Nozomi Networks

통합 버전: 5.0

사용 사례

  • 애셋에 관한 정보 보강
  • Nozomi 설치에 대해 쿼리를 실행합니다.
  • Nozomi 설치에서 CLI 명령어를 실행합니다.

Google Security Operations에서 Nozomi Networks 통합 구성

Google SecOps에서 통합을 구성하는 방법에 대한 자세한 내용은 통합 구성을 참고하세요.

통합 매개변수

다음 매개변수를 사용하여 통합을 구성합니다.

매개변수 표시 이름 유형 기본값 필수 항목 설명
API URL 문자열 https://x.x.x.x:port 예 연결할 Nozomi API URL
사용자 이름 문자열 해당 사항 없음 예 연결에 사용할 Nozomi 계정 사용자 이름
비밀번호 비밀번호 해당 사항 없음 예 연결에 사용할 Nozomi 계정 비밀번호
SSL 확인 체크박스 선택 해제 아니요 연결 전에 API URL 인증서를 검증해야 하는지 여부를 지정합니다.
CA 인증서 문자열 해당 사항 없음 아니요

작업

핑

설명

Google Security Operations Marketplace 탭의 통합 구성 페이지에서 제공된 매개변수를 사용하여 Nozomi Networks 인스턴스에 대한 연결을 테스트합니다.

실행

이 작업은 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션
is_success is_success=False
is_success is_success=True
케이스 월
결과 유형 값 / 설명 유형
출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

  • 성공한 경우: '제공된 연결 매개변수를 사용하여 Nozomi Networks 인스턴스에 성공적으로 연결되었습니다.' 출력

작업이 실패하고 플레이북 실행을 중지합니다.

  • 잘못된 사용자 인증 정보 또는 연결 손실과 같은 중대한 오류인 경우: 'Nozomi Networks 인스턴스에 연결할 수 없습니다. 오류: {0}".format(exception.stacktrace)
 일반

항목 보강

설명

Nozomi Networks 기기의 정보를 기반으로 Google SecOps 호스트 또는 IP 항목을 보강합니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
보강에 추가할 추가 필드 문자열 해당 사항 없음 아니요 기본적으로 보강에 사용되는 필드에 추가하기 위해 노드 쿼리에서 추가로 가져와야 하는 필드의 쉼표로 구분된 목록입니다.

실행

이 작업은 다음 항목에서 실행됩니다.

