Nozomi Networks

Versão da integração: 5.0

Casos de uso

  • Enriqueça as informações sobre os recursos.
  • Executar consultas na instalação do Nozomi.
  • Executar comandos da CLI na instalação do Nozomi.

Configurar a integração da Nozomi Networks no Google Security Operations

Para instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
URL da API String https://x.x.x.x:porta Sim URL da API Nozomi para conexão.
Nome de usuário String N/A Sim Nome de usuário da conta do Nozomi a ser usado para a conexão
Senha Senha N/A Sim Senha da conta Nozomi a ser usada para conexão.
Verificar SSL Caixa de seleção Desmarcado Não Especifique se o certificado do URL da API precisa ser validado antes da conexão.
Certificado de CA String N/A Não

Ações

Ping

Descrição

Teste a conectividade com a instância da Nozomi Networks usando os parâmetros fornecidos na página de configuração da integração na guia "Marketplace" do Google Security Operations.

Executar em

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

  • if successful: print "Successfully connected to the Nozomi Networks instance with the provided connection parameters!"

A ação precisa falhar e interromper a execução de um playbook:

  • Se houver um erro crítico, como credenciais erradas ou perda de conectividade: imprima "Falha ao se conectar à instância da Nozomi Networks! O erro é {0}".format(exception.stacktrace)
Geral

Enriquecer entidades

Descrição

Enriqueça as entidades de host ou IP do Google SecOps com base nas informações do dispositivo da Nozomi Networks.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Outros campos a serem adicionados ao enriquecimento String N/A Não Lista separada por vírgulas de campos que precisam ser extraídos da consulta de nós para adicionar aos campos usados para enriquecimento por padrão.

Executar em

Essa ação é executada nas seguintes entidades:

  • Endereço IP
  • Host

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
{
    "result": [
        {
            "appliance_host": "nozomi-n2os.local",
            "label": "DESKTOP-8P0TH6Q.local",
            "id": "172.30.202.127",
            "_asset_kb_id": null,
            "ip": "172.30.202.127",
            "mac_address": "00:50:56:a2:51:88",
            "mac_address:info": {
                "source": "",
                "likelihood": 0,
                "likelihood_level": "unconfirmed"
            },
            "mac_vendor": "VMware, Inc.",
            "_private_status": "no",
            "subnet": "172.30.202.0/24",
            "vlan_id": null,
            "vlan_id:info": {
                "source": "passive"
            },
            "zone": "Internal",
            "level": "5",
            "type": "computer",
            "type:info": {
                "source": "passive"
            },
            "os": "Windows 10 / Server 2016",
            "vendor": null,
            "vendor:info": {
                "source": "passive"
            },
            "product_name": null,
            "product_name:info": {
                "source": "passive"
            },
            "firmware_version": null,
            "firmware_version:info": {
                "source": "passive"
            },
            "serial_number": null,
            "serial_number:info": {
                "source": "passive"
            },
            "is_broadcast": false,
            "is_public": false,
            "reputation": null,
            "is_confirmed": true,
            "is_learned": true,
            "is_fully_learned": true,
            "is_disabled": false,
            "_is_licensed": true,
            "roles": [
                "other"
            ],
            "links": [
                {
                    "id": "224.0.0.252",
                    "protos": [
                        {
                            "name": "llmnr",
                            "last_activity": "1602495882225"
                        }
                    ]
                },
                {
                    "id": "172.30.202.255",
                    "protos": [
                        {
                            "name": "browser",
                            "last_activity": "1605052230602"
                        },
                        {
                            "name": "netbios-ns",
                            "last_activity": "1604654773056"
                        }
                    ]
                },
                {
                    "id": "224.0.0.251",
                    "protos": [
                        {
                            "name": "mdns",
                            "last_activity": "1602636321803"
                        }
                    ]
                },
                {
                    "id": "239.255.255.250",
                    "protos": [
                        {
                            "name": "ssdp",
                            "last_activity": "1600331209918"
                        }
                    ]
                }
            ],
            "links_count": "5",
            "protocols": [
                "browser",
                "llmnr",
                "mdns",
                "netbios-ns",
                "ssdp"
            ],
            "created_at": "1595315728295",
            "first_activity_time": "1595315728295",
            "last_activity_time": "1605052230602",
            "received.packets": "0",
            "received.bytes": "0",
            "received.last_5m_bytes": "0",
            "received.last_15m_bytes": "0",
            "received.last_30m_bytes": "0",
            "sent.packets": "5088",
            "sent.bytes": "1031179",
            "sent.last_5m_bytes": "0",
            "sent.last_15m_bytes": "0",
            "sent.last_30m_bytes": "0",
            "tcp_retransmission.percent": 0,
            "tcp_retransmission.packets": "0",
            "tcp_retransmission.bytes": "0",
            "tcp_retransmission.last_5m_bytes": "0",
            "tcp_retransmission.last_15m_bytes": "0",
            "tcp_retransmission.last_30m_bytes": "0",
            "variables_count": null,
            "device_id": "TIP-HW-HOST-033",
            "properties": {},
            "custom_fields": {},
            "bpf_filter": "ip host 172.30.202.127",
            "device_modules": {},
            "capture_device": "em1"
        }
    ],
Enriquecimento de entidades
Nome do campo de enriquecimento Lógica: quando aplicar
Nozomi.level Quando não é nulo
Nozomi.appliance_host Quando não é nulo
Nozomi.ip Quando não é nulo
Nozomi.mac_address Quando não é nulo
Nozomi.vlan_id Quando não é nulo
Nozomi.os Quando não é nulo
Nozomi.roles Quando não é nulo
Nozomi.vendor Quando não é nulo
Nozomi.firmware_version Quando não é nulo
Nozomi.serial_number Quando não é nulo
Nozomi.product_name Quando não é nulo
Nozomi.type Quando não é nulo
Nozomi.protocols Quando não é nulo
Nozomi.device_id Quando não é nulo
Nozomi.capture_device Quando não é nulo
Nozomi.is_broadcast Quando não é nulo
Nozomi.is_public Quando não é nulo
Nozomi.is_confirmed Quando não é nulo
Nozomi.is_disabled Quando não é nulo
Nozomi.is_licensed Quando não é nulo
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução de um playbook:

  • Se a operação for bem-sucedida e pelo menos uma das entidades fornecidas for enriquecida:imprima "Entidades enriquecidas: {0}".format([entity.Identifier]).
  • Se não for possível enriquecer todas as entidades fornecidas:imprima "Nenhuma entidade foi enriquecida".
  • Se não for possível encontrar dados no dispositivo Nozomi para enriquecer entidades específicas:imprima "Não foi possível encontrar informações do Nozomi Guardian para enriquecer as seguintes entidades: {0}".format([entity.identifier])
  • Se a ação encontrou várias correspondências no Nozomi para algumas entidades do Google SecOps, a primeira correspondência foi usada para enriquecer as entidades:print "Várias correspondências foram encontradas no Nozomi Guardian. A primeira correspondência será usada para as seguintes entidades:/n {0}".format(entity.identifiers list)

A ação precisa falhar e interromper a execução de um playbook:

  • Se houver um erro fatal, como credenciais incorretas, sem conexão com o servidor, outro: imprima "Falha ao executar a ação "Enriquecer entidades"! O erro é {0}".format(exception.stacktrace)
Geral

Executar uma consulta

Descrição

Executar uma consulta no dispositivo da Nozomi Networks.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Consulta String N/A Sim Especifique uma consulta para executar no dispositivo da Nozomi Networks, por exemplo: alerts | head 10.
Limite de registros Número inteiro 10 Não Pode ser usado para especificar quantos registros podem ser retornados pela ação. Se o valor padrão de 10 estiver definido, o parâmetro vai adicionar "| head 10" à consulta final para limitar o número de registros retornados. Se nada for fornecido para o parâmetro, todos os resultados da consulta serão retornados. Valores negativos são ignorados.

