LogRhythm

במסמך הזה מוסבר איך לשלב את LogRhythm עם Google SecOps.

החל מגרסה 10 של השילוב הזה, לא יהיה יותר מחבר של Alarms. המחבר הזה הוצא משימוש, כי SOAP API הוצא משימוש בצד LogRhythm. מעכשיו, השילוב כולו משתמש ב-API בארכיטקטורת REST, שהושק בגרסה LogRhythm 7.9.

מידע נוסף זמין במאמר SOAP API (LogRhythm 7.x.x).

בנוסף, השילוב מתעדכן לגרסה 3 של Python, ולכן אי אפשר להשתמש במחבר הזה (מגרסה 9) עם הגרסה החדשה יותר של השילוב (גרסה 10), וזה גורם להתנהגויות לא צפויות.

פועלים לפי התהליך המומלץ לעדכון הזה:

  1. לפני שמעדכנים את השילוב לגרסה 10, צריך להעביר כל 'LogRhythm Alarms Connector' אל 'LogRhythm - Rest API Alarms Connector' באמצעות גרסה 9 של השילוב.

  2. מעדכנים את השילוב לגרסה 10.

הגדרת שילוב של LogRhythm ב-Google Security Operations

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
ספריית הבסיס של ה-API String https://{IP}:8501 כן הבסיס של ה-API במופע LogRhythm.
טוקן API סיסמה לא רלוונטי לא טוקן ה-API של מופע LogRhythm.
קובץ אישור CA String לא רלוונטי לא קובץ אישור CA בקידוד Base64.
אימות SSL תיבת סימון התיבה לא מסומנת כן אם האפשרות הזו מופעלת, צריך לוודא שאישור ה-SSL לחיבור לשרת LogRhythm תקף.

פעולות

פינג

תיאור

בודקים את הקישוריות ל-LogRhythm באמצעות הפרמטרים שמופיעים בדף ההגדרות של השילוב בכרטיסייה Google Security Operations Marketplace.

פרמטרים

לא רלוונטי

תרחישים לדוגמה

לא רלוונטי

ריצה

הפעולה הזו לא מופעלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
N/A
העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הצליחה: "החיבור לשרת LogRhythm בוצע בהצלחה עם פרמטרי החיבור שסופקו!"

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם התגובה נכשלה: "החיבור לשרת LogRhythm נכשל! השגיאה היא {0}".format(exception.stacktrace)

 כללי

העשרת ישויות

תיאור

העשרת ישויות באמצעות מידע מ-LogRhythm. הישויות הנתמכות: שם מארח, כתובת IP.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
יצירת תובנה תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, הפעולה יוצרת תובנה שמכילה את כל המידע שאוחזר לגבי הישות.

הפעלה ב-

הפעולה הזו מופעלת בישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
{
    "id": 2,
    "entity": {
        "id": 2,
        "name": "EchoTestEntity"
    },
    "name": "EchoTestHost",
    "shortDesc": "LogRhythm ECHO",
    "riskLevel": "None",
    "threatLevel": "None",
    "threatLevelComments": "",
    "recordStatusName": "Active",
    "hostZone": "Internal",
    "location": {
        "id": -1
    },
    "os": "Windows",
    "osVersion": "Microsoft Windows NT 6.2.9200.0",
    "useEventlogCredentials": false,
    "osType": "Server",
    "dateUpdated": "2021-04-14T09:18:17.677Z",
    "hostRoles": [],
    "hostIdentifiers": [
        {
            "type": "IPAddress",
            "value": "10.1.2.50",
            "dateAssigned": "2021-04-14T09:17:31Z"
        },
        {
            "type": "WindowsName",
            "value": "EchoTestHost",
            "dateAssigned": "2021-04-14T09:17:31Z"
        }
    ]
}
העשרה של ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
description כשהנתונים זמינים בפורמט JSON
risk_level כשהנתונים זמינים בפורמט JSON
threat_level כשהנתונים זמינים בפורמט JSON
סטטוס כשהנתונים זמינים בפורמט JSON
host_zone כשהנתונים זמינים בפורמט JSON
os כשהנתונים זמינים בפורמט JSON
סוג כשהנתונים זמינים בפורמט JSON
ips כשהנתונים זמינים בפורמט JSON
תובנות

לא רלוונטי

Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הנתונים זמינים עבור ישות אחת (is_success=true): "Successfully enriched the following entities using information from LogRhythm: {entity.identifier}".

אם הנתונים לא זמינים עבור ישות אחת (is_success=true): "לא הייתה אפשרות להעשיר את הישויות הבאות באמצעות מידע מ-LogRhythm: {entity.identifier}".

אם הנתונים לא זמינים לכל הישויות (is_success=false): "אף אחת מהישויות שסופקו לא עברה העשרה".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'הוספת פרטים לישויות'. הסיבה: {0}''.format(error.Stacktrace)

 כללי
Case Wall Table כותרת הטבלה: {entity.identifier} ישות

עדכון ההתראה

תיאור

עדכון התראה ב-LogRhythm.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה ההתראה String לא רלוונטי כן מציינים את המזהה של ההתראה שצריך לעדכן ב-LogRhythm.
סטטוס DDL

יש לבחור טווח

ערכים אפשריים:

  • יש לבחור טווח
  • חדש
  • פתיחה
  • בפעולה…
  • הועברה לטיפול ברמה גבוהה יותר
  • סגור
  • False Alarm
  • הסתיים
  • לא פתורות
  • דווח
  • מעקב
 לא מציינים את הסטטוס של ההתראה.
דירוג סיכונים מספר שלם לא רלוונטי לא

מציינים ציון סיכון חדש להתראה.