  • IP 주소
  • 호스트

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션
is_success is_success=False
is_success is_success=True
JSON 결과
{
    "result": [
        {
            "appliance_host": "nozomi-n2os.local",
            "label": "DESKTOP-8P0TH6Q.local",
            "id": "172.30.202.127",
            "_asset_kb_id": null,
            "ip": "172.30.202.127",
            "mac_address": "00:50:56:a2:51:88",
            "mac_address:info": {
                "source": "",
                "likelihood": 0,
                "likelihood_level": "unconfirmed"
            },
            "mac_vendor": "VMware, Inc.",
            "_private_status": "no",
            "subnet": "172.30.202.0/24",
            "vlan_id": null,
            "vlan_id:info": {
                "source": "passive"
            },
            "zone": "Internal",
            "level": "5",
            "type": "computer",
            "type:info": {
                "source": "passive"
            },
            "os": "Windows 10 / Server 2016",
            "vendor": null,
            "vendor:info": {
                "source": "passive"
            },
            "product_name": null,
            "product_name:info": {
                "source": "passive"
            },
            "firmware_version": null,
            "firmware_version:info": {
                "source": "passive"
            },
            "serial_number": null,
            "serial_number:info": {
                "source": "passive"
            },
            "is_broadcast": false,
            "is_public": false,
            "reputation": null,
            "is_confirmed": true,
            "is_learned": true,
            "is_fully_learned": true,
            "is_disabled": false,
            "_is_licensed": true,
            "roles": [
                "other"
            ],
            "links": [
                {
                    "id": "224.0.0.252",
                    "protos": [
                        {
                            "name": "llmnr",
                            "last_activity": "1602495882225"
                        }
                    ]
                },
                {
                    "id": "172.30.202.255",
                    "protos": [
                        {
                            "name": "browser",
                            "last_activity": "1605052230602"
                        },
                        {
                            "name": "netbios-ns",
                            "last_activity": "1604654773056"
                        }
                    ]
                },
                {
                    "id": "224.0.0.251",
                    "protos": [
                        {
                            "name": "mdns",
                            "last_activity": "1602636321803"
                        }
                    ]
                },
                {
                    "id": "239.255.255.250",
                    "protos": [
                        {
                            "name": "ssdp",
                            "last_activity": "1600331209918"
                        }
                    ]
                }
            ],
            "links_count": "5",
            "protocols": [
                "browser",
                "llmnr",
                "mdns",
                "netbios-ns",
                "ssdp"
            ],
            "created_at": "1595315728295",
            "first_activity_time": "1595315728295",
            "last_activity_time": "1605052230602",
            "received.packets": "0",
            "received.bytes": "0",
            "received.last_5m_bytes": "0",
            "received.last_15m_bytes": "0",
            "received.last_30m_bytes": "0",
            "sent.packets": "5088",
            "sent.bytes": "1031179",
            "sent.last_5m_bytes": "0",
            "sent.last_15m_bytes": "0",
            "sent.last_30m_bytes": "0",
            "tcp_retransmission.percent": 0,
            "tcp_retransmission.packets": "0",
            "tcp_retransmission.bytes": "0",
            "tcp_retransmission.last_5m_bytes": "0",
            "tcp_retransmission.last_15m_bytes": "0",
            "tcp_retransmission.last_30m_bytes": "0",
            "variables_count": null,
            "device_id": "TIP-HW-HOST-033",
            "properties": {},
            "custom_fields": {},
            "bpf_filter": "ip host 172.30.202.127",
            "device_modules": {},
            "capture_device": "em1"
        }
    ],
항목 보강
보강 필드 이름 로직 - 적용 시기
Nozomi.level null이 아닌 경우
Nozomi.appliance_host null이 아닌 경우
Nozomi.ip null이 아닌 경우
Nozomi.mac_address null이 아닌 경우
Nozomi.vlan_id null이 아닌 경우
Nozomi.os null이 아닌 경우
Nozomi.roles null이 아닌 경우
Nozomi.vendor null이 아닌 경우
Nozomi.firmware_version null이 아닌 경우
Nozomi.serial_number null이 아닌 경우
Nozomi.product_name null이 아닌 경우
Nozomi.type null이 아닌 경우
Nozomi.protocols null이 아닌 경우
Nozomi.device_id null이 아닌 경우
Nozomi.capture_device null이 아닌 경우
Nozomi.is_broadcast null이 아닌 경우
Nozomi.is_public null이 아닌 경우
Nozomi.is_confirmed null이 아닌 경우
Nozomi.is_disabled null이 아닌 경우
Nozomi.is_licensed null이 아닌 경우
케이스 월
결과 유형 값 / 설명 유형
출력 메시지*

작업이 실패하거나 플레이북 실행을 중지하지 않습니다.

  • 성공하고 제공된 항목 중 하나 이상이 보강된 경우: '항목({0})을 보강했습니다.'.format([entity.Identifier])를 출력합니다.
  • 제공된 모든 항목을 보강할 수 없는 경우: '보강된 항목이 없습니다'를 출력합니다.
  • Nozomi 기기에서 데이터를 찾아 특정 항목을 보강할 수 없는 경우: '작업이 Nozomi Guardian 정보를 찾아 다음 항목을 보강할 수 없습니다. {0}'.format([entity.identifier]) 출력
  • 작업에서 일부 Google SecOps 항목에 대해 Nozomi에서 일치하는 항목을 여러 개 찾은 경우 첫 번째 일치 항목을 사용하여 항목을 보강함: print 'Nozomi Guardian에서 일치하는 항목을 여러 개 찾았습니다. 다음 항목의 첫 번째 일치 항목을 사용합니다./n {0}'.format(entity.identifiers list)

작업이 실패하고 플레이북 실행을 중지합니다.

  • 잘못된 사용자 인증 정보, 서버 연결 없음과 같은 치명적인 오류인 경우: '항목 보강 작업을 실행하지 못했습니다. 오류: {0}".format(exception.stacktrace)
 일반

쿼리 실행

설명

Nozomi Networks 기기에서 쿼리를 실행합니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
쿼리 문자열 해당 사항 없음 예 Nozomi Networks 기기에서 실행할 쿼리를 지정합니다(예: alerts | head 10).
레코드 한도 정수 10 아니요 작업에서 반환할 수 있는 레코드 수를 지정하는 데 사용할 수 있습니다. 기본값 10이 설정된 경우 매개변수는 반환된 레코드 수를 제한하기 위해 최종 쿼리에 '| head 10'을 추가합니다. 매개변수에 아무것도 제공되지 않으면 모든 쿼리 결과가 반환됩니다. 음수 값은 무시됩니다.

실행

이 작업은 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션
is_success is_success=False
is_success is_success=True
JSON 결과
{
    "result": [
        {
            "id": "0bee5f36-9b50-4037-8b02-f02f5cd637c3",
            "type_id": "VI:NEW-ARP",
            "name": "New ARP",
            "description": "New ARP packet from node with MAC address 00:50:56:a2:e8:0b and IP address 172.30.202.8",
            "severity": 10,
            "mac_src": "00:50:56:a2:e8:0b",
            "mac_dst": "ff:ff:ff:ff:ff:ff",
            "ip_src": "172.30.202.8",
            "ip_dst": null,
            "risk": "6.0",
            "protocol": "arp",
            "src_roles": "other",
            "dst_roles": "other",
            "time": 1604974955058,
            "ack": false,
            "id_src": "00:50:56:a2:e8:0b",
            "id_dst": "ff:ff:ff:ff:ff:ff",
            "synchronized": false,
            "appliance_id": "",
            "port_src": null,
            "port_dst": null,
            "label_src": null,
            "label_dst": null,
            "trigger_id": null,
            "trigger_type": null,
            "appliance_host": "nozomi-n2os.local",
            "appliance_ip": "172.30.202.226",
            "transport_protocol": "ethernet",
            "is_security": true,
            "note": null,
            "appliance_site": null,
            "parents": [
                "9827b15f-bbdf-483a-b074-8991793f80f3",
                "e76a4060-50f1-47cd-98c4-fb25bfb16433"
            ],
            "is_incident": false,
            "properties": {
                "base_risk": 4,
                "from_id": "00:50:56:a2:e8:0b",
                "is_dst_node_learned": true,
                "is_dst_reputation_bad": false,
                "is_src_node_learned": false,
                "is_src_reputation_bad": false,
                "to_id": "ff:ff:ff:ff:ff:ff"
            },
            "created_time": 1604974955058,
            "incident_keys": [],
            "bpf_filter": "ether host 00:50:56:a2:e8:0b and ether host ff:ff:ff:ff:ff:ff and ether proto 0x0806",
            "closed_time": 0,
            "status": "open",
            "session_id": "154400:50:56:a2:e8:0bff:ff:ff:ff:ff:ff0000175aff64a32",
            "replicated": false,
            "capture_device": "em1",
            "threat_name": "",
            "type_name": "New ARP",
            "sec_profile_visible": true,
            "zone_src": "Layer2",
            "zone_dst": "Layer2"
        },
케이스 월
결과 유형 값/설명 유형
출력 메시지*

작업이 실패하지 않고 플레이북 실행을 중지하지 않아야 합니다.

  • 성공한 경우: '쿼리가 성공적으로 실행되었습니다'를 출력합니다.
  • 결과가 없는 경우: '쿼리가 성공적으로 실행되었지만 결과가 반환되지 않았습니다.'를 출력합니다.
  • if error: print "Query didn't completed due to error: {0}".format(exception.stacktrace).
  • 시간 초과인 경우: '시간 초과로 인해 쿼리가 완료되지 않았습니다 {0}'.format(exception.stacktrace)를 출력합니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.

  • 잘못된 사용자 인증 정보, 서버 연결 없음 등 치명적인 오류인 경우: '쿼리 실행' 작업을 실행하지 못했습니다. 오류: {0}".format(exception.stacktrace)
 일반
표

표 제목: 쿼리 결과

열: 쿼리 결과에 따라 열을 동적으로 생성

 일반

CLI 명령어 실행

설명

Nozomi Networks 기기에서 CLI 명령어를 실행합니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
CLI 명령어 문자열 해당 사항 없음 예 Nozomi Networks 기기에서 실행할 CLI 명령어를 지정합니다. 참고: Nozomi API는 실행된 CLI 명령어에 대한 유효성 검사를 제공하지 않습니다. 제공된 CLI 명령어가 올바른지 확인하는 것은 사용자의 책임입니다.

실행

이 작업은 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션
is_success is_success=False
is_success is_success=True
케이스 월
결과 유형 값 / 설명 유형
출력 메시지*

작업이 실패하지 않고 플레이북 실행을 중지하지 않아야 합니다.

  • 성공한 경우: 'CLI 명령어가 실행됨'을 출력합니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.

  • 잘못된 사용자 인증 정보, 서버 연결 없음 등 치명적인 오류인 경우: '쿼리 실행' 작업을 실행하지 못했습니다. 오류: {0}".format(exception.stacktrace)
 일반

취약점 나열

설명

제공된 작업 입력 매개변수를 기반으로 Nozomi 기기에서 발견된 취약점을 나열합니다.

매개변수

매개변수 표시 이름 유형 기본값 필수 항목 설명
IP 주소 문자열 해당 사항 없음 아니요 제공된 IP 주소의 취약점을 나열합니다. 매개변수에서 쉼표로 구분된 문자열로 여러 값을 허용합니다.
CVE 점수 정수 해당 사항 없음 아니요 최소 CVE 점수 취약점을 나열해야 하며 점수는 0~10 사이의 숫자일 수 있습니다.
취약점 이름에 다음이 포함됨 문자열 해당 사항 없음 아니요 취약점 이름에 포함되어야 목록에 표시되는 문자열을 지정합니다.
CVE ID 문자열 해당 사항 없음 아니요 찾을 특정 CVE를 알고 있다면 이 필드에 관련 ID(예: CVE-2020-1207)를 입력하세요. 매개변수에서 쉼표로 구분된 문자열로 여러 값을 허용합니다.
레코드 한도 정수 25 예 작업에서 반환할 수 있는 레코드 수를 지정하는 데 사용할 수 있습니다.
'해결됨'으로 표시된 취약점을 포함하시겠어요? 체크박스 선택 해제 아니요 작업에서 해결됨으로 표시된 취약점도 반환해야 하는지 여부를 지정합니다.

실행

이 작업은 항목에서 실행되지 않습니다.

작업 결과

스크립트 결과
스크립트 결과 이름 값 옵션
is_success is_success=False
is_success is_success=True
JSON 결과
{
    "result": [
        {
            "id": "cb9054a6-11a6-47ff-9c08-8033e42f9e63",
            "node_id": "172.30.202.71",
            "cve": "CVE-2017-8718",
            "cve_summary": "The Microsoft JET Database Engine in Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8.1 and RT 8.1, Windows Server 2012 and R2, Windows 10 Gold, 1511, 1607, 1703, and Windows Server 2016 allows an attacker to take control of an affected system, due to how it handles objects in memory, aka \"Microsoft JET Database Engine Remote Code Execution Vulnerability\". This CVE ID is unique from CVE-2017-8717.",
            "cve_score": 9.3,
            "cve_creation_time": 1507886940000,
            "cve_update_time": 1508488860000,
            "time": 1598516419115,
            "cwe_id": "119",
            "cwe_name": "Improper Restriction of Operations within the Bounds of a Memory Buffer",
            "matching_cpes": [
                "cpe:/o:microsoft:windows_server_2016:-:-:-"
            ],
            "cve_references": [
                {
                    "name": "101162",
                    "reference_type": "VENDOR_ADVISORY",
                    "source": "BID",
                    "url": "http://www.securityfocus.com/bid/101162"
                },
                {
                    "name": "1039527",
                    "reference_type": "VENDOR_ADVISORY",
                    "source": "SECTRACK",
                    "url": "http://www.securitytracker.com/id/1039527"
                },
                {
                    "name": "https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8718",
                    "reference_type": "VENDOR_ADVISORY",
                    "source": "CONFIRM",
                    "url": "https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8718"
                }
            ],
            "likelihood": 0.4,
            "resolved": false,
            "resolved_reason": "",
            "resolved_source": null,
            "installed_on": null,
            "appliance_id": "",
            "appliance_ip": "",
            "appliance_host": "",
            "zone": "Internal"
        }
    ],
케이스 월
결과 유형 값/설명 유형
출력 메시지*

작업이 실패하지 않고 플레이북 실행을 중지하지 않아야 합니다.

  • 성공한 경우: '검색이 성공적으로 실행되었습니다'를 출력합니다.
  • 결과가 없는 경우: '검색이 성공적으로 실행되었지만 결과가 반환되지 않았습니다.'를 출력합니다.

작업이 실패하고 플레이북 실행을 중지해야 합니다.

  • 잘못된 사용자 인증 정보, 서버 연결 없음 등 치명적인 오류인 경우: '쿼리 실행' 작업을 실행하지 못했습니다. 오류: {0}".format(exception.stacktrace)
 일반
표

표 제목: 발견된 취약점

열:

IP 주소

CVE ID

취약점 이름

취약점 설명

CVE 점수

영역

해결됨

참조

CVE 생성 시간

CVE 업데이트 시간

 일반

커넥터

Nozomi Networks Alerts Connector

설명

Nozomi Networks 알림을 Google SecOps로 가져오는 커넥터

Google SecOps에서 Nozomi Networks Alerts Connector 구성

Google SecOps에서 커넥터를 구성하는 방법에 대한 자세한 내용은 커넥터 구성을 참고하세요.

커넥터 매개변수

다음 매개변수를 사용하여 커넥터를 구성합니다.

매개변수 표시 이름 유형 기본값 필수 항목 설명
제품 필드 이름 문자열 제품 이름 예 제품 필드 이름을 가져오려면 소스 필드 이름을 입력합니다.
이벤트 필드 이름 문자열 작업 예 이벤트 필드 이름을 가져오려면 소스 필드 이름을 입력합니다.
환경 필드 이름 문자열 "" 아니요

환경 이름이 저장된 필드의 이름을 설명합니다.

환경 필드를 찾을 수 없으면 환경이 기본 환경입니다.
환경 정규식 패턴 문자열 .* 아니요

'환경 필드 이름' 필드에 있는 값에서 실행할 정규식 패턴입니다.

기본값은 .*로서 모두 포착하고 변경되지 않은 값을 반환합니다.

사용자가 정규식 로직을 통해 환경 필드를 조작할 수 있도록 허용하는 데 사용됩니다.

정규식 패턴이 null이거나 비어 있거나 환경 값이 null인 경우 최종 환경 결과는 기본 환경입니다.
스크립트 제한 시간(초) 정수 180 예 현재 스크립트를 실행하는 Python 프로세스의 제한 시간 한도입니다.
API URL 문자열 https://x.x.x.x:port 예 연결할 Nozomi API URL
사용자 이름 문자열 해당 사항 없음 예 연결에 사용할 Nozomi 계정 사용자 이름
비밀번호 비밀번호 해당 사항 없음 예 연결에 사용할 Nozomi 계정 비밀번호
SSL 확인 체크박스 선택 해제 아니요 연결 전에 API URL 인증서를 검증해야 하는지 여부를 지정합니다.
CA 인증서 문자열 해당 사항 없음 아니요
가져올 최소 심각도 정수 해당 사항 없음 아니요 최소 심각도 알림을 수집해야 하며 심각도는 0~10 사이의 숫자일 수 있습니다.
'is_security' 속성이 True로 설정된 경보만 수집하시겠어요? 체크박스 선택 해제 아니요 'is_security' 속성이 True로 설정된 알림만 수집할지 지정합니다.
'is_incident' 속성이 True로 설정된 알림만 수집하시겠어요? 체크박스 선택 해제 아니요 'is_incident' 속성이 True로 설정된 알림만 수집할지 지정합니다.
최대 시간을 뒤로 가져오기 정수 8 예 X시간부터 역순으로 알림을 가져옵니다.
뒤로 가져오기 시간 간격 (분) 정수 60 예 최대 시간부터 역순으로 알림을 가져오는 데 시간 간격 커넥터가 사용해야 합니다. Nozomi Device가 대규모 네트워크에 배포된 경우 생성되는 알림 수가 많을 수 있습니다. 따라서 이 매개변수(분 단위)를 사용하여 더 작은 세그먼트에서 최대 시간을 뒤로 분할하고 개별적으로 처리할 수 있습니다. 시간 간격은 최대 시간 뒤로 값보다 클 수 없습니다.
허용 목록을 차단 목록으로 사용 체크박스 선택 해제 예 사용 설정하면 허용 목록이 차단 목록으로 사용됩니다.
프록시 서버 주소 문자열 아니요 사용할 프록시 서버의 주소입니다.
프록시 사용자 이름 문자열 아니요 인증할 프록시 사용자 이름입니다.
프록시 비밀번호 비밀번호 아니요 인증할 프록시 비밀번호입니다.

커넥터 규칙

프록시 지원

커넥터가 프록시를 지원합니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.