Nozomi Networks
Versão da integração: 5.0
Casos de uso
- Enriqueça as informações sobre os recursos.
- Executar consultas na instalação do Nozomi.
- Executar comandos da CLI na instalação do Nozomi.
Configurar a integração da Nozomi Networks no Google Security Operations
Para instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.
Parâmetros de integração
Use os seguintes parâmetros para configurar a integração:
| Nome de exibição do parâmetro | Tipo | Valor padrão | É obrigatório | Descrição |
|---|---|---|---|---|
| URL da API | String | https://x.x.x.x:porta | Sim | URL da API Nozomi para conexão. |
| Nome de usuário | String | N/A | Sim | Nome de usuário da conta do Nozomi a ser usado para a conexão |
| Senha | Senha | N/A | Sim | Senha da conta Nozomi a ser usada para conexão. |
| Verificar SSL | Caixa de seleção | Desmarcado | Não | Especifique se o certificado do URL da API precisa ser validado antes da conexão. |
| Certificado de CA | String | N/A | Não |
Ações
Ping
Descrição
Teste a conectividade com a instância da Nozomi Networks usando os parâmetros fornecidos na página de configuração da integração na guia "Marketplace" do Google Security Operations.
Executar em
Essa ação não é executada em entidades.
Resultados da ação
Resultado do script
| Nome do resultado do script | Opções de valor |
|---|---|
| is_success | is_success=False |
| is_success | is_success=True |
Painel de casos
| Tipo de resultado | Valor / Descrição | Tipo |
|---|---|---|
| Mensagem de saída* | A ação não pode falhar nem interromper a execução de um playbook:
A ação precisa falhar e interromper a execução de um playbook:
|
Geral |
Enriquecer entidades
Descrição
Enriqueça as entidades de host ou IP do Google SecOps com base nas informações do dispositivo da Nozomi Networks.
Parâmetros
| Nome de exibição do parâmetro | Tipo | Valor padrão | É obrigatório | Descrição |
|---|---|---|---|---|
| Outros campos a serem adicionados ao enriquecimento | String | N/A | Não | Lista separada por vírgulas de campos que precisam ser extraídos da consulta de nós para adicionar aos campos usados para enriquecimento por padrão. |
Executar em
Essa ação é executada nas seguintes entidades:
- Endereço IP
- Host
Resultados da ação
Resultado do script
| Nome do resultado do script | Opções de valor |
|---|---|
| is_success | is_success=False |
| is_success | is_success=True |
Resultado do JSON
{
"result": [
{
"appliance_host": "nozomi-n2os.local",
"label": "DESKTOP-8P0TH6Q.local",
"id": "172.30.202.127",
"_asset_kb_id": null,
"ip": "172.30.202.127",
"mac_address": "00:50:56:a2:51:88",
"mac_address:info": {
"source": "",
"likelihood": 0,
"likelihood_level": "unconfirmed"
},
"mac_vendor": "VMware, Inc.",
"_private_status": "no",
"subnet": "172.30.202.0/24",
"vlan_id": null,
"vlan_id:info": {
"source": "passive"
},
"zone": "Internal",
"level": "5",
"type": "computer",
"type:info": {
"source": "passive"
},
"os": "Windows 10 / Server 2016",
"vendor": null,
"vendor:info": {
"source": "passive"
},
"product_name": null,
"product_name:info": {
"source": "passive"
},
"firmware_version": null,
"firmware_version:info": {
"source": "passive"
},
"serial_number": null,
"serial_number:info": {
"source": "passive"
},
"is_broadcast": false,
"is_public": false,
"reputation": null,
"is_confirmed": true,
"is_learned": true,
"is_fully_learned": true,
"is_disabled": false,
"_is_licensed": true,
"roles": [
"other"
],
"links": [
{
"id": "224.0.0.252",
"protos": [
{
"name": "llmnr",
"last_activity": "1602495882225"
}
]
},
{
"id": "172.30.202.255",
"protos": [
{
"name": "browser",
"last_activity": "1605052230602"
},
{
"name": "netbios-ns",
"last_activity": "1604654773056"
}
]
},
{
"id": "224.0.0.251",
"protos": [
{
"name": "mdns",
"last_activity": "1602636321803"
}
]
},
{
"id": "239.255.255.250",
"protos": [
{
"name": "ssdp",
"last_activity": "1600331209918"
}
]
}
],
"links_count": "5",
"protocols": [
"browser",
"llmnr",
"mdns",
"netbios-ns",
"ssdp"
],
"created_at": "1595315728295",
"first_activity_time": "1595315728295",
"last_activity_time": "1605052230602",
"received.packets": "0",
"received.bytes": "0",
"received.last_5m_bytes": "0",
"received.last_15m_bytes": "0",
"received.last_30m_bytes": "0",
"sent.packets": "5088",
"sent.bytes": "1031179",
"sent.last_5m_bytes": "0",
"sent.last_15m_bytes": "0",
"sent.last_30m_bytes": "0",
"tcp_retransmission.percent": 0,
"tcp_retransmission.packets": "0",
"tcp_retransmission.bytes": "0",
"tcp_retransmission.last_5m_bytes": "0",