מקסימום: 100

הפעלה ב-

הפעולה הזו מופעלת בישויות הבאות:

  • כתובת URL
  • כתובת IP

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
N/A
העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם מדווח קוד הסטטוס 200 (is_success=true): "ההתראה עם המזהה {ID} עודכנה בהצלחה ב-LogRhythm".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "Error executing action "Update Alarm". Reason: {0}''.format(error.Stacktrace)

אם קוד הסטטוס הוא לא 200: "Error executing action "Update Alarm". Reason: {0}''.format(responseMessage)"

אם הפרמטר 'סטטוס' מוגדר לערך 'בחירת ערך' ולא מסופק אף אחד מהערכים האחרים: 'שגיאה בהפעלת הפעולה 'עדכון התראה'. הסיבה: צריך לספק ערך לפחות לאחד מפרמטרי הפעולה'.

 כללי

קבלת פרטי התראה

תיאור

קבלת פרטי התראות ב-LogRhythm. הפעולה הזו מאפשרת לקבל פרטים מאירועים של LogRhythm Advanced Intelligence Engine (AIE) ולהעביר את הנתונים האלה ל-Google SecOps.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהי התראות CSV לא רלוונטי כן מציינים רשימה מופרדת בפסיקים של מזהי התראות, שצריך לאחזר לגביהם פרטים.
מספר מקסימלי של אירועים לאחזור מספר שלם 50 לא מציינים את מספר האירועים שיוחזרו.

הפעלה ב-

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
[
  {
    "alarmRuleID": 98,
    "alarmId": 18755,
    "personId": -100,
    "alarmDate": "2021-08-17T13:36:39.78",
    "alarmStatus": 0,
    "alarmStatusName": "New",
    "entityId": 2,
    "entityName": "EchoTestEntity",
    "alarmRuleName": "LogRhythm Agent Heartbeat Missed",
    "lastUpdatedID": -100,
    "lastUpdatedName": "LogRhythm Administrator",
    "dateInserted": "2021-08-17T13:36:39.807",
    "dateUpdated": "2021-08-17T13:36:39.86",
    "associatedCases": [],
    "lastPersonID": null,
    "eventCount": 1,
    "eventDateFirst": "2021-08-17T13:36:37.057",
    "eventDateLast": "2021-08-17T13:36:37.057",
    "rbpMax": 39,
    "rbpAvg": 39,
    "smartResponseActions": null,
    "alarmDataCached": "N",
    "alarmEventsDetails": [
      {
        "account": "admin5",
        "action": "",
        "amount": null,
        "bytesIn": null,
        "bytesOut": null,
        "classificationId": 2600,
        "classificationName": "Compromise",
        "classificationTypeName": "Security",
        "command": "",
        "commonEventId": 1031412,
        "cve": "",
        "commonEventName": "AIE: CSC: Disabled Account Auth Success",
        "count": 1,
        "directionId": 0,
        "directionName": "Unknown",
        "domain": "",
        "duration": 0,
        "entityId": -1000001,
        "entityName": "",
        "group": "",
        "impactedEntityId": -100,
        "impactedEntityName": "Global Entity",
        "impactedHostId": -1,
        "impactedHostName": "",
        "impactedInterface": "",
        "impactedIP": null,
        "impactedLocation": {
          "countryCode": "",
          "name": "",
          "latitude": 0,
          "locationId": 0,
          "locationKey": "",
          "longitude": 0,
          "parentLocationId": 0,
          "recordStatus": "Deleted",
          "regionCode": "",
          "type": "NULL",
          "dateUpdated": "0001-01-01T00:00:00"
        },
        "impactedMAC": "",
        "impactedName": "",
        "impactedNATIP": "",
        "impactedNATPort": null,
        "impactedNetwork": {
          "beginIPRange": {
            "value": ""
          },
          "dateUpdated": "0001-01-01T00:00:00",
          "riskThreshold": "",
          "endIPRange": {
            "value": ""
          },
          "entityId": 0,
          "hostZone": "Unknown",
          "locationId": 0,
          "longDesc": "",
          "name": "",
          "networkId": 0,
          "recordStatus": "Deleted",
          "shortDesc": ""
        },
        "impactedPort": -1,
        "impactedZone": "Unknown",
        "itemsPacketsIn": 0,
        "itemsPacketsOut": 0,
        "logDate": "2021-08-16T09:51:16.993",
        "login": "admin5",
        "logMessage": "",
        "logSourceHostId": -1000001,
        "logSourceHostName": "AI Engine Server",
        "logSourceName": "AI Engine",
        "logSourceTypeName": "LogRhythm AI Engine",
        "messageId": 173885,
        "mpeRuleId": -1,
        "mpeRuleName": "",
        "normalDateMax": "0001-01-01T00:00:00",
        "objectName": "",
        "objectType": "",
        "originEntityId": -100,
        "originEntityName": "Global Entity",
        "originHostId": -1,
        "originHostName": "",
        "originInterface": "",
        "originIP": null,
        "originLocation": {
          "countryCode": "",
          "name": "",
          "latitude": 0,
          "locationId": 0,
          "locationKey": "",
          "longitude": 0,
          "parentLocationId": 0,
          "recordStatus": "Deleted",
          "regionCode": "",
          "type": "NULL",
          "dateUpdated": "0001-01-01T00:00:00"
        },
        "originMAC": "",
        "originName": "",
        "originNATIP": "",
        "originNATPort": null,
        "originNetwork": {
          "beginIPRange": {
            "value": ""
          },
          "dateUpdated": "0001-01-01T00:00:00",
          "riskThreshold": "",
          "endIPRange": {
            "value": ""
          },
          "entityId": 0,
          "hostZone": "Unknown",
          "locationId": 0,
          "longDesc": "",
          "name": "",
          "networkId": 0,
          "recordStatus": "Deleted",
          "shortDesc": ""
        },
        "originPort": -1,
        "originZone": "Unknown",
        "parentProcessId": "",
        "parentProcessName": "",
        "parentProcessPath": "",
        "policy": "",
        "priority": 91,
        "process": "",
        "processId": -1,
        "protocolId": -1,
        "protocolName": "",
        "quantity": 0,
        "rate": 0,
        "reason": "",
        "recipient": "",
        "result": "",
        "responseCode": "",
        "sender": "",
        "session": "",
        "recipientIdentityId": null,
        "recipientIdentityName": ""
      }
    ]
  }
]
העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם קוד סטטוס 200 של ישות אחת מדווח (is_success=true): 'הפרטים של ההתראות הבאות ב-LogRhythm אוחזרו בהצלחה: {IDs}'

