記錄點

本文說明如何將 Logpoint 與 Google SecOps 整合。

應用實例

執行主動動作：執行查詢，取得實體的更多資訊。

在 Google Security Operations 中設定 Logpoint 整合

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」一文。

整合參數

請使用下列參數設定整合：

參數顯示名稱 類型 預設值 為必填項目 說明
IP 位址 字串 https://x.x.x.x 是 Logpoint 執行個體的 IP 位址。
使用者名稱 字串 不適用 是 Logpoint 帳戶的使用者名稱。
Secret 密碼 不適用 是 Logpoint 帳戶的 Secret API 金鑰
CA 憑證檔案 字串 不適用 否 Base64 編碼的 CA 憑證檔案。
驗證 SSL 核取方塊 已勾選 是 如果已啟用，請確認連至 Logpoint 伺服器的 SSL 憑證有效。

動作

乒乓

說明

在 Google SecOps Content Hub 的整合設定頁面，使用提供的參數測試與 Logpoint 的連線能力。

參數

不適用

執行日期

這項動作不會對實體執行，也沒有必要輸入參數。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

這項動作不應失敗，也不應停止執行工作手冊：
如果成功：「已使用提供的連線參數成功連線至 Logpoint 伺服器！」

動作應失敗並停止執行應對手冊：
如果失敗：「無法連線至 Logpoint 伺服器！錯誤為 {0}".format(exception.stacktrace)

 一般

執行查詢

說明

在 Logpoint 執行搜尋查詢。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
查詢 字串 不適用 是 指定要在 Logpoint 執行的查詢。
時間範圍 DDL

最近 24 小時

可能的值：
過去 1 小時

過去 12 小時

最近 24 小時

過去 30 天

過去 365 天

自訂

 是 指定查詢的時間範圍。如果選取「自訂」，則必須提供開始時間和結束時間。
開始時間 字串 不適用 否

指定查詢的開始時間。格式：

YYYY-MM-DDThh:mm:ssZ 或時間戳記。
結束時間 字串 不適用 否

指定查詢的結束時間。格式：

YYYY-MM-DDThh:mm:ssZ 或時間戳記。如未提供，動作會將目前時間設為結束時間。
存放區 CSV 不適用 否 請指定以半形逗號分隔的存放區名稱清單。如未提供，動作會在所有存放區中搜尋。
要傳回的結果數量上限 整數 100 否 指定應傳回的結果數量。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "query_type": "simple",
    "rows": [
        {
            "msg": "2021-01-10 10:27:50 Benchmarker; reporting speed; service=norm_front; actual_mps=1; doable_mps=19096;",
            "log_ts": 1610274470,
            "actual_mps": "1",
            "doable_mps": "19096",
            "_type_str": "_tz device_name msg source_name col_type object norm_id service collected_at label device_ip
    _enrich_policy action _fromV550 repo_name logpoint_name",
    "device_name": "localhost",
            "_offset": 48317,
            "logpoint_name": "Logpoint",
            "action": "reporting speed",
            "repo_name": "_logpoint",
            "source_name": "/opt/immune/var/log/benchmarker/norm_front.log",
            "col_ts": 1610274470,
            "_tz": "UTC",
            "norm_id": "Logpoint",
            "_identifier": "0",
            "collected_at": "Logpoint",
            "device_ip": "127.0.0.1",
            "service": "norm_front",
            "_fromV550": "t",
            "_enrich_policy": "None",
            "_type_num": "actual_mps doable_mps col_ts sig_id log_ts _offset _identifier",
            "_type_ip": "device_ip",
            "sig_id": "10505",
            "col_type": "filesystem",
            "object": "Benchmarker",
            "_labels": [
                "Logpoint",
                "Benchmarker"
            ]
        }
    ],
    "version": 6,
    "extracted_terms": [],
    "time_range": [
        1609496280,
        1610274480
    ],
    "orig_search_id": "9acac4a0-e530-4a19-a446-e17d4d9f8aae",
    "success": true,
    "final": true,
    "totalPages": 1,
    "estim_count": 185003,
    "complete": true,
    "status": {
        "Logpoint": {
            "default": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 3,
                "final": true
            },
            "_logpoint": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 185000,
                "final": true
            },
            "LogSource1": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 0,
                "final": true
            },
            "_LogpointAlerts": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 0,
                "final": true
            }
        }
    }
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行自動化動作：
如果所有要求的 success == true (is_success = true)：「已成功執行查詢並從 Logpoint 擷取結果」。

如果所有要求的 success == true，但沒有結果 (is_success=false)：「找不到符合指定查詢的資料。」

如果至少有一項要求的 success == false (is_success = false)：「動作無法成功執行查詢，並從 Logpoint 擷取結果。Reason: {0}".format(message)

非同步訊息

「Waiting for query to finish processing in Logpoint.」

動作應失敗並停止執行自動化動作：
如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『執行查詢』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)

如果逾時：

執行「執行查詢」動作時發生錯誤。原因：動作逾時。請縮短時間範圍，或減少要傳回的結果數量。

如果找不到至少一個存放區：

「執行『執行查詢』動作時發生錯誤。原因：在 Logpoint 中找不到下列存放區：{0}。請確認所有存放區都可使用。」.format(comma-separated list of repos that were not found)

如果選取「自訂」，但未提供「開始時間」：

「執行『執行查詢』動作時發生錯誤。原因：如果時間範圍選取「自訂」，則必須提供「開始時間」。

 一般
案件總覽表格

資料表名稱：「Results」

回應中的所有資料欄都會做為資料表欄。

 一般

執行實體查詢

說明

根據實體在 Logpoint 執行查詢。目前支援的實體類型：使用者、IP、電子郵件地址、網址、檔案雜湊、主機名稱。注意：電子郵件地址是符合電子郵件地址格式的使用者實體。

如何使用動作參數

這項動作可讓您輕鬆擷取與實體相關的資訊。舉例來說，您可以解決以下用途：您想查看受所提供雜湊影響的端點記錄數量，但不想建立任何複雜的查詢。

如要在 Logpoint 中解決這個問題，您需要準備下列查詢：("device_ip"="10.0.0.1" or "device_ip"="10.0.0.2") and ("hash"="7694f4a66316e53c8cdd9d9954bd611d" or "hash"="8264ee52f589f4c0191aa94f87aa1aeb") | chart count() by device_ip

如要使用「執行實體查詢」動作建立相同的查詢，請按照下列方式填寫動作參數：

查詢 | chart count() by device_ip
IP 實體金鑰 device_ip
檔案雜湊實體金鑰 hash
跨實體運算子 且

其他欄位則可留空。

如果用途是查看有多少端點受到提供的雜湊影響，則「Execute Entity Query」的設定會如下所示。

查詢 | chart count() by device_ip
檔案雜湊實體金鑰 hash

在這種情況下，「跨實體運算子」不會產生影響，因為只有在提供多個「實體索引鍵」時，該運算子才會影響查詢。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
查詢 字串 是 指定要執行的查詢。詳情請參閱動作說明文件。
時間範圍 DDL

最近 24 小時

可能的值：
過去 1 小時

過去 12 小時

最近 24 小時

過去 30 天

過去 365 天

自訂

 是 指定查詢的時間範圍。如果選取「自訂」，則必須提供開始時間，結束時間則預設為目前時間。
開始時間 字串 否

指定查詢的開始時間。格式：

YYYY-MM-DDThh:mm:ssZ 或時間戳記。
結束時間 字串 否

指定查詢的結束時間。格式：

YYYY-MM-DDThh:mm:ssZ 或時間戳記。如未提供，動作會將目前時間設為結束時間。
存放區 CSV 否 請指定以半形逗號分隔的存放區名稱清單。如未提供，動作會在所有存放區中搜尋。
IP 實體金鑰 字串 否 指定要與 IP 實體搭配使用的金鑰。詳情請參閱動作說明文件。
主機名稱實體金鑰 字串 否 準備 時，請指定要與主機名稱實體搭配使用的金鑰。詳情請參閱動作說明文件。
檔案雜湊實體金鑰 否 指定要與檔案雜湊實體搭配使用的金鑰。詳情請參閱動作說明文件。
使用者實體金鑰 否 指定要與 User 實體搭配使用的索引鍵。詳情請參閱動作說明文件。
網址實體金鑰 否 指定要與網址實體搭配使用的鍵。詳情請參閱動作說明文件。
電子郵件地址實體索引鍵 否 指定要與電子郵件地址實體搭配使用的索引鍵。詳情請參閱動作說明文件。
實體數量不足時停止 核取方塊 已勾選 是 如果啟用，除非所有實體類型都可用於指定的「.. Entity Keys」，否則動作不會開始執行。舉例來說，如果指定了「IP 實體索引鍵」和「檔案雜湊實體索引鍵」，但範圍內沒有檔案雜湊，則啟用這項參數後，動作就不會執行查詢。
跨實體運算子 DDL

或

可能的值：

或

且

 是 指定不同實體類型之間應使用的邏輯運算子。
要傳回的結果數量上限 整數 100 否 指定應傳回的結果數量。

執行日期

這項動作會對下列實體執行：

  • IP 位址
  • 主機
  • 使用者
  • 雜湊
  • 網址

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "query_type": "simple",
    "rows": [
        {
            "msg": "2021-01-10 10:27:50 Benchmarker; reporting speed; service=norm_front; actual_mps=1; doable_mps=19096;",
            "log_ts": 1610274470,
            "actual_mps": "1",
            "doable_mps": "19096",
            "_type_str": "_tz device_name msg source_name col_type object norm_id service collected_at label device_ip
    _enrich_policy action _fromV550 repo_name logpoint_name",
    "device_name": "localhost",
            "_offset": 48317,
            "logpoint_name": "Logpoint",
            "action": "reporting speed",
            "repo_name": "_logpoint",
            "source_name": "/opt/immune/var/log/benchmarker/norm_front.log",
            "col_ts": 1610274470,
            "_tz": "UTC",
            "norm_id": "Logpoint",
            "_identifier": "0",
            "collected_at": "Logpoint",
            "device_ip": "127.0.0.1",
            "service": "norm_front",
            "_fromV550": "t",
            "_enrich_policy": "None",
            "_type_num": "actual_mps doable_mps col_ts sig_id log_ts _offset _identifier",
            "_type_ip": "device_ip",
            "sig_id": "10505",
            "col_type": "filesystem",
            "object": "Benchmarker",
            "_labels": [
                "Logpoint",
                "Benchmarker"
            ]
        }
    ],
    "version": 6,
    "extracted_terms": [],
    "time_range": [
        1609496280,
        1610274480
    ],
    "orig_search_id": "9acac4a0-e530-4a19-a446-e17d4d9f8aae",
    "success": true,
    "final": true,
    "totalPages": 1,
    "estim_count": 185003,
    "complete": true,
    "status": {
        "Logpoint": {
            "default": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 3,
                "final": true
            },
            "_logpoint": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 185000,
                "final": true
            },
            "LogSource1": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 0,
                "final": true
            },
            "_LogpointAlerts": {
                "@class": "com.logpoint.libcommon.merger.api.SimpleStatus",
                "estim_count": 0,
                "final": true
            }
        }
    }
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行自動化動作：
如果所有要求的 success == true (is_success = true)：「已成功執行查詢並從 Logpoint 擷取結果」。

如果所有要求的 success == true，但沒有結果 (is_success=false)：「找不到符合指定查詢的資料。」

如果至少有一項要求的 success == false (is_success = false)：「動作無法成功執行查詢，並從 Logpoint 擷取結果。Reason: {0}".format(message)

非同步訊息

「Waiting for query to finish processing in Logpoint.」

如果啟用「Stop If Not Enough Entities」，且提供的「Entity Keys」沒有足夠的實體類型 (is_success=false)：動作無法建構查詢，因為指定的「.. Entity Keys」沒有足夠的實體類型。請停用「Stop If Not Enough Entities」參數，或為每個指定的「.. Entity Key」提供至少一個實體。

動作應失敗並停止執行自動化動作：
如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『執行實體查詢』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)

如果逾時：

執行「執行實體查詢」動作時發生錯誤。原因：動作逾時。請縮短時間範圍，或減少要傳回的結果數量。

如果找不到至少一個存放區：
「Error executing action "Execute Entity Query". 原因：在 Logpoint 中找不到下列存放區：{0}。Please make sure that all of the repos are available.".format(comma-separated list of repos that were not found)

如未指定「實體」鍵：

執行「執行實體查詢」動作時發生錯誤。原因：請至少指定一個「.. Entity Key」參數。

如果選取「自訂」，但未提供「開始時間」：

「執行動作『執行實體查詢』時發生錯誤。原因：如果時間範圍選取「自訂」，則必須提供「開始時間」。

 一般

案件總覽表格

資料表名稱：「Results」

回應中的所有資料欄都會做為表格資料欄。

 一般

列出存放區

說明

列出 Logpoint 中的可用存放區。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
要傳回的存放區數量上限 整數 100 否 指定要傳回的報表數量。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
JSON 結果
{
    "success": true,
    "allowed_repos": [
        {
            "repo": "default",
            "address": "127.0.0.1:5504/default"
        },
        {
            "repo": "_logpoint",
            "address": "127.0.0.1:5504/_logpoint"
        },
        {
            "repo": "_LogpointAlerts",
            "address": "127.0.0.1:5504/_LogpointAlerts"
        },
        {
            "repo": "LogSource1",
            "address": "127.0.0.1:5504/LogSource1"
        }
    ],
    "logpoint": [
        {
            "name": "Logpoint",
            "ip": "127.0.0.1"
        }
    ]
}
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：
if success == true (is_success = true): "Successfully retrieve available repos query from Logpoint".

動作應失敗並停止執行自動化教戰手冊：
如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『列出存放區』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般
案件總覽表格

資料表名稱：「Available Repos」

名稱：allowed_repos/repo

Address - allowed_repos/address

 一般

更新事件狀態

說明

在 Logpoint 中更新事件狀態。

參數

參數顯示名稱 類型 預設值 為必填項目 說明
事件 ID 字串 不適用 是 指定要更新的事件 ID。
動作 DLL

關閉

可能的值：

解決

關閉

 是 指定事件的動作。

執行日期

這項動作不會對實體執行。

動作執行結果

指令碼執行結果
指令碼執行結果名稱 值選項
is_success is_success=False
is_success is_success=True
案件總覽
結果類型 值 / 說明 類型
輸出訊息*

動作不應失敗，也不應停止執行應對手冊：
if success== true (is_success = true): "Successfully {0} incident with ID {1} in Logpoint.".format(resolved/closed, incident_id)

if success== false(is_success = true): "Action wasn't able to {0} incident with ID {1} in Logpoint.".format(resolve/close, incident_id)

動作應失敗並停止執行應對手冊：

如果發生嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『更新事件狀態』動作時發生錯誤。原因：{0}''.format(error.Stacktrace)

 一般

連接器

Logpoint - 事件連接器

說明

從 Logpoint 提取事件。

在 Google SecOps 中設定 Logpoint - Incidents 連接器

如要瞭解如何在 Google SecOps 中設定連接器，請參閱「設定連接器」一文。

連接器參數

使用下列參數設定連接器：

參數顯示名稱 類型 預設值 為必填項目 說明
產品欄位名稱 字串 產品名稱 是 輸入來源欄位名稱，擷取產品欄位名稱。
事件欄位名稱 字串 類型 是 輸入來源欄位名稱，擷取事件欄位名稱。
環境欄位名稱 字串 "" 否

說明儲存環境名稱的欄位名稱。

如果找不到環境欄位，則環境為預設環境。
環境規則運算式模式 字串 .* 否

要對「環境欄位名稱」欄位中的值執行的規則運算式模式。

預設值為 .*，可擷取所有值並傳回未變更的值。

用於允許使用者透過規則運算式邏輯操控環境欄位。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
指令碼逾時 (秒) 整數 180 是 執行目前指令碼的 Python 程序逾時限制。
IP 位址 字串 https://x.x.x.x 是 Logpoint 執行個體的 IP 位址。
使用者名稱 字串 不適用 是 Logpoint 帳戶的使用者名稱。
Secret 密碼 不適用 是 Logpoint 帳戶的密鑰。
往回查看時數上限 整數 1 否 擷取事件的時間範圍 (以小時為單位)。
擷取風險最低 字串 不適用 否

要擷取的事件最低風險。可能的值包括：

重大、高、中、低。
要擷取的事件數量上限 整數 10 否 每個連接器疊代要處理的事件數量。
將許可清單當做黑名單使用 核取方塊 已取消勾選 是 如果啟用，許可清單會當做黑名單使用。
驗證 SSL 核取方塊 已取消勾選 是 如果啟用，系統會驗證 Logpoint 伺服器連線的 SSL 憑證是否有效。
CA 憑證檔案 字串 不適用 否 Base64 編碼的 CA 憑證檔案。
Proxy 伺服器位址 字串 不適用 否 要使用的 Proxy 伺服器位址。
Proxy 使用者名稱 字串 不適用 否 用於驗證的 Proxy 使用者名稱。
Proxy 密碼 密碼 不適用 否 用於驗證的 Proxy 密碼。
使用者篩選器 CSV 不適用 否 以半形逗號分隔的使用者名稱清單，用於篩選事件。系統只會擷取有效使用者建立的事件。如果未提供任何值，則不會套用這項篩選器，連接器會擷取所有使用者的事件。

連接器規則

Proxy 支援

連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。