"tcp_retransmission.last_15m_bytes": "0",
"tcp_retransmission.last_30m_bytes": "0",
"variables_count": null,
"device_id": "TIP-HW-HOST-033",
"properties": {},
"custom_fields": {},
"bpf_filter": "ip host 172.30.202.127",
"device_modules": {},
"capture_device": "em1"
}
],
Enriquecimento de entidades
| Nome do campo de enriquecimento | Lógica: quando aplicar |
|---|---|
| Nozomi.level | Quando não é nulo |
| Nozomi.appliance_host | Quando não é nulo |
| Nozomi.ip | Quando não é nulo |
| Nozomi.mac_address | Quando não é nulo |
| Nozomi.vlan_id | Quando não é nulo |
| Nozomi.os | Quando não é nulo |
| Nozomi.roles | Quando não é nulo |
| Nozomi.vendor | Quando não é nulo |
| Nozomi.firmware_version | Quando não é nulo |
| Nozomi.serial_number | Quando não é nulo |
| Nozomi.product_name | Quando não é nulo |
| Nozomi.type | Quando não é nulo |
| Nozomi.protocols | Quando não é nulo |
| Nozomi.device_id | Quando não é nulo |
| Nozomi.capture_device | Quando não é nulo |
| Nozomi.is_broadcast | Quando não é nulo |
| Nozomi.is_public | Quando não é nulo |
| Nozomi.is_confirmed | Quando não é nulo |
| Nozomi.is_disabled | Quando não é nulo |
| Nozomi.is_licensed | Quando não é nulo |
Painel de casos
| Tipo de resultado | Valor / Descrição | Tipo |
|---|---|---|
| Mensagem de saída* | A ação não pode falhar nem interromper a execução de um playbook:
A ação precisa falhar e interromper a execução de um playbook:
|
Geral |
Executar uma consulta
Descrição
Executar uma consulta no dispositivo da Nozomi Networks.
Parâmetros
| Nome de exibição do parâmetro | Tipo | Valor padrão | É obrigatório | Descrição |
|---|---|---|---|---|
| Consulta | String | N/A | Sim | Especifique uma consulta para executar no dispositivo da Nozomi Networks, por exemplo: alerts | head 10. |
| Limite de registros | Número inteiro | 10 | Não | Pode ser usado para especificar quantos registros podem ser retornados pela ação. Se o valor padrão de 10 estiver definido, o parâmetro vai adicionar "| head 10" à consulta final para limitar o número de registros retornados. Se nada for fornecido para o parâmetro, todos os resultados da consulta serão retornados. Valores negativos são ignorados. |
Executar em
Essa ação não é executada em entidades.
Resultados da ação
Resultado do script
| Nome do resultado do script | Opções de valor |
|---|---|
| is_success | is_success=False |
| is_success | is_success=True |
Resultado do JSON
{
"result": [
{
"id": "0bee5f36-9b50-4037-8b02-f02f5cd637c3",
"type_id": "VI:NEW-ARP",
"name": "New ARP",
"description": "New ARP packet from node with MAC address 00:50:56:a2:e8:0b and IP address 172.30.202.8",
"severity": 10,
"mac_src": "00:50:56:a2:e8:0b",
"mac_dst": "ff:ff:ff:ff:ff:ff",
"ip_src": "172.30.202.8",
"ip_dst": null,
"risk": "6.0",
"protocol": "arp",
"src_roles": "other",
"dst_roles": "other",
"time": 1604974955058,
"ack": false,
"id_src": "00:50:56:a2:e8:0b",
"id_dst": "ff:ff:ff:ff:ff:ff",
"synchronized": false,
"appliance_id": "",
"port_src": null,
"port_dst": null,
"label_src": null,
"label_dst": null,
"trigger_id": null,
"trigger_type": null,
"appliance_host": "nozomi-n2os.local",
"appliance_ip": "172.30.202.226",
"transport_protocol": "ethernet",
"is_security": true,
"note": null,
"appliance_site": null,
"parents": [
"9827b15f-bbdf-483a-b074-8991793f80f3",
"e76a4060-50f1-47cd-98c4-fb25bfb16433"
],
"is_incident": false,
"properties": {
"base_risk": 4,
"from_id": "00:50:56:a2:e8:0b",
"is_dst_node_learned": true,
"is_dst_reputation_bad": false,
"is_src_node_learned": false,
"is_src_reputation_bad": false,
"to_id": "ff:ff:ff:ff:ff:ff"
},
"created_time": 1604974955058,
"incident_keys": [],
"bpf_filter": "ether host 00:50:56:a2:e8:0b and ether host ff:ff:ff:ff:ff:ff and ether proto 0x0806",
"closed_time": 0,
"status": "open",
"session_id": "154400:50:56:a2:e8:0bff:ff:ff:ff:ff:ff0000175aff64a32",
"replicated": false,
"capture_device": "em1",
"threat_name": "",
"type_name": "New ARP",
"sec_profile_visible": true,
"zone_src": "Layer2",
"zone_dst": "Layer2"
},
Painel de casos
| Tipo de resultado | Valor/descrição | Tipo |
|---|---|---|
| Mensagem de saída* | A ação não pode falhar nem interromper a execução do playbook:
A ação deve falhar e interromper a execução do playbook:
|
Geral |
| Tabela | Título da tabela:Resultados da consulta Colunas:gere colunas de forma dinâmica com base no resultado da consulta. |
Geral |
Executar um comando da CLI
Descrição
Execute um comando da CLI no dispositivo da Nozomi Networks.