אם לא נמצאה התראה אחת (is_success=true):"ההתראות הבאות לא נמצאו ב-LogRhythm: {IDs}"

אם לא נמצאו כל ההתראות (is_success=false): 'אף אחת מההתראות שצוינו לא נמצאה ב-LogRhythm'.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "Error executing action "Get Alarm Details". Reason: {0}''.format(error.Stacktrace)

 כללי
Case Wall Table

שם הטבלה: Alarm {ID} Events

עמודות הטבלה:

  • שם הסיווג
  • סוג הסיווג
  • שם
  • עדיפות
  • חשבון
  • שם המארח
 כללי

הוספת תגובה להתראה

תיאור

מוסיפים תגובה להתראה ב-LogRhythm.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה ההתראה String לא רלוונטי כן מציינים את המזהה של ההתראה שרוצים להוסיף לה תגובה ב-LogRhythm.
תגובה String לא רלוונטי כן מציינים תגובה שצריך להוסיף להתראה.

הפעלה ב-

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
N/A
העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם מדווח על קוד סטטוס 200 (is_success=true): "הערה נוספה בהצלחה לאזעקה עם המזהה {ID} ב-LogRhythm".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'הוספת תגובה להתראה'". הסיבה: {0}''.format(error.Stacktrace)

אם קוד הסטטוס הוא לא 200: 'שגיאה בהפעלת הפעולה 'הוספת הערה להתראה'. הסיבה: {0}''.format(responseMessage)

 כללי

הצגת רשימת הוכחות לבקשת תמיכה

תיאור

הצגת רשימת ההוכחות לבקשת תמיכה ב-LogRhythm.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מספר פנייה String לא רלוונטי כן מציינים את מספר הפנייה שרוצים לקבל עבורה רשימה של ראיות.
סינון לפי סטטוס CSV לא רלוונטי לא

מציינים רשימה מופרדת בפסיקים של מסנני סטטוסים להוכחה.

הערכים האפשריים: בהמתנה, הושלם, נכשל.

אם לא מציינים כלום, הפעולה תחזיר הוכחות מכל הסטטוסים.
מסנן סוגים CSV לא רלוונטי לא

מציינים רשימה מופרדת בפסיקים של מסנני סוגים להוכחה.

ערכים אפשריים: alarm, userEvents, log, note, file.

אם לא תסופק רשימה כזו, הפעולה תחזיר ראיות מכל הסוגים.
מספר מקסימלי של הוכחות להחזרה מספר שלם 50 לא מציינים את מספר הראיות שיוחזרו.

הפעלה ב-

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
[
    {
        "number": 4,
        "dateCreated": "2021-07-31T11:00:40.2433333Z",
        "dateUpdated": "2021-07-31T11:00:40.2433333Z",
        "createdBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "lastUpdatedBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "type": "file",
        "status": "completed",
        "statusMessage": null,
        "text": "test",
        "pinned": false,
        "datePinned": null,
        "file": {
            "name": "UploadCustomListTemplate .csv",
            "size": 161
        }
    }
]
העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם קוד הסטטוס 200 מדווח (is_success=true): "Successfully listed evidence related to the case with ID {ID} in LogRhythm."

אם אין ראיות זמינות (is_success=false): "לא נמצאו ראיות לגבי המקרה עם המזהה {ID} ב-LogRhythm".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'רשימת ראיות לתיק'". הסיבה: {0}''.format(error.Stacktrace)

אם קוד הסטטוס 404 מדווח: "שגיאה בהפעלת הפעולה 'רשימת ראיות לתיק'. הסיבה: {0}''.format(message)

אם צוין ערך לא חוקי לפרמטר Status: 'שגיאה בהפעלת הפעולה 'List Case Evidence'. הסיבה: ערכים לא חוקיים צוינו בפרמטר 'Status Filter': {invalid value}. ערכים אפשריים: pending, completed, failed'.

אם צוין ערך לא תקין לפרמטר Type: 'שגיאה בהפעלת הפעולה 'List Case Evidence'. הסיבה: ערכים לא תקינים שצוינו בפרמטר Type: {invalid value}. ערכים אפשריים: alarm, userEvents, log, note, file'.

 כללי
Case Wall

הוכחות בנושא פנייה מספר {case id}

סוג

סטטוס

הקשר

הוספת התראה לכרטיסייה

תיאור

הוספת התראה לבקשת התמיכה ב-LogRhythm.

פרמטר

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מספר פנייה String לא רלוונטי כן מציינים את מספר הפנייה שאליה רוצים להוסיף את ההתראות.
מזהי התראות CSV לא רלוונטי כן מציינים רשימה מופרדת בפסיקים של התראות שצריך להוסיף לכרטיס.

הפעלה ב-

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
[
    {
        "number": 23,
        "dateCreated": "2021-08-11T09:02:17.0066667Z",
        "dateUpdated": "2021-08-11T09:02:17.0066667Z",
        "createdBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "lastUpdatedBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "type": "alarm",
        "status": "completed",
        "statusMessage": null,
        "text": "",
        "pinned": false,
        "datePinned": null,
        "alarm": {
            "alarmId": 15298,
            "alarmDate": "2021-07-30T02:07:29.813+03:00",
            "alarmRuleId": 1000,
            "alarmRuleName": "AIE: ISO-27001: File Monitoring Event-File Changes",
            "dateInserted": "2021-07-30T02:07:29.82+03:00",
            "entityId": -100,
            "entityName": "Global Entity",
            "riskBasedPriorityMax": 1
        }
    },
    {
        "number": 24,
        "dateCreated": "2021-08-11T09:03:18.65Z",
        "dateUpdated": "2021-08-11T09:03:18.65Z",
        "createdBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "lastUpdatedBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "type": "alarm",
        "status": "completed",
        "statusMessage": null,
        "text": "",
        "pinned": false,
        "datePinned": null,
        "alarm": {
            "alarmId": 15297,
            "alarmDate": "2021-07-30T02:07:28.353+03:00",
            "alarmRuleId": 1419,
            "alarmRuleName": "AIE: CCF: FIM General Activity",
            "dateInserted": "2021-07-30T02:07:29.82+03:00",
            "entityId": 1,
            "entityName": "Primary Site",
            "riskBasedPriorityMax": 0
        }
    }
]
העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם מדווח על קוד הסטטוס 201 (is_success=true): "Successfully added alarm evidence related to the case with ID {ID} in LogRhythm."

אם מדווח על קוד סטטוס 200 (is_success=true): "All of the provided alarm evidence was already a part of the case with ID {ID} in LogRhythm."

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'הוספת התראה לכרטיס'. הסיבה: {0}''.format(error.Stacktrace)

אם מדווח על קוד הסטטוס 404: "שגיאה בהפעלת הפעולה 'הוספת התראה לכרטיס'. הסיבה: {0}''.format(message or details)

 כללי

צירוף קובץ לכרטיס

תיאור

מצרפים קובץ לבקשת התמיכה ב-LogRhythm.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מספר פנייה String לא רלוונטי כן מציינים את מספר הפנייה שאליה רוצים לצרף קבצים.
נתיבי קבצים CSV לא רלוונטי כן מציינים רשימה מופרדת בפסיקים של נתיבי קבצים מוחלטים.
נתונים String לא רלוונטי לא מציינים הערה שצריך להוסיף לפנייה לצד הקובץ.

הפעלה ב-

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
[
    {
        "number": 26,
        "dateCreated": "2021-08-11T09:17:33.91Z",
        "dateUpdated": "2021-08-11T09:17:33.91Z",
        "createdBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "lastUpdatedBy": {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        },
        "type": "file",
        "status": "completed",
        "statusMessage": null,
        "text": "",
        "pinned": false,
        "datePinned": null,
        "file": {
            "name": "Get Deep Visibility Query Result_JsonResultSample.json",
            "size": 4979
        }
    }
]
העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם הפעולה הושלמה עבור קובץ אחד נתיב (is_success=true): "הקבצים הבאים נוספו בהצלחה לפנייה עם המזהה {ID} ב-LogRhythm".

אם הפעולה נכשלה עבור נתיב קובץ אחד (is_success= true): "Action wasn't able to add the following files to the case with ID {ID} in LogRhythm: {failed file paths}".

אם הפעולה נכשלה עבור כל נתיבי הקבצים (is_success=false): "לא נוספו קבצים לכרטיס עם המזהה {ID} ב-LogRhythm".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'צירוף קובץ לכרטיס'". הסיבה: {0}''.format(error.Stacktrace)

אם מדווח על קוד הסטטוס 404: "שגיאה בהפעלת הפעולה 'צירוף קובץ לכרטיס'. הסיבה: {0}''.format(message)

אם נתקלתם בזמן קצוב לתפוגה: "Error executing action "Attach File To Case". הסיבה: הפעולה נתקלה בפסק זמן. הקבצים הבאים עדיין בתהליך עיבוד: {pending files}. צריך להגדיל את הזמן הקצוב לתפוגה ב-IDE. הערה: אם תוסיפו את אותו קובץ, תיצורו רשומה נפרדת ב-LogRhythm.

 כללי

הוספת הערה לכרטיס

תיאור

מוסיפים הערה לפנייה ב-LogRhythm.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מספר פנייה String לא רלוונטי כן מציינים את מספר הפנייה שאליה רוצים להוסיף הערה.
נתונים String לא רלוונטי כן מציינים הערה שרוצים להוסיף לפנייה.

הפעלה ב-

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
{
    "number": 29,
    "dateCreated": "2021-08-11T12:21:11.5547306Z",
    "dateUpdated": "2021-08-11T12:21:11.5547306Z",
    "createdBy": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "lastUpdatedBy": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "type": "note",
    "status": "completed",
    "statusMessage": null,
    "text": "asdasd",
    "pinned": false,
    "datePinned": null
}
העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם מדווח קוד סטטוס 201 (is_success=true): "הערה נוספה בהצלחה לכרטיס עם המזהה {ID} ב-LogRhythm".

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: 'שגיאה בהפעלת הפעולה 'הוספת הערה לכרטיס'. הסיבה: {0}''.format(error.Stacktrace)

אם מדווח על קוד הסטטוס 404: "שגיאה בהפעלת הפעולה 'הוספת הערה לכרטיס'. הסיבה: {0}''.format(message)

 כללי

יצירת פנייה לתמיכה

תיאור

יצירת בקשת תמיכה ב-LogRhythm.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם String לא רלוונטי כן מציינים את שם התיק.
עדיפות DDL

1

ערכים אפשריים:

  • 1
  • 2
  • ר3
  • 4
  • 5
 כן מציינים את העדיפות של בקשת התמיכה.
תאריך יעד String לא רלוונטי לא

מציינים את תאריך היעד לטיפול בפנייה.

פורמט: ISO 8601

דוגמה: 2021-04-23T12:38Z
תיאור String לא רלוונטי לא מציינים תיאור לבקשת התמיכה.

