Nozomi Networks

Versi integrasi: 5.0

Kasus Penggunaan

• Memperkaya informasi tentang aset.
• Menjalankan kueri terhadap penginstalan Nozomi.
• Jalankan perintah CLI pada penginstalan Nozomi.

Mengonfigurasi integrasi Nozomi Networks di Google Security Operations

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Parameter integrasi

Gunakan parameter berikut untuk mengonfigurasi integrasi:

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib	Deskripsi
URL API	String	https://x.x.x.x:port	Ya	URL Nozomi API yang akan dihubungkan
Nama pengguna	String	T/A	Ya	Nama pengguna akun Nozomi yang akan digunakan untuk koneksi
Sandi	Sandi	T/A	Ya	Sandi akun Nozomi yang akan digunakan untuk koneksi
Verifikasi SSL	Kotak centang	Tidak dicentang	Tidak	Tentukan apakah sertifikat URL API harus divalidasi sebelum koneksi.
Sertifikat CA	String	T/A	Tidak

Catatan: Anda dapat melakukan perubahan di tahap berikutnya jika diperlukan. Setelah dikonfigurasi, Instance dapat digunakan di Playbook. Untuk mengetahui informasi mendetail tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Ping

Deskripsi

Uji konektivitas ke instance Nozomi Networks dengan parameter yang diberikan di halaman konfigurasi integrasi pada tab Google Security Operations Marketplace.

Run On

Tindakan ini tidak dijalankan di entity.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai
is_success	is_success=False
is_success	is_success=True

Repositori Kasus

Jenis Hasil	Nilai / Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: jika berhasil: cetak "Successfully connected to the Nozomi Networks instance with the provided connection parameters!" Tindakan akan gagal dan menghentikan eksekusi playbook: jika terjadi error penting, seperti kredensial yang salah atau konektivitas terputus: cetak "Gagal terhubung ke instance Nozomi Networks. Error adalah {0}".format(exception.stacktrace)	Umum

Memperkaya Entitas

Deskripsi

Memperkaya entitas Host atau IP Google SecOps berdasarkan informasi dari perangkat Nozomi Networks.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib	Deskripsi
Kolom tambahan yang akan ditambahkan ke pengayaan	String	T/A	Tidak	Daftar kolom yang dipisahkan koma yang harus diambil tambahan dari kueri Node untuk ditambahkan ke kolom yang digunakan untuk pengayaan secara default.

Run On

Tindakan ini berjalan di entity berikut:

• Alamat IP
• Host

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai
is_success	is_success=False
is_success	is_success=True

Hasil JSON

{
    "result": [
        {
            "appliance_host": "nozomi-n2os.local",
            "label": "DESKTOP-8P0TH6Q.local",
            "id": "172.30.202.127",
            "_asset_kb_id": null,
            "ip": "172.30.202.127",
            "mac_address": "00:50:56:a2:51:88",
            "mac_address:info": {
                "source": "",
                "likelihood": 0,
                "likelihood_level": "unconfirmed"
            },
            "mac_vendor": "VMware, Inc.",
            "_private_status": "no",
            "subnet": "172.30.202.0/24",
            "vlan_id": null,
            "vlan_id:info": {
                "source": "passive"
            },
            "zone": "Internal",
            "level": "5",
            "type": "computer",
            "type:info": {
                "source": "passive"
            },
            "os": "Windows 10 / Server 2016",
            "vendor": null,
            "vendor:info": {
                "source": "passive"
            },
            "product_name": null,
            "product_name:info": {
                "source": "passive"
            },
            "firmware_version": null,
            "firmware_version:info": {
                "source": "passive"
            },
            "serial_number": null,
            "serial_number:info": {
                "source": "passive"
            },
            "is_broadcast": false,
            "is_public": false,
            "reputation": null,
            "is_confirmed": true,
            "is_learned": true,
            "is_fully_learned": true,
            "is_disabled": false,
            "_is_licensed": true,
            "roles": [
                "other"
            ],
            "links": [
                {
                    "id": "224.0.0.252",
                    "protos": [
                        {
                            "name": "llmnr",
                            "last_activity": "1602495882225"
                        }
                    ]
                },
                {
                    "id": "172.30.202.255",
                    "protos": [
                        {
                            "name": "browser",
                            "last_activity": "1605052230602"
                        },
                        {
                            "name": "netbios-ns",
                            "last_activity": "1604654773056"
                        }
                    ]
                },
                {
                    "id": "224.0.0.251",
                    "protos": [
                        {
                            "name": "mdns",
                            "last_activity": "1602636321803"
                        }
                    ]
                },
                {
                    "id": "239.255.255.250",
                    "protos": [
                        {
                            "name": "ssdp",
                            "last_activity": "1600331209918"
                        }
                    ]
                }
            ],
            "links_count": "5",
            "protocols": [
                "browser",
                "llmnr",
                "mdns",
                "netbios-ns",
                "ssdp"
            ],
            "created_at": "1595315728295",
            "first_activity_time": "1595315728295",
            "last_activity_time": "1605052230602",
            "received.packets": "0",
            "received.bytes": "0",
            "received.last_5m_bytes": "0",
            "received.last_15m_bytes": "0",
            "received.last_30m_bytes": "0",
            "sent.packets": "5088",
            "sent.bytes": "1031179",
            "sent.last_5m_bytes": "0",
            "sent.last_15m_bytes": "0",
            "sent.last_30m_bytes": "0",
            "tcp_retransmission.percent": 0,
            "tcp_retransmission.packets": "0",
            "tcp_retransmission.bytes": "0",
            "tcp_retransmission.last_5m_bytes": "0",
            "tcp_retransmission.last_15m_bytes": "0",
            "tcp_retransmission.last_30m_bytes": "0",
            "variables_count": null,
            "device_id": "TIP-HW-HOST-033",
            "properties": {},
            "custom_fields": {},
            "bpf_filter": "ip host 172.30.202.127",
            "device_modules": {},
            "capture_device": "em1"
        }
    ],