Parâmetros
| Nome de exibição do parâmetro | Tipo | Valor padrão | É obrigatório | Descrição |
|---|---|---|---|---|
| Comando da CLI | String | N/A | Sim | Especifique um comando da CLI para executar no dispositivo da Nozomi Networks. Observação: a API Nozomi não oferece validação para comandos da CLI executados. É responsabilidade do usuário garantir que o comando da CLI fornecido esteja correto. |
Executar em
Essa ação não é executada em entidades.
Resultados da ação
Resultado do script
| Nome do resultado do script | Opções de valor |
|---|---|
| is_success | is_success=False |
| is_success | is_success=True |
Painel de casos
| Tipo de resultado | Valor / Descrição | Tipo |
|---|---|---|
| Mensagem de saída* | A ação não pode falhar nem interromper a execução do playbook:
A ação deve falhar e interromper a execução do playbook:
|
Geral |
Listar vulnerabilidades
Descrição
Lista as vulnerabilidades descobertas pelo dispositivo Nozomi com base nos parâmetros de entrada de ação fornecidos.
Parâmetros
| Nome de exibição do parâmetro | Tipo | Valor padrão | É obrigatório | Descrição |
|---|---|---|---|---|
| Endereço IP | String | N/A | Não | Lista as vulnerabilidades do endereço IP fornecido. O parâmetro aceita vários valores como uma string separada por vírgulas. |
| Pontuação de CVE | Número inteiro | N/A | Não | A vulnerabilidade de pontuação mínima de CVE precisa ser listada. A pontuação pode ser um número de 0 a 10. |
| O nome da vulnerabilidade contém | String | N/A | Não | Especifique uma string que o nome da vulnerabilidade precisa conter para ser listada. |
| ID da CVE | String | N/A | Não | Se você souber um CVE específico para procurar, forneça o ID relacionado neste campo, por exemplo, CVE-2020-1207. O parâmetro aceita vários valores como uma string separada por vírgulas. |
| Limite de registros | Número inteiro | 25 | Sim | Pode ser usado para especificar quantos registros podem ser retornados pela ação. |
| Incluir vulnerabilidades marcadas como resolvidas? | Caixa de seleção | Desmarcado | Não | Especifica se a ação também precisa retornar vulnerabilidades marcadas como resolvidas. |
Executar em
Essa ação não é executada em entidades.
Resultados da ação
Resultado do script
| Nome do resultado do script | Opções de valor |
|---|---|
| is_success | is_success=False |
| is_success | is_success=True |
Resultado do JSON
{
"result": [
{
"id": "cb9054a6-11a6-47ff-9c08-8033e42f9e63",
"node_id": "172.30.202.71",
"cve": "CVE-2017-8718",
"cve_summary": "The Microsoft JET Database Engine in Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8.1 and RT 8.1, Windows Server 2012 and R2, Windows 10 Gold, 1511, 1607, 1703, and Windows Server 2016 allows an attacker to take control of an affected system, due to how it handles objects in memory, aka \"Microsoft JET Database Engine Remote Code Execution Vulnerability\". This CVE ID is unique from CVE-2017-8717.",
"cve_score": 9.3,
"cve_creation_time": 1507886940000,
"cve_update_time": 1508488860000,
"time": 1598516419115,
"cwe_id": "119",
"cwe_name": "Improper Restriction of Operations within the Bounds of a Memory Buffer",
"matching_cpes": [
"cpe:/o:microsoft:windows_server_2016:-:-:-"
],
"cve_references": [
{
"name": "101162",
"reference_type": "VENDOR_ADVISORY",
"source": "BID",
"url": "http://www.securityfocus.com/bid/101162"
},
{
"name": "1039527",
"reference_type": "VENDOR_ADVISORY",
"source": "SECTRACK",
"url": "http://www.securitytracker.com/id/1039527"
},
{
"name": "https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8718",
"reference_type": "VENDOR_ADVISORY",
"source": "CONFIRM",
"url": "https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8718"
}
],
"likelihood": 0.4,
"resolved": false,
"resolved_reason": "",
"resolved_source": null,
"installed_on": null,
"appliance_id": "",
"appliance_ip": "",
"appliance_host": "",
"zone": "Internal"
}
],
Painel de casos
| Tipo de resultado | Valor/descrição | Tipo |
|---|---|---|
| Mensagem de saída* | A ação não pode falhar nem interromper a execução do playbook:
A ação deve falhar e interromper a execução do playbook:
|
Geral |
| Tabela | Título da tabela:Vulnerabilidades encontradas Colunas: Endereço IP ID da CVE Nome da vulnerabilidade Descrição da vulnerabilidade Pontuação de CVE Zona Resolvido Referências Horário de criação da CVE Horário da atualização do CVE |
Geral |
Conector
Conector de alertas da Nozomi Networks
Descrição
Conector para buscar alertas da Nozomi Networks no Google SecOps.