הפעלה ב-

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
{
    "id": "BA210B5A-0E4F-4E07-A770-8C24FB82747A",
    "number": 2,
    "externalId": "",
    "dateCreated": "2021-08-11T12:37:42.8942168Z",
    "dateUpdated": "2021-08-11T12:37:42.8942168Z",
    "dateClosed": null,
    "owner": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "lastUpdatedBy": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "name": "System Compromise",
    "status": {
        "name": "Created",
        "number": 1
    },
    "priority": 1,
    "dueDate": "2019-08-24T14:15:22Z",
    "resolution": null,
    "resolutionDateUpdated": null,
    "resolutionLastUpdatedBy": null,
    "summary": "Investigated a potential system compromise. More details at http://example.com/.",
    "entity": {
        "number": -100,
        "name": "Global Entity",
        "fullName": "Global Entity"
    },
    "collaborators": [
        {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        }
    ],
    "tags": []
}
העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם מדווח על קוד סטטוס 201 (is_success=true): 'נוצר בהצלחה אירוע {number} ב-LogRhythm'.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'יצירת פנייה'. הסיבה: {0}''.format(error.Stacktrace)

אם מדווח קוד הסטטוס 404: 'שגיאה בהפעלת הפעולה 'יצירת פנייה'. הסיבה: {0}''.format(message)

 כללי

עדכון בקשת תמיכה

תיאור

עדכון בקשת תמיכה ב-LogRhythm.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מספר פנייה String לא רלוונטי כן מציינים את המזהה של בקשת התמיכה שרוצים לעדכן.
שם String לא רלוונטי לא מציינים שם חדש לבקשת התמיכה.
עדיפות DDL

יש לבחור טווח

ערכים אפשריים:

  • 1
  • 2
  • ר3
  • 4
  • 5
 לא מציינים עדיפות חדשה לבקשת התמיכה.
תאריך יעד String לא רלוונטי לא

מציינים תאריך יעד חדש לבקשת התמיכה.

פורמט: ISO 8601

דוגמה: 2021-04-23T12:38Z
תיאור String לא רלוונטי לא מציינים תיאור חדש לבקשת התמיכה.
רזולוציה String לא רלוונטי לא מציינים איך הפנייה נפתרה.
סטטוס DDL

יש לבחור טווח

ערכים אפשריים:

  • נוצר
  • הושלם
  • אירוע
  • ננקטו תנאים מיוחדים לצמצום סיכונים
  • הסתיים
 לא מציינים את הסטטוס החדש של בקשת התמיכה.

הפעלה ב-

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
{
    "id": "BA210B5A-0E4F-4E07-A770-8C24FB82747A",
    "number": 2,
    "externalId": "",
    "dateCreated": "2021-08-11T12:37:42.8942168Z",
    "dateUpdated": "2021-08-11T12:48:52.9765558Z",
    "dateClosed": null,
    "owner": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "lastUpdatedBy": {
        "number": -100,
        "name": "LogRhythm Administrator",
        "disabled": false
    },
    "name": "System Compromise",
    "status": {
        "name": "Created",
        "number": 1
    },
    "priority": 1,
    "dueDate": "2019-08-24T14:15:22Z",
    "resolution": null,
    "resolutionDateUpdated": null,
    "resolutionLastUpdatedBy": null,
    "summary": "Investigated a potential system compromise. More details at http://example.com/.",
    "entity": {
        "number": -100,
        "name": "Global Entity",
        "fullName": "Global Entity"
    },
    "collaborators": [
        {
            "number": -100,
            "name": "LogRhythm Administrator",
            "disabled": false
        }
    ],
    "tags": []
}
העשרה של ישויות

לא רלוונטי

תובנות

לא רלוונטי

Case Wall
סוג התוצאה ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם קוד הסטטוס 201 מדווח (is_success=true): 'העדכון של מקרה {ID} ב-LogRhythm בוצע בהצלחה'.

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'עדכון פנייה'". הסיבה: {0}''.format(error.Stacktrace)"

אם מדווח על קוד הסטטוס 404: "שגיאה בהפעלת הפעולה 'עדכון פנייה'. הסיבה: {0}''.format(message)

אם קוד הסטטוס הוא 400: "Error executing action "Update Case". Reason: {0}''.format(validationErrors)" (שגיאה בהפעלת הפעולה 'עדכון פנייה'. סיבה: {0}''.format(validationErrors))

אם הפרמטרים 'סטטוס' או 'עדיפות' מוגדרים לערך 'בחירת ערך' ולא מסופק אף אחד מהערכים האחרים: 'שגיאה בהפעלת הפעולה 'עדכון פנייה''. הסיבה: צריך לספק ערך לפחות לאחד מפרמטרים הפעולה".

 כללי

הורדת קבצים של פניות

תיאור

הורדת קבצים שקשורים לבקשת התמיכה ב-LogRhythm.

פרמטרים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מספר פנייה String לא רלוונטי כן מציינים את מספר הפנייה שממנה רוצים להוריד קבצים.
נתיב תיקיית ההורדות String לא רלוונטי כן מציינים את הנתיב לתיקייה שבה רוצים לאחסן את קובצי הפניות.
החלפה בוליאני לא נכון כן אם האפשרות הזו מופעלת, הפעולה דורסת את הקובץ עם אותו שם.