Pengayaan Entity

Nama Kolom Pengayaan	Logika - Kapan harus diterapkan
Nozomi.level	Jika tidak null
Nozomi.appliance_host	Jika tidak null
Nozomi.ip	Jika tidak null
Nozomi.mac_address	Jika tidak null
Nozomi.vlan_id	Jika tidak null
Nozomi.os	Jika tidak null
Nozomi.roles	Jika tidak null
Nozomi.vendor	Jika tidak null
Nozomi.firmware_version	Jika tidak null
Nozomi.serial_number	Jika tidak null
Nozomi.product_name	Jika tidak null
Nozomi.type	Jika tidak null
Nozomi.protocols	Jika tidak null
Nozomi.device_id	Jika tidak null
Nozomi.capture_device	Jika tidak null
Nozomi.is_broadcast	Jika tidak null
Nozomi.is_public	Jika tidak null
Nozomi.is_confirmed	Jika tidak null
Nozomi.is_disabled	Jika tidak null
Nozomi.is_licensed	Jika tidak null

Repositori Kasus

Jenis Hasil	Nilai / Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: jika berhasil dan setidaknya satu entitas yang diberikan telah di-enrich: cetak "Successfully enriched entities: {0}".format([entity.Identifier]). Jika gagal memperkaya semua entity yang diberikan: cetak "Tidak ada entity yang diperkaya". Jika gagal menemukan data di perangkat Nozomi untuk memperkaya entitas tertentu: cetak "Action was not able to find Nozomi Guardian information to enrich the following entities: {0}".format([entity.identifier]) Jika tindakan menemukan beberapa kecocokan di Nozomi untuk beberapa entitas Google SecOps, kecocokan pertama akan diambil untuk memperkaya entitas: print "Multiple matches were found in Nozomi Guardian, taking first match for the following entities:/n {0}".format(entity.identifiers list) Tindakan akan gagal dan menghentikan eksekusi playbook: Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, lainnya: cetak "Failed to execute Enrich Entities action! Error adalah {0}".format(exception.stacktrace)	Umum

Jalankan Kueri

Deskripsi

Menjalankan kueri di perangkat Nozomi Networks.

Catatan: Tindakan tidak berfungsi dengan Entitas Google SecOps.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib	Deskripsi
Kueri	String	T/A	Ya	Tentukan kueri yang akan dijalankan di perangkat Nozomi Networks, misalnya: alerts | head 10.
Batas Rekaman	Bilangan bulat	10	Tidak	Dapat digunakan untuk menentukan berapa banyak data yang dapat ditampilkan oleh tindakan. Jika nilai default 10 ditetapkan, parameter akan menambahkan "| head 10" ke kueri akhir untuk membatasi jumlah data yang ditampilkan. Jika tidak ada yang diberikan untuk parameter - semua hasil kueri akan ditampilkan. Nilai negatif akan diabaikan.