Executar em

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
{
    "result": [
        {
            "id": "0bee5f36-9b50-4037-8b02-f02f5cd637c3",
            "type_id": "VI:NEW-ARP",
            "name": "New ARP",
            "description": "New ARP packet from node with MAC address 00:50:56:a2:e8:0b and IP address 172.30.202.8",
            "severity": 10,
            "mac_src": "00:50:56:a2:e8:0b",
            "mac_dst": "ff:ff:ff:ff:ff:ff",
            "ip_src": "172.30.202.8",
            "ip_dst": null,
            "risk": "6.0",
            "protocol": "arp",
            "src_roles": "other",
            "dst_roles": "other",
            "time": 1604974955058,
            "ack": false,
            "id_src": "00:50:56:a2:e8:0b",
            "id_dst": "ff:ff:ff:ff:ff:ff",
            "synchronized": false,
            "appliance_id": "",
            "port_src": null,
            "port_dst": null,
            "label_src": null,
            "label_dst": null,
            "trigger_id": null,
            "trigger_type": null,
            "appliance_host": "nozomi-n2os.local",
            "appliance_ip": "172.30.202.226",
            "transport_protocol": "ethernet",
            "is_security": true,
            "note": null,
            "appliance_site": null,
            "parents": [
                "9827b15f-bbdf-483a-b074-8991793f80f3",
                "e76a4060-50f1-47cd-98c4-fb25bfb16433"
            ],
            "is_incident": false,
            "properties": {
                "base_risk": 4,
                "from_id": "00:50:56:a2:e8:0b",
                "is_dst_node_learned": true,
                "is_dst_reputation_bad": false,
                "is_src_node_learned": false,
                "is_src_reputation_bad": false,
                "to_id": "ff:ff:ff:ff:ff:ff"
            },
            "created_time": 1604974955058,
            "incident_keys": [],
            "bpf_filter": "ether host 00:50:56:a2:e8:0b and ether host ff:ff:ff:ff:ff:ff and ether proto 0x0806",
            "closed_time": 0,
            "status": "open",
            "session_id": "154400:50:56:a2:e8:0bff:ff:ff:ff:ff:ff0000175aff64a32",
            "replicated": false,
            "capture_device": "em1",
            "threat_name": "",
            "type_name": "New ARP",
            "sec_profile_visible": true,
            "zone_src": "Layer2",
            "zone_dst": "Layer2"
        },
Painel de casos
Tipo de resultado Valor/descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução do playbook:

  • if successful: print "Query executed successfully".
  • Se nada for encontrado:imprima "A consulta foi executada com sucesso, mas não retornou nenhum resultado".
  • if error: print "Query didn't completed due to error: {0}".format(exception.stacktrace).
  • If timeout: print "Query didn't completed due to timeout {0}".format(exception.stacktrace).

A ação deve falhar e interromper a execução do playbook:

  • Se houver um erro fatal, como credenciais incorretas, nenhuma conexão com o servidor, entre outros: imprima "Falha ao executar a ação "Executar uma consulta"! O erro é {0}".format(exception.stacktrace)
Geral
Tabela

Título da tabela:Resultados da consulta

Colunas:gere colunas de forma dinâmica com base no resultado da consulta.

Geral

Executar um comando da CLI

Descrição

Execute um comando da CLI no dispositivo da Nozomi Networks.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Comando da CLI String N/A Sim Especifique um comando da CLI para executar no dispositivo da Nozomi Networks. Observação: a API Nozomi não oferece validação para comandos da CLI executados. É responsabilidade do usuário garantir que o comando da CLI fornecido esteja correto.

Executar em

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Painel de casos
Tipo de resultado Valor / Descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução do playbook:

  • Se a operação for bem-sucedida:imprima "CLI Command executed".

A ação deve falhar e interromper a execução do playbook:

  • Se houver um erro fatal, como credenciais incorretas, nenhuma conexão com o servidor, entre outros: imprima "Falha ao executar a ação "Executar uma consulta"! O erro é {0}".format(exception.stacktrace)
Geral

Listar vulnerabilidades

Descrição

Lista as vulnerabilidades descobertas pelo dispositivo Nozomi com base nos parâmetros de entrada de ação fornecidos.

Parâmetros

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Endereço IP String N/A Não Lista as vulnerabilidades do endereço IP fornecido. O parâmetro aceita vários valores como uma string separada por vírgulas.
Pontuação de CVE Número inteiro N/A Não A vulnerabilidade de pontuação mínima de CVE precisa ser listada. A pontuação pode ser um número de 0 a 10.
O nome da vulnerabilidade contém String N/A Não Especifique uma string que o nome da vulnerabilidade precisa conter para ser listada.
ID da CVE String N/A Não Se você souber um CVE específico para procurar, forneça o ID relacionado neste campo, por exemplo, CVE-2020-1207. O parâmetro aceita vários valores como uma string separada por vírgulas.
Limite de registros Número inteiro 25 Sim Pode ser usado para especificar quantos registros podem ser retornados pela ação.
Incluir vulnerabilidades marcadas como resolvidas? Caixa de seleção Desmarcado Não Especifica se a ação também precisa retornar vulnerabilidades marcadas como resolvidas.

Executar em

Essa ação não é executada em entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valor
is_success is_success=False
is_success is_success=True
Resultado do JSON
{
    "result": [
        {
            "id": "cb9054a6-11a6-47ff-9c08-8033e42f9e63",
            "node_id": "172.30.202.71",
            "cve": "CVE-2017-8718",
            "cve_summary": "The Microsoft JET Database Engine in Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8.1 and RT 8.1, Windows Server 2012 and R2, Windows 10 Gold, 1511, 1607, 1703, and Windows Server 2016 allows an attacker to take control of an affected system, due to how it handles objects in memory, aka \"Microsoft JET Database Engine Remote Code Execution Vulnerability\". This CVE ID is unique from CVE-2017-8717.",
            "cve_score": 9.3,
            "cve_creation_time": 1507886940000,
            "cve_update_time": 1508488860000,
            "time": 1598516419115,
            "cwe_id": "119",
            "cwe_name": "Improper Restriction of Operations within the Bounds of a Memory Buffer",
            "matching_cpes": [
                "cpe:/o:microsoft:windows_server_2016:-:-:-"
            ],
            "cve_references": [
                {
                    "name": "101162",
                    "reference_type": "VENDOR_ADVISORY",
                    "source": "BID",
                    "url": "http://www.securityfocus.com/bid/101162"
                },
                {
                    "name": "1039527",
                    "reference_type": "VENDOR_ADVISORY",
                    "source": "SECTRACK",
                    "url": "http://www.securitytracker.com/id/1039527"
                },
                {
                    "name": "https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8718",
                    "reference_type": "VENDOR_ADVISORY",
                    "source": "CONFIRM",
                    "url": "https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8718"
                }
            ],
            "likelihood": 0.4,
            "resolved": false,
            "resolved_reason": "",
            "resolved_source": null,
            "installed_on": null,
            "appliance_id": "",
            "appliance_ip": "",
            "appliance_host": "",
            "zone": "Internal"
        }
    ],
Painel de casos
Tipo de resultado Valor/descrição Tipo
Mensagem de saída*

A ação não pode falhar nem interromper a execução do playbook:

  • if successful: print "Search executed successfully".
  • se nada for encontrado:imprima "A pesquisa foi executada com sucesso, mas não retornou nenhum resultado".

A ação deve falhar e interromper a execução do playbook:

  • Se houver um erro fatal, como credenciais incorretas, nenhuma conexão com o servidor, entre outros: imprima "Falha ao executar a ação "Executar uma consulta"! O erro é {0}".format(exception.stacktrace)
Geral
Tabela

Título da tabela:Vulnerabilidades encontradas

Colunas:

Endereço IP

ID da CVE

Nome da vulnerabilidade

Descrição da vulnerabilidade

Pontuação de CVE

Zona

Resolvido

Referências

Horário de criação da CVE

Horário da atualização do CVE

Geral

Conector

Conector de alertas da Nozomi Networks

Descrição

Conector para buscar alertas da Nozomi Networks no Google SecOps.

Configurar o conector de alertas da Nozomi Networks no Google SecOps

Para instruções detalhadas sobre como configurar um conector no Google SecOps, consulte Configurar o conector.

Parâmetros do conector

Use os seguintes parâmetros para configurar o conector:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do campo do produto String Nome do produto Sim Insira o nome do campo de origem para recuperar o nome do campo do produto.
Nome do campo do evento String Operação Sim Insira o nome do campo de origem para recuperar o nome do campo de evento.
Nome do campo de ambiente String "" Não

Descreve o nome do campo em que o nome do ambiente é armazenado.

Se o campo de ambiente não for encontrado, o ambiente será o padrão.

Padrão de regex do ambiente String .* Não

Um padrão de regex a ser executado no valor encontrado no campo "Nome do campo de ambiente".

O padrão é ".*" para capturar tudo e retornar o valor sem alterações.

Usado para permitir que o usuário manipule o campo de ambiente usando a lógica de regex.

Se o padrão de regex for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.

Tempo limite do script (segundos) Número inteiro 180 Sim Limite de tempo limite para o processo Python que executa o script atual.
URL da API String https://x.x.x.x:porta Sim URL da API Nozomi para conexão.
Nome de usuário String N/A Sim Nome de usuário da conta do Nozomi a ser usado para a conexão
Senha Senha N/A Sim Senha da conta Nozomi a ser usada para conexão.
Verificar SSL Caixa de seleção Desmarcado Não Especifique se o certificado do URL da API precisa ser validado antes da conexão.
Certificado de CA String N/A Não
Gravidade mínima para buscar integer N/A Não Um alerta de gravidade mínima precisa ser ingerido. A gravidade pode ser um número de 0 a 10.
Ingerir apenas alertas com o atributo "is_security" definido como "True"? Caixa de seleção Desmarcado Não Especifique se apenas os alertas com o atributo "is_security" definido como "True" devem ser ingeridos.
Ingerir apenas alertas com o atributo "is_incident" definido como "True"? Caixa de seleção Desmarcado Não Especifique se apenas os alertas com o atributo "is_incident" definido como "True" devem ser ingeridos.
Voltar o tempo máximo Número inteiro 8 Sim Buscar alertas das últimas X horas.
Buscar intervalo de tempo para trás (minutos) Número inteiro 60 Sim Intervalo de tempo que o conector deve usar para buscar alertas das últimas horas. Se o Nozomi Device for implantado em uma rede grande, o número de alertas gerados poderá ser substancial. Por isso, esse parâmetro em minutos pode ser usado para dividir as horas máximas em segmentos menores e processá-los individualmente. O intervalo de tempo não pode ser maior que o valor máximo de horas anteriores.
Usar a lista de permissões como uma lista de proibições Caixa de seleção Desmarcado Sim Se ativada, a lista de permissões será usada como uma lista de bloqueios.
Endereço do servidor proxy String Não O endereço do servidor proxy a ser usado.
Nome de usuário do proxy String Não O nome de usuário do proxy para autenticação.
Senha do proxy Senha Não A senha do proxy para autenticação.

Regras de conector

Suporte a proxy

O conector é compatível com proxy.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.