הפעלה ב-

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם תוצאת התסריט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success=False
תוצאת JSON
{"absolute_file_paths": ["file_path_1","file_path_2"]}
``` ##### Entity
Enrichment

N/A

#####  Insights

N/A

#####  Case Wall

<table>
<thead>
<tr>
<th><strong>Result type</strong></th>
<th><strong>Value/Description</strong></th>
<th><strong>Type</strong></th>
</tr>
</thead>
<tbody>
<tr>
<td>Output message*</td>
<td><p><strong>The action should not fail nor stop a playbook execution:</strong></p><p><strong></strong></p><p><em>If the</em> <strong></strong> <em>200 status code for all cases is reported (is_success=true):</em> "Successfully downloaded files related to case with ID {ID} in LogRhythm."</p><p></p><p><em>If no files are found (is_success=true): "</em>No related files were found for the case with ID {ID} in LogRhythm."</p><p></p><p><strong>The action should fail and stop a playbook execution:</strong></p><p><strong></strong></p><p><em>If a</em> <strong></strong> <em>fatal error, like wrong credentials, no connection to the server, other is reported:</em> "Error executing action "Download Case Files". Reason: {0}''.format(error.Stacktrace)"</p><p></p><p><em>If the 404 status code is reported:</em> "Error executing action "Download Case Files". Reason: {0}''.format(message)"</p><p></p><p><em>If a file with the same name already exists, but "Overwrite" is set to false:</em> "Error executing action "Download Case Files". Reason: files with path {0} already exist. Please delete the files or set "Overwrite" to true."</p></td>
<td>General</td>
</tr>
</tbody>
</table>

### List Entity Events

#### Description

List events related to entities in LogRhythm. Supported entities: Hostname, IP
Address, User, CVE, Hash, URL.

Note: This action runs as async. Adjust the script timeout value in the
Google SecOps IDE for the action as needed.

#### Parameters

<table>
<thead>
<tr>
<th><strong>Parameter Display Name</strong></th>
<th><strong>Type</strong></th>
<th><strong>Default Value</strong></th>
<th><strong>Is Mandatory</strong></th>
<th><strong>Description</strong></th>
</tr>
</thead>
<tbody>
<tr>
<td>Time Frame</td>
<td>DDL</td>
<td><p>Last Hour</p><p><strong></strong></p><p>Possible Values: </p><ul><li>Last Hour</li><li>Last 6 Hours</li><li>Last 24 Hours</li><li>Last Week</li><li>Last Month</li><li>Custom</li></ul></td>
<td>No</td>
<td>Name of the watchlist from which you want to remove values.</td>
</tr>
<tr>
<td>Start Time</td>
<td>String</td>
<td>N/A</td>
<td>No</td>
<td><p>Specify the start time for the results.</p><p></p><p>This parameter is mandatory, if "Custom" is selected for the "Time Frame" parameter. </p><p></p><p>Format: ISO 8601</p><p></p><p>Example: 2021-04-23T12:38Z</p></td>
</tr>
<tr>
<td>End Time</td>
<td>String</td>
<td>N/A</td>
<td>No</td>
<td><p>Specify the end time for the results. </p><p></p><p>If nothing is provided and "Custom" is selected for the "Time Frame" parameter then this parameter uses current time.</p><p></p><p>Format: ISO 8601</p></td>
</tr>
<tr>
<td>Sort Order</td>
<td>DDL</td>
<td><p>Datetime ASC <strong></strong> </p><p></p><p>Possible values:</p><ul><li>Datetime ASC</li><li>Datetime DESC</li><li>Risk ASC</li><li>RiskDESC</li></ul></td>
<td>No</td>
<td>Specify the sorting logic for the query.</td>
</tr>
<tr>
<td>Max Events To Return</td>
<td>Integer</td>
<td>50</td>
<td>No</td>
<td>Specify the number of events to return.</td>
</tr>
</tbody>
</table>

#### Run On

This action runs on the following entities:

*   Hostname
*   IP Address
*   User
*   CVE
*   Hash
*   URL

#### Action Results

#####  Script Result

<table>
<thead>
<tr>
<th><strong>Script Result Name</strong></th>
<th><strong>Value Options</strong></th>
<th><strong>Example</strong></th>
</tr>
</thead>
<tbody>
<tr>
<td>is_success</td>
<td>True/False</td>
<td>is_success:False</td>
</tr>
</tbody>
</table>

#####  JSON Result

```json
{
    "kBytes": 2521.025390625,
    "kBytesIn": 2500.0,
    "kBytesOut": 21.025390625,
    "outboundKBytes": 21.025390625,
    "impactedHostTotalKBytes": 2521.025390625,
    "keyField": "messageId",
    "count": 1,
    "classificationId": 3200,
    "classificationName": "Error",
    "classificationTypeName": "Operations",
    "commonEventName": "HTTP 504 : Server Error - Gateway Time-Out",
    "commonEventId": 8938,
    "direction": 3,
    "directionName": "External",
    "entityId": 2,
    "entityName": "EchoTestEntity",
    "rootEntityId": 2,
    "rootEntityName": "EchoTestEntity",
    "impactedEntityId": -100,
    "impactedEntityName": "Global Entity",
    "impactedHost": "192.0.2.11",
    "impactedInterface": "0",
    "impactedIp": "192.0.2.11",
    "impactedPort": 80,
    "impactedZoneName": "External",
    "indexedDate": 1629460029041,
    "insertedDate": 1629123439811,
    "logDate": 1629134239789,
    "logMessage": "CISCONGFW EVENT Ev_Id=436 Ev",
    "logSourceHost": "EchoTestHost",
    "logSourceHostId": 2,
    "logSourceHostName": "EchoTestHost",
    "logSourceId": 15,
    "logSourceName": "Echo_2_1000107",
    "logSourceType": 1000107,
    "logSourceTypeName": "Flat File - Cisco NGFW",
    "messageId": "23066",
    "messageTypeEnum": 2,
    "mpeRuleId": 1176829,
    "mpeRuleName": "HTTP 504 : Server Error : Gateway Timeout",
    "normalDate": 1629123439791,
    "normalDateMin": 1629123439791,
    "normalMsgDateMax": 1629123439791,
    "normalDateHour": 1629122400000,
    "originEntityId": -100,
    "originEntityName": "Global Entity",
    "originHostId": -1,
    "originHost": "192.0.2.12",
    "originInterface": "0",
    "originIp": "192.0.2.12",
    "originPort": 14042,
    "originZone": 3,
    "originZoneName": "External",
    "priority": 38,
    "process": "5",
    "processId": 300003,
    "protocolId": 6,
    "protocolName": "TCP",
    "serviceId": 1388,
    "serviceName": "HTTP",
    "portProtocol": "HTTP",
    "session": "436",
    "severity": "57",
    "url": "http://www.google.com/",
    "vendorMessageId": "504",
    "version": "2",
    "status": "504"
}
Case Wall
סוג התוצאה ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או לעצור את ההרצה של חוברת ההדרכה:

אם נמצאו נתונים של ישות אחת (is_success=true): "Successfully retrieved events for the following entities in LogRhythm: {entity.identifier}."

אם הפעולה נכשלה עבור ישות אחת (is_success=true): "לא הייתה אפשרות לאחזר אירועים עבור הישויות הבאות ב-LogRhythm: {entity.identifier}."

אם הפעולה נכשלה עבור כל הישויות (is_success=false): "לא הייתה אפשרות לאחזר אירועים עבור הישויות שסופקו ב-LogRhythm".

אם אין נתונים לפחות לישות אחת (is_success=true): "לא נמצאו אירועים לישויות הבאות ב-LogRhythm:‏ {entity.identifier}".

אם לא נמצאו נתונים לגבי כל הישויות (is_success=false): "לא נמצאו אירועים לגבי הישויות שצוינו ב-LogRhythm".

אם חלף הזמן הקצוב לתפוגה של ישות אחת (is_success=true): 'חלף הזמן הקצוב לתפוגה של הפעולה במהלך ההפעלה. ישויות בהמתנה: {entities that didn't return data}. צריך להגדיל את הזמן הקצוב לתפוגה של הפעולה בסביבת הפיתוח המשולבת (IDE)'.

הודעה אסינכרונית: 'המתנה למידע על אירועים עבור הישויות הבאות: {entity.identifier}'

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בהפעלת הפעולה 'רשימת אירועים של ישות'". הסיבה: {0}''.format(error.Stacktrace)"

אם נתקלתם בפסק זמן לכל הישויות (is_success=false): 'שגיאה בהפעלת הפעולה 'List Entity Events'. הסיבה: הפעולה נתקלה בפסק זמן במהלך ההפעלה. לא אוחזר מידע על האירועים עבור הישויות שסופקו. צריך להגדיל את פסק הזמן של הפעולה ב-IDE'.

אם הפרמטר 'שעת התחלה' ריק, כשהפרמטר 'מסגרת זמן' מוגדר לערך 'בהתאמה אישית' (נכשל): 'שגיאה בהפעלת הפעולה ''. הסיבה: צריך לציין את 'שעת ההתחלה' כשבוחרים באפשרות 'בהתאמה אישית' בפרמטר 'מסגרת זמן'.'

אם הערך של הפרמטר 'שעת התחלה' גדול מהערך של הפרמטר 'שעת סיום' (נכשל): 'שגיאה בהפעלת הפעולה "". הסיבה: 'שעת הסיום' צריכה להיות מאוחרת יותר מ'שעת ההתחלה'.

אם הערך של max items to return (מספר הפריטים המקסימלי להחזרה) לא גדול מ-0: "Error executing action "". Reason: "Max Events To Return" should be greater than 0.

 כללי
Case Wall Table

שם הטבלה: {entity.identifier}

עמודות הטבלה:

  • סיווג: 'שם הסיווג'
  • שם האירוע: ‎"commonEventName"‎ תאריך: הומר ל-ISO ‏ (insertedDate)
  • מארח שהושפע: impactedHost
  • כתובת ה-IP שהושפעה: impactedIP כניסה: login Hash: hash כתובת ה-URL: url
  • עדיפות: עדיפות CVE: מקור CVE
  • מארח: originHost
  • כתובת ה-IP של המקור: originIP

הערה: העמודה הזו תופיע אם יש לפחות רשומה אחת עם ערך.

 ישות

מחברים

LogRhythm Cases Connector

תיאור

שליפת כרטיסי תמיכה מ-LogRhythm.

פרמטרים של מחברים

שם התצוגה של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String לא רלוונטי כן מזינים את שם שדה המקור כדי לאחזר את שם שדה המוצר.
שם השדה של האירוע String event_type כן מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה בסביבה String "" לא

מתאר את שם השדה שבו מאוחסן שם הסביבה.

אם לא נמצא שדה סביבה, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי (regex) של סביבה String .* לא

תבנית regex להפעלה על הערך שנמצא בשדה 'שם שדה הסביבה'.

ברירת המחדל היא ‎ .* ‎ כדי לתפוס את כל הערכים ולהחזיר אותם ללא שינוי.

משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטוי רגולרי.

אם תבנית הביטוי הרגולרי היא null או ריקה, או שערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
זמן קצוב לסקריפט (בשניות) מספר שלם 180 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
הבסיס של ה-API String https://{IP}:8501 כן הבסיס של ה-API במופע LogRhythm.
טוקן API סיסמה לא רלוונטי כן טוקן API של LogRhythm.
מספר הימים המקסימלי אחורה מספר שלם 1 כן מספר הימים שממנו יאוחזרו בקשות התמיכה.
העדיפות הכי נמוכה לאחזור מספר שלם לא רלוונטי לא

העדיפות הכי נמוכה שצריך להשתמש בה כדי לאחזר פניות.

אם לא מציינים כלום, המערכת תבצע המרה של כל המקרים בכל העדיפויות.

ערכים אפשריים: מ-1 עד 5.
מגבלת מספר ההתראות מספר שלם 10 כן מספר הכרטיסים לטיפול בכל איטרציה של המחבר.
קובץ אישור CA String לא רלוונטי לא קובץ אישור CA בקידוד Base64.
שימוש ברשימת ההיתרים כרשימה שחורה תיבת סימון התיבה לא מסומנת כן אם ההגדרה הזו מופעלת, רשימת ההיתרים משמשת כרשימת חסימות.
אימות SSL תיבת סימון התיבה לא מסומנת כן אם האפשרות הזו מופעלת, צריך לוודא שאישור ה-SSL לחיבור לשרת LogRhythm תקף.
כתובת שרת ה-Proxy String לא רלוונטי לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם משתמש של שרת proxy String לא רלוונטי לא שם המשתמש ב-proxy לאימות.
סיסמת שרת Proxy סיסמה לא רלוונטי לא סיסמת ה-proxy לאימות.

כללים של מחברים

תמיכה בשרת proxy

המחבר תומך ב-Proxy.

LogRhythm - Rest API Alarms Connector

תיאור

שליפת התראות מ-LogRhythm באמצעות Rest API.

הגדרה של LogRhythm – מחבר התראות של Rest API ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר בנושא הגדרת המחבר.

פרמטרים של מחברים

משתמשים בפרמטרים הבאים כדי להגדיר את המחבר:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String שם המוצר כן מזינים את שם שדה המקור כדי לאחזר את שם שדה המוצר.
שם השדה של האירוע String classificationTypeName כן מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה בסביבה String "" לא

מתאר את שם השדה שבו מאוחסן שם הסביבה.

אם לא נמצא שדה סביבה, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי (regex) של סביבה String .* לא

תבנית regex להפעלה על הערך שנמצא בשדה 'שם שדה הסביבה'.

ברירת המחדל היא ‎ .* ‎ כדי לתפוס את כל הערכים ולהחזיר אותם ללא שינוי.

ההגדרה הזו מאפשרת למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטוי רגולרי.

אם תבנית הביטוי הרגולרי היא null או ריקה, או שערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
זמן קצוב לסקריפט (בשניות) מספר שלם 180 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
ספריית הבסיס של ה-API String https://{IP}:8501 כן הבסיס של ה-API במופע LogRhythm.
טוקן API סיסמה לא רלוונטי כן טוקן API של LogRhythm.
מספר השעות המקסימלי אחורה מספר שלם 1 לא מספר השעות שממנו יאוחזרו ההתראות.
מספר מקסימלי של התראות לאחזור מספר שלם 10 לא מספר ההתראות לעיבוד בכל איטרציה של המחבר.
שימוש ברשימת ההיתרים כרשימה שחורה תיבת סימון התיבה לא מסומנת כן אם ההגדרה הזו מופעלת, רשימת ההיתרים משמשת כרשימת חסימות.
אימות SSL תיבת סימון התיבה לא מסומנת כן אם האפשרות הזו מופעלת, צריך לוודא שאישור ה-SSL לחיבור לשרת LogRhythm תקף.
כתובת שרת ה-Proxy String לא רלוונטי לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם משתמש של שרת proxy String לא רלוונטי לא שם המשתמש ב-proxy לאימות.
סיסמת שרת Proxy סיסמה לא רלוונטי לא סיסמת ה-proxy לאימות.

כללים של מחברים

תמיכה בשרת proxy

המחבר תומך ב-Proxy.

תעסוקה

סנכרון הערות על פניות

תיאור

העבודה הזו מסנכרנת תגובות בבקשות תמיכה ב-LogRhythm ובבקשות תמיכה ב-Google SecOps.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
הבסיס של ה-API String https://{IP}:8501 כן הבסיס של ה-API במופע LogRhythm.
טוקן API סיסמה לא רלוונטי כן טוקן API של LogRhythm.
קובץ אישור CA String לא רלוונטי לא קובץ אישור CA בקידוד Base64.
אימות SSL תיבת סימון סימן אישור כן אם האפשרות הזו מופעלת, צריך לוודא שאישור ה-SSL לחיבור לשרת LogRhythm תקף.

סנכרון של פניות סגורות

תיאור

העבודה הזו מסנכרנת בין פניות סגורות ב-LogRhythm לבין התראות ב-Google SecOps.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
הבסיס של ה-API String https://{IP}:8501 כן הבסיס של ה-API במופע LogRhythm.
טוקן API סיסמה לא רלוונטי כן טוקן API של LogRhythm.
קובץ אישור CA String לא רלוונטי לא קובץ אישור CA בקידוד Base64.
מספר השעות המקסימלי אחורה מספר שלם 24 לא מציינים את מספר השעות אחורה שבהן הסטטוסים יסונכרנו.
אימות SSL תיבת סימון סימן אישור כן אם האפשרות הזו מופעלת, צריך לוודא שאישור ה-SSL לחיבור לשרת LogRhythm תקף.

סנכרון הערות על התראות

תיאור

העבודה הזו מסנכרנת תגובות בהתראות של LogRhythm ובמקרים של Google SecOps.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
הבסיס של ה-API String https://{IP}:8501 כן הבסיס של ה-API במופע LogRhythm.
טוקן API סיסמה לא רלוונטי כן טוקן API של LogRhythm.
קובץ אישור CA String לא רלוונטי לא קובץ אישור CA בקידוד Base64.
אימות SSL תיבת סימון סימן אישור כן אם האפשרות הזו מופעלת, צריך לוודא שאישור ה-SSL לחיבור לשרת LogRhythm תקף.

סנכרון של התראות סגורות

תיאור

העבודה הזו מסנכרנת התראות סגורות של LogRhythm והתראות של Google SecOps.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
הבסיס של ה-API String https://{IP}:8501 כן הבסיס של ה-API במופע LogRhythm.
טוקן API סיסמה לא רלוונטי כן טוקן API של LogRhythm.
קובץ אישור CA String לא רלוונטי לא קובץ אישור CA בקידוד Base64.
מספר השעות המקסימלי אחורה מספר שלם 24 לא מציינים את מספר השעות אחורה שבהן הסטטוסים יסונכרנו.
אימות SSL תיבת סימון סימן אישור כן אם האפשרות הזו מופעלת, צריך לוודא שאישור ה-SSL לחיבור לשרת LogRhythm תקף.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.