überprüfen	Kästchen	Deaktiviert	Ja	Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Logpoint-Server gültig ist.
CA-Zertifikatsdatei	String	–	Nein	Base64-codierte CA-Zertifikatsdatei.
Proxyserveradresse	String	–	Nein	Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername	String	–	Nein	Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort	Passwort	–	Nein	Das Proxy-Passwort für die Authentifizierung.
Nutzerfilter	CSV	–	Nein	Eine durch Kommas getrennte Liste von Nutzernamen, die zum Herausfiltern von Vorfällen verwendet werden. Es werden nur Vorfälle aufgenommen, die von gültigen Nutzern erstellt wurden. Wenn nichts angegeben ist, wird dieser Filter nicht angewendet und der Connector erfasst Vorfälle von allen Nutzern.

Connector-Regeln

Proxyunterstützung

Der Connector unterstützt Proxys.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten