ארגנו מחדש את מבנה הניווט במסמכי התיעוד כדי שיתאים ישירות לתהליכי העבודה התפעוליים שלכם. מידע נוסף זמין בהערות הגרסה ובסרטון ההדרכה.

‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

נקודת רישום (logpoint)

במאמר הזה מוסבר איך לשלב את Logpoint עם Google SecOps.

תרחישים לדוגמה

ביצוע פעולות אקטיביות – הפעלת שאילתות כדי לקבל מידע נוסף על הישויות.

הגדרת שילוב של Logpoint ב-Google Security Operations

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
כתובת IP	String	https://x.x.x.x	כן	כתובת ה-IP של מכונת Logpoint.
שם משתמש	String	לא רלוונטי	כן	שם המשתמש בחשבון Logpoint.
סוד	סיסמה	לא רלוונטי	כן	מפתח API סודי של חשבון Logpoint
קובץ אישור CA	String	לא רלוונטי	לא	קובץ אישור CA בקידוד Base64.
אימות SSL	תיבת סימון	סימן אישור	כן	אם האפשרות הזו מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Logpoint תקף.

פעולות

פינג

תיאור

בודקים את הקישוריות ל-Logpoint באמצעות הפרמטרים שמופיעים בדף הגדרת השילוב בכרטיסייה Google Security Operations Marketplace.

פרמטרים

לא רלוונטי

ריצה

הפעולה לא מופעלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת סקריפט

שם התוצאה של הסקריפט	אפשרויות ערך
is_success	is_success=False
is_success	is_success=True

Case Wall

סוג התוצאה	ערך / תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההרצה של פלייבוק: אם הפעולה הצליחה: "Successfully connected to the Logpoint server with the provided connection parameters!" הפעולה אמורה להיכשל ולהפסיק את ההרצה של ה-Playbook: אם הפעולה לא מצליחה: 'החיבור לשרת Logpoint נכשל! השגיאה היא {0}'.format(exception.stacktrace)	כללי

סוג התוצאה

ערך / תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של פלייבוק:
אם הפעולה הצליחה: "Successfully connected to the Logpoint server with the provided connection parameters!"

הפעולה אמורה להיכשל ולהפסיק את ההרצה של ה-Playbook:
אם הפעולה לא מצליחה: 'החיבור לשרת Logpoint נכשל! השגיאה היא {0}'.format(exception.stacktrace)

כללי

ביצוע שאילתה

תיאור

מריצים שאילתת חיפוש ב-Logpoint.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
שאילתה	String	לא רלוונטי	כן	מציינים את השאילתה שצריך להריץ ב-Logpoint.
מסגרת זמן	DDL	24 השעות האחרונות ערכים אפשריים: השעה האחרונה 12 השעות האחרונות 24 השעות האחרונות 30 הימים האחרונים ‫365 הימים האחרונים בהתאמה אישית	כן	מציינים את מסגרת הזמן של השאילתה. אם בוחרים באפשרות 'בהתאמה אישית', צריך גם לציין שעת התחלה ושעת סיום.
שעת ההתחלה	String	לא רלוונטי	לא	מציינים את שעת ההתחלה של השאילתה. פורמט: YYYY-MM-DDThh:mm:ssZ או חותמת זמן.
שעת הסיום	String	לא רלוונטי	לא	מציינים את שעת הסיום של השאילתה.הפורמט: YYYY-MM-DDThh:mm:ssZ או חותמת זמן. אם לא סופק ערך, הפעולה תשתמש בזמן הנוכחי כזמן הסיום.
מאגרי קוד	CSV	לא רלוונטי	לא	מציינים רשימה של שמות המאגרים, שמופרדים באמצעות פסיקים. אם לא מציינים כלום, הפעולה תחפש בכל המאגרים.
המספר המקסימלי של תוצאות להחזרה	מספר שלם	100	לא	מציינים כמה תוצאות צריך להחזיר.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט

שם התוצאה של הסקריפט	אפשרויות ערך
is_success	is_success=False
is_success	is_success=True

תוצאת JSON

{
    "query_type": "simple",
    "rows": [
        {
            "msg": "2021-01-10 10:27:50 Benchmarker; reporting speed; service=norm_front; actual_mps=1; doable_mps=19096;",
            "log_ts": 1610274470,
            "actual_mps": "1",
            "doable_mps": "19096",
            "_type_str": "_tz device_name msg source_name col_type object norm_id service collected_at label device_ip
    _enrich_policy action _fromV550 repo_name logpoint_name",
    "device_name": "localhost",
            "_offset": 48317,
            "logpoint_name": "Logpoint",
            "action": "reporting speed",
            "repo_name": "_logpoint",
            "source_name": "/opt/immune/var/log/benchmarker/norm_front.log",
            "col_ts": 1610274470,
            "_tz": "UTC",
            "norm_id": "Logpoint",
            "_identifier": "0",
            "collected_at": "Logpoint",
            "device_ip": "127.0.0.1",
            "service": "norm_front",
            "_fromV550": "t",
            "_enrich_policy": "None",
            "_type_num": "actual_mps doable_mps col_ts sig_id log_ts _offset _identifier",
            "_type_ip": "device_ip",
            "sig_id": "10505",
            "col_type": "filesystem",
            "object": "Benchmarker",
            "_labels": [
                "Logpoint",
                "Benchmarker"
            ]
        }
    ],
    "version": 6,
    "extracted_terms": [],
    "time_range": [
        1609496280,
        1610274480
    ],
    "orig_search_id": "9acac4a0-e530-4a19-a446-e17d4d9f8aae",
    "success": true,
    "final": true,
    "totalPages": 1,
    "estim_count": 185003,
    "complete": true,
    "status": {
        "Logpoint": {
            "default": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 3,
                "final": true
            },
            "_logpoint": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 185000,
                "final": true
            },
            "LogSource1": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 0,
                "final": true
            },
            "_LogpointAlerts": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 0,
                "final": true
            }
        }
    }
}

Case Wall

סוג התוצאה	ערך / תיאור	סוג
הודעת פלט*	הפעולה לא תיכשל ולא תפסיק את ההפעלה של Playbook: אם success == true לכל הבקשות (is_success = true): "Successfully executed query and retrieved results from Logpoint". אם הערך של success הוא true לכל הבקשות, אבל לא מוצגות תוצאות (is_success=false): "לא נמצאו נתונים עבור השאילתה שצוינה". אם הערך של success הוא false לפחות בבקשה אחת (is_success = false): "הפעולה לא הצליחה להריץ את השאילתה ולאחזר תוצאות מ-Logpoint. הסיבה: {0}".format(message) הודעה אסינכרונית ‫"Waiting for query to finish processing in Logpoint." הפעולה תיכשל והרצת ה-playbook תיפסק: אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "Error executing action "Execute Query". Reason: {0}''.format(error.Stacktrace) אם חלף הזמן הקצוב לתגובה: שגיאה בביצוע הפעולה Execute Query (ביצוע שאילתה). הסיבה: הפעולה הגיעה לזמן קצוב לתפוגה. צריך לצמצם את מסגרת הזמן או להקטין את מספר התוצאות שיוחזרו. אם לא נמצא מאגר אחד לפחות: ‫"Error executing action "Execute Query". סיבה: המאגרים הבאים לא נמצאו ב-Logpoint:‏ {0}. צריך לוודא שכל המאגרים זמינים.".format(comma-separated list of repos that were not found) אם האפשרות 'בהתאמה אישית' נבחרה, אבל לא צוינה 'שעת התחלה': ‫"Error executing action "Execute Query". סיבה: צריך לציין 'שעת התחלה' אם בוחרים באפשרות 'בהתאמה אישית' לטווח הזמן.	כללי
Case Wall Table	שם הטבלה: 'תוצאות' כל העמודות מהתגובה ישמשו כעמודות בטבלה.	כללי

סוג התוצאה

ערך / תיאור

סוג

הודעת פלט*

הפעולה לא תיכשל ולא תפסיק את ההפעלה של Playbook:
אם success == true לכל הבקשות (is_success = true): "Successfully executed query and retrieved results from Logpoint".

אם הערך של success הוא true לכל הבקשות, אבל לא מוצגות תוצאות (is_success=false): "לא נמצאו נתונים עבור השאילתה שצוינה".

אם הערך של success הוא false לפחות בבקשה אחת (is_success = false): "הפעולה לא הצליחה להריץ את השאילתה ולאחזר תוצאות מ-Logpoint. הסיבה: {0}".format(message)

הודעה אסינכרונית

‫"Waiting for query to finish processing in Logpoint."

הפעולה תיכשל והרצת ה-playbook תיפסק:
אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "Error executing action "Execute Query". Reason: {0}''.format(error.Stacktrace)

אם חלף הזמן הקצוב לתגובה:

שגיאה בביצוע הפעולה Execute Query (ביצוע שאילתה). הסיבה: הפעולה הגיעה לזמן קצוב לתפוגה. צריך לצמצם את מסגרת הזמן או להקטין את מספר התוצאות שיוחזרו.

אם לא נמצא מאגר אחד לפחות:

‫"Error executing action "Execute Query". סיבה: המאגרים הבאים לא נמצאו ב-Logpoint:‏ {0}. צריך לוודא שכל המאגרים זמינים.".format(comma-separated list of repos that were not found)

אם האפשרות 'בהתאמה אישית' נבחרה, אבל לא צוינה 'שעת התחלה':

‫"Error executing action "Execute Query". סיבה: צריך לציין 'שעת התחלה' אם בוחרים באפשרות 'בהתאמה אישית' לטווח הזמן.

כללי

Case Wall Table

שם הטבלה: 'תוצאות'

כל העמודות מהתגובה ישמשו כעמודות בטבלה.

כללי

ביצוע שאילתת ישות

תיאור

מריצים שאילתה ב-Logpoint על סמך הישויות. סוגי הישויות שנתמכים כרגע: משתמש, כתובת IP, כתובת אימייל, כתובת URL, גיבוב קובץ, שם מארח. הערה: כתובת אימייל היא ישות משתמש שתואמת לפורמט של כתובת אימייל.

איך עובדים עם פרמטרים של פעולות

הפעולה הזו מאפשרת לאחזר בקלות מידע שקשור לישויות. לדוגמה, אפשר לפתור את תרחיש השימוש שבו רוצים לראות את מספר היומנים של נקודות הקצה שהושפעו מהגיבוב שסופק, בלי ליצור שאילתה מסובכת.

כדי לפתור את הבעיה ב-Logpoint, צריך להכין את השאילתה הבאה: ("device_ip"="10.0.0.1" or "device_ip"="10.0.0.2") and ("hash"="7694f4a66316e53c8cdd9d9954bd611d" or "hash"="8264ee52f589f4c0191aa94f87aa1aeb") | chart count() by device_ip

כדי ליצור את אותה שאילתה באמצעות הפעולה 'הפעלת שאילתת ישות', צריך למלא את פרמטרים של הפעולה באופן הבא:

שאילתה	‫\| chart count() by device_ip
מפתח ישות IP	device_ip
מפתח ישות של גיבוב (hash) קובץ	hash
מפעיל חוצה ישויות	וגם

אפשר להשאיר את כל שאר השדות ריקים.

אם רוצים לראות כמה נקודות קצה הושפעו מהגיבובים שסופקו, ההגדרה של 'הפעלת שאילתת ישות' תיראה כך.

שאילתה	‫\| chart count() by device_ip
מפתח ישות של גיבוב (hash) קובץ	hash

האופרטור Cross Entity לא ישפיע במקרה הזה, כי הוא משפיע רק על השאילתה, כשמספקים כמה Entity Keys.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
שאילתה	String		כן	מציינים את השאילתה שצריך להריץ. פרטים נוספים מופיעים במסמכי העזרה של הפעולה.
מסגרת זמן	DDL	24 השעות האחרונות ערכים אפשריים: השעה האחרונה 12 השעות האחרונות 24 השעות האחרונות 30 הימים האחרונים ‫365 הימים האחרונים בהתאמה אישית	כן	מציינים את מסגרת הזמן של השאילתה. אם בוחרים באפשרות 'בהתאמה אישית', צריך גם לציין שעת התחלה. שעת הסיום תהיה שעת ההווה כברירת מחדל.
שעת ההתחלה	String		לא	מציינים את שעת ההתחלה של השאילתה. פורמט: YYYY-MM-DDThh:mm:ssZ או חותמת זמן.
שעת הסיום	String		לא	מציינים את שעת הסיום של השאילתה.הפורמט: YYYY-MM-DDThh:mm:ssZ או חותמת זמן. אם לא סופק ערך, הפעולה תשתמש בזמן הנוכחי כזמן הסיום.
מאגרי קוד	CSV		לא	מציינים רשימה של שמות המאגרים, שמופרדים באמצעות פסיקים. אם לא מציינים כלום, הפעולה תחפש בכל המאגרים.
מפתח ישות IP	String		לא	מציינים באיזה מפתח צריך להשתמש עם ישויות של כתובות IP. פרטים נוספים זמינים במסמכי התיעוד של הפעולה.
מפתח הישות של שם המארח	String		לא	מציינים באיזה מפתח צריך להשתמש עם ישויות של שמות מארחים, כשמכינים את ה- פרטים נוספים מופיעים במסמכי העזרה של הפעולה.
מפתח ישות של גיבוב (hash) קובץ			לא	מציינים באיזה מפתח צריך להשתמש עם ישויות של גיבוב קבצים. פרטים נוספים מופיעים במסמכי העזרה של הפעולה.
מפתח ישות המשתמש			לא	מציינים באיזה מפתח צריך להשתמש עם ישויות משתמש. פרטים נוספים מופיעים במסמכי העזרה של הפעולה.
מפתח ישות של כתובת URL			לא	מציינים באיזה מפתח צריך להשתמש עם ישויות של כתובות URL. פרטים נוספים מופיעים במסמכי העזרה של הפעולה.
מפתח הישות של כתובת האימייל			לא	מציינים באיזה מפתח להשתמש עם ישויות של כתובות אימייל. פרטים נוספים מופיעים במסמכי העזרה של הפעולה.
הפסקה אם אין מספיק ישויות	תיבת סימון	סימן אישור	כן	אם האפשרות הזו מופעלת, הפעולה לא תתחיל להתבצע אלא אם כל סוגי הישויות זמינים עבור '.. מפתחות ישות' שצוינו. לדוגמה: אם צוינו 'מפתח ישות של כתובת IP' ו'מפתח ישות של גיבוב קובץ', אבל בהיקף אין גיבובי קבצים, הפעולה לא תבצע את השאילתה אם הפרמטר הזה מופעל.
מפעיל חוצה ישויות	DDL	או ערכים אפשריים: או וגם	כן	מציינים מה צריך להיות האופרטור הלוגי שמשמש בין סוגים שונים של ישויות.
המספר המקסימלי של תוצאות להחזרה	מספר שלם	100	לא	מציינים כמה תוצאות צריך להחזיר.

ריצה

הפעולה הזו מופעלת בישויות הבאות:

כתובת IP
מארח
משתמש
גיבוב (hash)
כתובת URL

תוצאות הפעולה

תוצאת סקריפט

שם התוצאה של הסקריפט	אפשרויות ערך
is_success	is_success=False
is_success	is_success=True

תוצאת JSON

{
    "query_type": "simple",
    "rows": [
        {
            "msg": "2021-01-10 10:27:50 Benchmarker; reporting speed; service=norm_front; actual_mps=1; doable_mps=19096;",
            "log_ts": 1610274470,
            "actual_mps": "1",
            "doable_mps": "19096",
            "_type_str": "_tz device_name msg source_name col_type object norm_id service collected_at label device_ip
    _enrich_policy action _fromV550 repo_name logpoint_name",
    "device_name": "localhost",
            "_offset": 48317,
            "logpoint_name": "Logpoint",
            "action": "reporting speed",
            "repo_name": "_logpoint",
            "source_name": "/opt/immune/var/log/benchmarker/norm_front.log",
            "col_ts": 1610274470,
            "_tz": "UTC",
            "norm_id": "Logpoint",
            "_identifier": "0",
            "collected_at": "Logpoint",
            "device_ip": "127.0.0.1",
            "service": "norm_front",
            "_fromV550": "t",
            "_enrich_policy": "None",
            "_type_num": "actual_mps doable_mps col_ts sig_id log_ts _offset _identifier",
            "_type_ip": "device_ip",
            "sig_id": "10505",
            "col_type": "filesystem",
            "object": "Benchmarker",
            "_labels": [
                "Logpoint",
                "Benchmarker"
            ]
        }
    ],
    "version": 6,
    "extracted_terms": [],
    "time_range": [
        1609496280,
        1610274480
    ],
    "orig_search_id": "9acac4a0-e530-4a19-a446-e17d4d9f8aae",
    "success": true,
    "final": true,
    "totalPages": 1,
    "estim_count": 185003,
    "complete": true,
    "status": {
        "Logpoint": {
            "default": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 3,
                "final": true
            },
            "_logpoint": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 185000,
                "final": true
            },
            "LogSource1": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 0,
                "final": true
            },
            "_LogpointAlerts": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 0,
                "final": true
            }
        }
    }
}

Case Wall

סוג התוצאה	ערך / תיאור	סוג
הודעת פלט*	הפעולה לא תיכשל ולא תפסיק את ההפעלה של Playbook: אם success == true לכל הבקשות (is_success = true): "Successfully executed query and retrieved results from Logpoint". אם הערך של success הוא true לכל הבקשות, אבל לא מוצגות תוצאות (is_success=false): "לא נמצאו נתונים עבור השאילתה שצוינה". אם הערך של success הוא false לפחות בבקשה אחת (is_success = false): "הפעולה לא הצליחה להריץ את השאילתה ולאחזר תוצאות מ-Logpoint. הסיבה: {0}".format(message) הודעה אסינכרונית ‫"Waiting for query to finish processing in Logpoint." אם האפשרות 'הפסקה אם אין מספיק ישויות' מופעלת ואין מספיק סוגי ישויות זמינים עבור 'מפתחות הישות' שצוינו (is_success=false): הפעולה לא הצליחה ליצור את השאילתה, כי לא סופקו מספיק סוגי ישויות עבור 'מפתחות הישות' שצוינו. צריך להשבית את הפרמטר 'הפסקה אם אין מספיק ישויות' או לספק לפחות ישות אחת לכל 'מפתח ישות' שצוין. הפעולה תיכשל והרצת ה-playbook תיפסק: אם יש שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "Error executing action "Execute Entity Query". Reason: {0}''.format(error.Stacktrace) אם חלף הזמן הקצוב לתגובה: שגיאה בהפעלת הפעולה Execute Entity Query (הפעלת שאילתת ישות). הסיבה: הפעולה הגיעה לזמן קצוב לתפוגה. צריך לצמצם את מסגרת הזמן או להקטין את מספר התוצאות שיוחזרו. אם לא נמצא מאגר אחד לפחות: "Error executing action "Execute Entity Query". Reason: The following repos were not found in Logpoint: {0}. Please make sure that all of the repos are available.".format(רשימה מופרדת בפסיקים של מאגרים שלא נמצאו) אם לא צוינו מפתחות של Entity: שגיאה בהרצת הפעולה 'הרצת שאילתת ישות'. סיבה: צריך לציין לפחות פרמטר אחד מסוג '.. מפתח ישות'. אם האפשרות 'בהתאמה אישית' נבחרה, אבל לא צוינה 'שעת התחלה': "שגיאה בהפעלת הפעולה 'הפעלת שאילתת ישות'. סיבה: צריך לספק 'שעת התחלה' אם נבחרה האפשרות 'בהתאמה אישית' לטווח הזמן".	כללי
טבלה של Case Wall	שם הטבלה: 'תוצאות' כל העמודות מהתשובה ישמשו כעמודות בטבלה.	כללי

סוג התוצאה

ערך / תיאור

סוג

הודעת פלט*

אם הערך של success הוא true לכל הבקשות, אבל לא מוצגות תוצאות (is_success=false): "לא נמצאו נתונים עבור השאילתה שצוינה".

הודעה אסינכרונית

‫"Waiting for query to finish processing in Logpoint."

אם האפשרות 'הפסקה אם אין מספיק ישויות' מופעלת ואין מספיק סוגי ישויות זמינים עבור 'מפתחות הישות' שצוינו (is_success=false): הפעולה לא הצליחה ליצור את השאילתה, כי לא סופקו מספיק סוגי ישויות עבור 'מפתחות הישות' שצוינו. צריך להשבית את הפרמטר 'הפסקה אם אין מספיק ישויות' או לספק לפחות ישות אחת לכל 'מפתח ישות' שצוין.

הפעולה תיכשל והרצת ה-playbook תיפסק:
אם יש שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "Error executing action "Execute Entity Query". Reason: {0}''.format(error.Stacktrace)

אם חלף הזמן הקצוב לתגובה:

שגיאה בהפעלת הפעולה Execute Entity Query (הפעלת שאילתת ישות). הסיבה: הפעולה הגיעה לזמן קצוב לתפוגה. צריך לצמצם את מסגרת הזמן או להקטין את מספר התוצאות שיוחזרו.

אם לא נמצא מאגר אחד לפחות:
"Error executing action "Execute Entity Query". Reason: The following repos were not found in Logpoint: {0}. Please make sure that all of the repos are available.".format(רשימה מופרדת בפסיקים של מאגרים שלא נמצאו)

אם לא צוינו מפתחות של Entity:

שגיאה בהרצת הפעולה 'הרצת שאילתת ישות'. סיבה: צריך לציין לפחות פרמטר אחד מסוג '.. מפתח ישות'.

אם האפשרות 'בהתאמה אישית' נבחרה, אבל לא צוינה 'שעת התחלה':

"שגיאה בהפעלת הפעולה 'הפעלת שאילתת ישות'. סיבה: צריך לספק 'שעת התחלה' אם נבחרה האפשרות 'בהתאמה אישית' לטווח הזמן".

כללי

טבלה של Case Wall

שם הטבלה: 'תוצאות'

כל העמודות מהתשובה ישמשו כעמודות בטבלה.

כללי

הצגת רשימה של מאגרי קוד

תיאור

רשימת המאגרים הזמינים ב-Logpoint.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
מספר המאגרים המקסימלי להחזרה	מספר שלם	100	לא	מציינים כמה דוחות צריך להחזיר.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט

שם התוצאה של הסקריפט	אפשרויות ערך
is_success	is_success=False
is_success	is_success=True

תוצאת JSON

{
    "success": true,
    "allowed_repos": [
        {
            "repo": "default",
            "address": "127.0.0.1:5504/default"
        },
        {
            "repo": "_logpoint",
            "address": "127.0.0.1:5504/_logpoint"
        },
        {
            "repo": "_LogpointAlerts",
            "address": "127.0.0.1:5504/_LogpointAlerts"
        },
        {
            "repo": "LogSource1",
            "address": "127.0.0.1:5504/LogSource1"
        }
    ],
    "logpoint": [
        {
            "name": "Logpoint",
            "ip": "127.0.0.1"
        }
    ]
}

Case Wall

סוג התוצאה	ערך / תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההרצה של Playbook: if success == true (is_success = true): "Successfully retrieve available repos query from Logpoint". הפעולה צריכה להיכשל ולהפסיק את ההרצה של Playbook: אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: 'שגיאה בהרצת הפעולה List Repos'. הסיבה: {0}''.format(error.Stacktrace)	כללי
Case Wall Table	שם הטבלה: Available Repos שם – allowed_repos/repo כתובת – allowed_repos/address	כללי

סוג התוצאה

ערך / תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של Playbook:
if success == true (is_success = true): "Successfully retrieve available repos query from Logpoint".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של Playbook:
אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: 'שגיאה בהרצת הפעולה List Repos'. הסיבה: {0}''.format(error.Stacktrace)

כללי

Case Wall Table

שם הטבלה: Available Repos

שם – allowed_repos/repo

כתובת – allowed_repos/address

כללי

עדכון סטטוס האירוע

תיאור

עדכון סטטוס האירוע ב-Logpoint.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
מזהה אירוע	String	לא רלוונטי	כן	מציינים את מזהה האירוע שרוצים לעדכן.
פעולה	DLL	סגירה ערכים אפשריים: לפתרון הבעיה סגירה	כן	מציינים את הפעולה שצריך לבצע לגבי האירוע.

השם המוצג של הפרמטר

סוג

ערך ברירת המחדל

חובה

תיאור

מזהה אירוע

String

לא רלוונטי

כן

מציינים את מזהה האירוע שרוצים לעדכן.

פעולה

DLL

סגירה

ערכים אפשריים:

לפתרון הבעיה

סגירה

כן

מציינים את הפעולה שצריך לבצע לגבי האירוע.

ריצה

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט

שם התוצאה של הסקריפט	אפשרויות ערך
is_success	is_success=False
is_success	is_success=True

Case Wall

סוג התוצאה	ערך / תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של פלייבוק: if success== true (is_success = true): "Successfully {0} incident with ID {1} in Logpoint.".format(resolved/closed, incident_id) if success== false(is_success = true): "Action wasn't able to {0} incident with ID {1} in Logpoint.".format(resolve/close, incident_id) הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה: אם מדובר בשגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'עדכון סטטוס האירוע'". הסיבה: {0}''.format(error.Stacktrace)	כללי

סוג התוצאה

ערך / תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של פלייבוק:
if success== true (is_success = true): "Successfully {0} incident with ID {1} in Logpoint.".format(resolved/closed, incident_id)

if success== false(is_success = true): "Action wasn't able to {0} incident with ID {1} in Logpoint.".format(resolve/close, incident_id)

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדובר בשגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת, או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'עדכון סטטוס האירוע'". הסיבה: {0}''.format(error.Stacktrace)

כללי

מחבר

Logpoint - Incidents Connector

תיאור

שליפת אירועים מ-Logpoint.

הגדרת Logpoint - Incidents Connector ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר בנושא הגדרת המחבר.

פרמטרים של מחברים

משתמשים בפרמטרים הבאים כדי להגדיר את המחבר:

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
שם שדה המוצר	String	שם המוצר	כן	מזינים את שם שדה המקור כדי לאחזר את שם שדה המוצר.
שם השדה של האירוע	String	סוג	כן	מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה בסביבה	String	""	לא	מתאר את שם השדה שבו מאוחסן שם הסביבה. אם לא נמצא שדה סביבה, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי (regex) של סביבה	String	.*	לא	תבנית regex להפעלה על הערך שנמצא בשדה 'שם שדה הסביבה'. ברירת המחדל היא ‎ .* ‎ כדי לתפוס את כל הערכים ולהחזיר אותם ללא שינוי. משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטוי רגולרי. אם תבנית הביטוי הרגולרי היא null או ריקה, או שערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
זמן קצוב לסקריפט (בשניות)	מספר שלם	180	כן	מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
כתובת IP	String	https://x.x.x.x	כן	כתובת ה-IP של מכונת Logpoint.
שם משתמש	String	לא רלוונטי	כן	שם המשתמש בחשבון Logpoint.
סוד	סיסמה	לא רלוונטי	כן	הסוד של חשבון Logpoint.
מספר השעות המקסימלי אחורה	מספר שלם	1	לא	מספר השעות שממנו יאוחזרו האירועים.
הסיכון הנמוך ביותר לאחזור	String	לא רלוונטי	לא	הסיכון הכי נמוך לאירועים שאותם רוצים לאחזר. ערכים אפשריים: קריטית, גבוהה, בינונית, נמוכה.
מספר מקסימלי של אירועים לאחזור	מספר שלם	10	לא	כמה אירועים לעבד בכל איטרציה של מחבר.
שימוש ברשימת ההיתרים כרשימה שחורה	תיבת סימון	התיבה לא מסומנת	כן	אם האפשרות הזו מופעלת, רשימת ההיתרים תשמש כרשימת חסימות.
אימות SSL	תיבת סימון	התיבה לא מסומנת	כן	אם ההגדרה מופעלת, המערכת בודקת שאישור ה-SSL של החיבור לשרת Logpoint תקף.
קובץ אישור CA	String	לא רלוונטי	לא	קובץ אישור CA בקידוד Base64.
כתובת שרת ה-Proxy	String	לא רלוונטי	לא	הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם משתמש של שרת proxy	String	לא רלוונטי	לא	שם המשתמש ב-proxy לאימות.
סיסמת שרת Proxy	סיסמה	לא רלוונטי	לא	סיסמת ה-proxy לאימות.
מסנן משתמשים	CSV	לא רלוונטי	לא	רשימה מופרדת בפסיקים של שמות משתמשים שמשמשים לסינון אירועים. רק אירועים שנוצרו על ידי משתמשים תקפים נקלטים. אם לא מספקים כלום, המסנן הזה לא מוחל והמחבר קולט אירועים מכל המשתמשים.

כללים של מחברים

תמיכה בשרת proxy

המחבר תומך בשרת proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.