Run On

Tindakan ini tidak dijalankan di entity.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai
is_success	is_success=False
is_success	is_success=True

Hasil JSON

{
    "result": [
        {
            "id": "0bee5f36-9b50-4037-8b02-f02f5cd637c3",
            "type_id": "VI:NEW-ARP",
            "name": "New ARP",
            "description": "New ARP packet from node with MAC address 00:50:56:a2:e8:0b and IP address 172.30.202.8",
            "severity": 10,
            "mac_src": "00:50:56:a2:e8:0b",
            "mac_dst": "ff:ff:ff:ff:ff:ff",
            "ip_src": "172.30.202.8",
            "ip_dst": null,
            "risk": "6.0",
            "protocol": "arp",
            "src_roles": "other",
            "dst_roles": "other",
            "time": 1604974955058,
            "ack": false,
            "id_src": "00:50:56:a2:e8:0b",
            "id_dst": "ff:ff:ff:ff:ff:ff",
            "synchronized": false,
            "appliance_id": "",
            "port_src": null,
            "port_dst": null,
            "label_src": null,
            "label_dst": null,
            "trigger_id": null,
            "trigger_type": null,
            "appliance_host": "nozomi-n2os.local",
            "appliance_ip": "172.30.202.226",
            "transport_protocol": "ethernet",
            "is_security": true,
            "note": null,
            "appliance_site": null,
            "parents": [
                "9827b15f-bbdf-483a-b074-8991793f80f3",
                "e76a4060-50f1-47cd-98c4-fb25bfb16433"
            ],
            "is_incident": false,
            "properties": {
                "base_risk": 4,
                "from_id": "00:50:56:a2:e8:0b",
                "is_dst_node_learned": true,
                "is_dst_reputation_bad": false,
                "is_src_node_learned": false,
                "is_src_reputation_bad": false,
                "to_id": "ff:ff:ff:ff:ff:ff"
            },
            "created_time": 1604974955058,
            "incident_keys": [],
            "bpf_filter": "ether host 00:50:56:a2:e8:0b and ether host ff:ff:ff:ff:ff:ff and ether proto 0x0806",
            "closed_time": 0,
            "status": "open",
            "session_id": "154400:50:56:a2:e8:0bff:ff:ff:ff:ff:ff0000175aff64a32",
            "replicated": false,
            "capture_device": "em1",
            "threat_name": "",
            "type_name": "New ARP",
            "sec_profile_visible": true,
            "zone_src": "Layer2",
            "zone_dst": "Layer2"
        },

Repositori Kasus

Jenis hasil	Nilai/Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal dan tidak boleh menghentikan eksekusi playbook: if successful: print "Query executed successfully". if nothing found: print "Query executed successfully, but did not return any results.". if error: print "Query didn't completed due to error: {0}".format(exception.stacktrace). If timeout: print "Query didn't completed due to timeout {0}".format(exception.stacktrace). Tindakan akan gagal dan menghentikan eksekusi playbook: Jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau lainnya: cetak "Failed to execute Run a Query action! Error adalah {0}".format(exception.stacktrace)	Umum
Tabel	Judul tabel: Hasil Kueri Kolom: membuat kolom secara dinamis berdasarkan hasil kueri	Umum

Menjalankan Perintah CLI

Deskripsi

Jalankan perintah CLI di perangkat Nozomi Networks.

Catatan: Nozomi API tidak memberikan validasi untuk perintah CLI yang dijalankan. Pengguna harus memastikan bahwa perintah CLI yang diberikan sudah benar. Tindakan tidak berfungsi dengan Entity Google SecOps.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib	Deskripsi
Perintah CLI	String	T/A	Ya	Tentukan Perintah CLI yang akan dijalankan di perangkat Nozomi Networks. Catatan: Nozomi API tidak menyediakan validasi untuk perintah CLI yang dijalankan. Pengguna harus memastikan bahwa perintah CLI yang diberikan sudah benar.