Configurar o conector de alertas da Nozomi Networks no Google SecOps
Para instruções detalhadas sobre como configurar um conector no Google SecOps, consulte Configurar o conector.
Parâmetros do conector
Use os seguintes parâmetros para configurar o conector:
| Nome de exibição do parâmetro | Tipo | Valor padrão | É obrigatório | Descrição |
|---|---|---|---|---|
| Nome do campo do produto | String | Nome do produto | Sim | Insira o nome do campo de origem para recuperar o nome do campo do produto. |
| Nome do campo do evento | String | Operação | Sim | Insira o nome do campo de origem para recuperar o nome do campo de evento. |
| Nome do campo de ambiente | String | "" | Não | Descreve o nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente não for encontrado, o ambiente será o padrão. |
| Padrão de regex do ambiente | String | .* | Não | Um padrão de regex a ser executado no valor encontrado no campo "Nome do campo de ambiente". O padrão é ".*" para capturar tudo e retornar o valor sem alterações. Usado para permitir que o usuário manipule o campo de ambiente usando a lógica de regex. Se o padrão de regex for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão. |
| Tempo limite do script (segundos) | Número inteiro | 180 | Sim | Limite de tempo limite para o processo Python que executa o script atual. |
| URL da API | String | https://x.x.x.x:porta | Sim | URL da API Nozomi para conexão. |
| Nome de usuário | String | N/A | Sim | Nome de usuário da conta do Nozomi a ser usado para a conexão |
| Senha | Senha | N/A | Sim | Senha da conta Nozomi a ser usada para conexão. |
| Verificar SSL | Caixa de seleção | Desmarcado | Não | Especifique se o certificado do URL da API precisa ser validado antes da conexão. |
| Certificado de CA | String | N/A | Não | |
| Gravidade mínima para buscar | integer | N/A | Não | Um alerta de gravidade mínima precisa ser ingerido. A gravidade pode ser um número de 0 a 10. |
| Ingerir apenas alertas com o atributo "is_security" definido como "True"? | Caixa de seleção | Desmarcado | Não | Especifique se apenas os alertas com o atributo "is_security" definido como "True" devem ser ingeridos. |
| Ingerir apenas alertas com o atributo "is_incident" definido como "True"? | Caixa de seleção | Desmarcado | Não | Especifique se apenas os alertas com o atributo "is_incident" definido como "True" devem ser ingeridos. |
| Voltar o tempo máximo | Número inteiro | 8 | Sim | Buscar alertas das últimas X horas. |
| Buscar intervalo de tempo para trás (minutos) | Número inteiro | 60 | Sim | Intervalo de tempo que o conector deve usar para buscar alertas das últimas horas. Se o Nozomi Device for implantado em uma rede grande, o número de alertas gerados poderá ser substancial. Por isso, esse parâmetro em minutos pode ser usado para dividir as horas máximas em segmentos menores e processá-los individualmente. O intervalo de tempo não pode ser maior que o valor máximo de horas anteriores. |
| Usar a lista de permissões como uma lista de proibições | Caixa de seleção | Desmarcado | Sim | Se ativada, a lista de permissões será usada como uma lista de bloqueios. |
| Endereço do servidor proxy | String | Não | O endereço do servidor proxy a ser usado. | |
| Nome de usuário do proxy | String | Não | O nome de usuário do proxy para autenticação. | |
| Senha do proxy | Senha | Não | A senha do proxy para autenticação. |
Regras de conector
Suporte a proxy
O conector é compatível com proxy.
Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.