Run On

Tindakan ini tidak dijalankan di entity.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai
is_success	is_success=False
is_success	is_success=True

Repositori Kasus

Jenis Hasil	Nilai / Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal dan tidak boleh menghentikan eksekusi playbook: jika berhasil: cetak "CLI Command executed". Tindakan akan gagal dan menghentikan eksekusi playbook: Jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau lainnya: cetak "Failed to execute Run a Query action! Error adalah {0}".format(exception.stacktrace)	Umum

Mencantumkan Kerentanan

Deskripsi

Mencantumkan kerentanan yang ditemukan oleh perangkat Nozomi berdasarkan parameter input tindakan yang diberikan.

Catatan: Tindakan tidak berfungsi dengan entitas Google SecOps, hanya dengan parameter input tindakan.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib	Deskripsi
Alamat IP	String	T/A	Tidak	Mencantumkan kerentanan untuk alamat IP yang diberikan. Parameter menerima beberapa nilai sebagai string yang dipisahkan koma.
Skor CVE	Bilangan bulat	T/A	Tidak	Kerentanan skor CVE minimum harus dicantumkan, skor dapat berupa angka dari 0 hingga 10.
Nama Kerentanan Berisi	String	T/A	Tidak	Tentukan string yang harus ada dalam nama kerentanan agar tercantum.
ID CVE	String	T/A	Tidak	Jika Anda mengetahui CVE tertentu yang ingin dicari, berikan ID terkait di kolom ini, misalnya, CVE-2020-1207. Parameter menerima beberapa nilai sebagai string yang dipisahkan koma.
Batas Rekaman	Bilangan bulat	25	Ya	Dapat digunakan untuk menentukan berapa banyak data yang dapat ditampilkan oleh tindakan.
Sertakan kerentanan yang ditandai sebagai selesai?	Kotak centang	Tidak dicentang	Tidak	Tentukan apakah tindakan juga harus menampilkan kerentanan yang ditandai sebagai terselesaikan.

Run On

Tindakan ini tidak dijalankan di entity.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai
is_success	is_success=False
is_success	is_success=True

Hasil JSON

{
    "result": [
        {
            "id": "cb9054a6-11a6-47ff-9c08-8033e42f9e63",
            "node_id": "172.30.202.71",
            "cve": "CVE-2017-8718",
            "cve_summary": "The Microsoft JET Database Engine in Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8.1 and RT 8.1, Windows Server 2012 and R2, Windows 10 Gold, 1511, 1607, 1703, and Windows Server 2016 allows an attacker to take control of an affected system, due to how it handles objects in memory, aka \"Microsoft JET Database Engine Remote Code Execution Vulnerability\". This CVE ID is unique from CVE-2017-8717.",
            "cve_score": 9.3,
            "cve_creation_time": 1507886940000,
            "cve_update_time": 1508488860000,
            "time": 1598516419115,
            "cwe_id": "119",
            "cwe_name": "Improper Restriction of Operations within the Bounds of a Memory Buffer",
            "matching_cpes": [
                "cpe:/o:microsoft:windows_server_2016:-:-:-"
            ],
            "cve_references": [
                {
                    "name": "101162",
                    "reference_type": "VENDOR_ADVISORY",
                    "source": "BID",
                    "url": "http://www.securityfocus.com/bid/101162"
                },
                {
                    "name": "1039527",
                    "reference_type": "VENDOR_ADVISORY",
                    "source": "SECTRACK",
                    "url": "http://www.securitytracker.com/id/1039527"
                },
                {
                    "name": "https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8718",
                    "reference_type": "VENDOR_ADVISORY",
                    "source": "CONFIRM",
                    "url": "https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8718"
                }
            ],
            "likelihood": 0.4,
            "resolved": false,
            "resolved_reason": "",
            "resolved_source": null,
            "installed_on": null,
            "appliance_id": "",
            "appliance_ip": "",
            "appliance_host": "",
            "zone": "Internal"
        }
    ],

Repositori Kasus

Jenis hasil	Nilai/Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal dan tidak boleh menghentikan eksekusi playbook: if successful: print "Search executed successfully". jika tidak ada yang ditemukan: cetak "Penelusuran berhasil dieksekusi, tetapi tidak menampilkan hasil apa pun". Tindakan akan gagal dan menghentikan eksekusi playbook: Jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau lainnya: cetak "Failed to execute Run a Query action! Error adalah {0}".format(exception.stacktrace)	Umum
Tabel	Judul tabel: Kerentanan yang Ditemukan Kolom: Alamat IP ID CVE Nama kerentanan Deskripsi Kerentanan Skor CVE Zona Terselesaikan Referensi Waktu Pembuatan CVE Waktu Pembaruan CVE	Umum

Konektor

Konektor Pemberitahuan Nozomi Networks

Deskripsi

Konektor untuk mengambil Pemberitahuan Nozomi Networks ke Google SecOps.

Mengonfigurasi Nozomi Networks Alerts Connector di Google SecOps

Untuk mendapatkan petunjuk mendetail tentang cara mengonfigurasi konektor di Google SecOps, lihat Mengonfigurasi konektor.

Parameter konektor

Gunakan parameter berikut untuk mengonfigurasi konektor:

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib	Deskripsi
Nama Kolom Produk	String	Nama Produk	Ya	Masukkan nama kolom sumber untuk mengambil nama Kolom Produk.
Nama Kolom Peristiwa	String	Operasi	Ya	Masukkan nama kolom sumber untuk mengambil nama Kolom Peristiwa.
Nama Kolom Lingkungan	String	""	Tidak	Mendeskripsikan nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ditemukan, lingkungan yang digunakan adalah lingkungan default.
Pola Regex Lingkungan	String	.*	Tidak	Pola regex untuk dijalankan pada nilai yang ditemukan di kolom "Nama Kolom Lingkungan". Defaultnya adalah .* untuk mencakup semua dan menampilkan nilai tanpa perubahan. Digunakan untuk mengizinkan pengguna memanipulasi kolom lingkungan melalui logika regex. Jika pola regex adalah null atau kosong, atau nilai lingkungan adalah null, hasil lingkungan akhir adalah lingkungan default.
Waktu Tunggu Skrip (Detik)	Bilangan bulat	180	Ya	Batas waktu untuk proses python yang menjalankan skrip saat ini.
URL API	String	https://x.x.x.x:port	Ya	URL Nozomi API yang akan dihubungkan
Nama pengguna	String	T/A	Ya	Nama pengguna akun Nozomi yang akan digunakan untuk koneksi
Sandi	Sandi	T/A	Ya	Sandi akun Nozomi yang akan digunakan untuk koneksi
Verifikasi SSL	Kotak centang	Tidak dicentang	Tidak	Tentukan apakah sertifikat URL API harus divalidasi sebelum koneksi.
Sertifikat CA	String	T/A	Tidak
Tingkat keparahan minimum yang akan diambil	bilangan bulat	T/A	Tidak	Peringatan tingkat keparahan minimum harus di-ingest, tingkat keparahan dapat berupa angka dari 0 hingga 10.
Hanya menerima pemberitahuan yang atribut "is_security"-nya disetel ke True?	Kotak centang	Tidak dicentang	Tidak	Tentukan apakah hanya pemberitahuan yang atribut "is_security"-nya disetel ke True yang harus diproses.
Hanya menyerap pemberitahuan yang memiliki atribut "is_incident" yang disetel ke True?	Kotak centang	Tidak dicentang	Tidak	Tentukan apakah hanya pemberitahuan yang atribut "is_incident"-nya disetel ke True yang harus di-ingest.
Mengambil Mundur Jam Maksimum	Bilangan bulat	8	Ya	Mengambil notifikasi dari X jam sebelumnya.
Interval Waktu Pengambilan Mundur (menit)	Bilangan bulat	60	Ya	Konektor interval waktu yang harus digunakan untuk mengambil pemberitahuan dari maksimum jam sebelumnya. Jika Nozomi Device di-deploy di jaringan besar, jumlah notifikasi yang dihasilkan bisa sangat banyak. Oleh karena itu, parameter ini dalam menit dapat digunakan untuk membagi jam maksimum ke belakang pada segmen yang lebih kecil dan memprosesnya satu per satu. Interval waktu tidak boleh lebih besar dari nilai mundur jam maksimum.
Menggunakan daftar yang diizinkan sebagai daftar blokir	Kotak centang	Tidak dicentang	Ya	Jika diaktifkan, daftar yang diizinkan akan digunakan sebagai daftar yang diblokir.
Alamat Server Proxy	String		Tidak	Alamat server proxy yang akan digunakan.
Nama Pengguna Proxy	String		Tidak	Nama pengguna proxy untuk melakukan autentikasi.
Sandi Proxy	Sandi		Tidak	Sandi proxy untuk mengautentikasi.

Aturan Konektor

Dukungan Proxy

Konektor mendukung proxy.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.