ObserveIT
In diesem Dokument wird beschrieben, wie Sie ObserveIT in Google SecOps einbinden.
Anwendungsbereiche
ObserveIT-Warnungen aufnehmen und zum Erstellen von Google Security Operations-Warnungen verwenden Als Nächstes können in Google SecOps Benachrichtigungen verwendet werden, um Orchestrierungen mit Playbooks oder manuellen Analysen durchzuführen.
Client-ID und Clientschlüssel generieren
- Rufen Sie https://
: /v2/apps/portal/home.html?#creds. - Klicken Sie auf den Button „+ App erstellen“.
Geben Sie den Parameter „Application Name“ ein.
Tippe auf „Speichern“.
Sie finden eine neue ObserveIT-Anwendung. Wenn Sie darauf drücken, wird dieses Fenster angezeigt.
Kopieren Sie die „Client-ID“ und den „Clientschlüssel“.
Verwenden Sie diese Werte in der Integrationskonfiguration.
ObserveIT-Integration in Google SecOps konfigurieren
Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.
Integrationsparameter
Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:
| Anzeigename des Parameters | Typ | Standardwert | Ist obligatorisch | Beschreibung |
|---|---|---|---|---|
| API-Stamm | String | https://<address>:<port> | Ja | ObserveIT API-Stamm. |
| Client-ID | String | – | Ja | Client-ID der ObserveIT-Anwendung. |
| Clientschlüssel | Passwort | – | Ja | Clientschlüssel der ObserveIT-Anwendung. |
| Use SSL (SSL verwenden) | Kästchen | Aktiviert | Ja | Option zum Aktivieren der SSL/TLS-Verbindung |
Aktionen
Ping
Beschreibung
Testen Sie die Verbindung zu ObserveIT mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.
Parameter
–
Beispiele für Anwendungsfälle von Playbooks
Die Aktion wird verwendet, um die Verbindung auf der Seite für die Integrationskonfiguration im Google SecOps Content Hub zu testen. Sie kann als manuelle Aktion ausgeführt werden und wird nicht in Playbooks verwendet.
Ausführen am
Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.
Aktionsergebnisse
Entitätsanreicherung
–
Statistiken
–
Scriptergebnis
| Name des Skriptergebnisses | Wertoptionen | Beispiel |
|---|---|---|
| is_success | Wahr/falsch | is_success:False |
JSON-Ergebnis
N/A
Connectors
ObserveIT – Alerts Connector
Beschreibung
Benachrichtigungen von ObserveIT abrufen.
ObserveIT – Alerts Connector in Google SecOps konfigurieren
Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.
Connector-Parameter
Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:
| Anzeigename des Parameters | Typ | Standardwert | Ist obligatorisch | Beschreibung |
|---|---|---|---|---|
| Produktfeldname | String | Produktname | Ja | Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen. |
| Name des Ereignisfelds | String | eventType | Ja | Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen. |
| Name des Umgebungsfelds | String | "" | Nein | Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung. |
| Regex-Muster für Umgebung | String | .* | Nein | Ein Regex-Muster, das für den Wert im Feld „Environment Field Name“ ausgeführt werden soll. Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben. Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ über Regex-Logik zu bearbeiten. Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung. |
| Zeitlimit für Script (Sekunden) | Ganzzahl | 180 | Ja | Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt. |
| API-Stamm | String | https://x.x.x.x:x | Ja | API-Stamm des ObserveIT-Servers. |
| Client-ID | String | – | Ja | Client-ID der ObserveIT-Anwendung. |
| Clientschlüssel | Passwort | Ja | Clientschlüssel der ObserveIT-Anwendung. | |
| Niedrigster abzurufender Schweregrad | String | Mittel | Ja | Niedrigster Schweregrad, der zum Abrufen von Benachrichtigungen verwendet wird. Mögliche Werte: Mittel Hoch Kritisch |
| Maximale Anzahl von Stunden rückwärts abrufen | Ganzzahl | 1 | Nein | Anzahl der Stunden, für die Meldungen abgerufen werden sollen. |
| Max. Anzahl der abzurufenden Benachrichtigungen | Ganzzahl | 25 | Nein | Wie viele Benachrichtigungen pro Connector-Iteration verarbeitet werden sollen. |
| Zulassungsliste als Sperrliste verwenden | Kästchen | Deaktiviert | Ja | Wenn diese Option aktiviert ist, wird die Zulassungsliste als Sperrliste verwendet. |
| Use SSL (SSL verwenden) | Kästchen | Aktiviert | Ja | Option zum Aktivieren der SSL/TLS-Verbindung |
| Proxyserveradresse | String | Nein | Die Adresse des zu verwendenden Proxyservers. | |
| Proxy-Nutzername | String | Nein | Der Proxy-Nutzername für die Authentifizierung. | |
| Proxy-Passwort | Passwort | Nein | Das Proxy-Passwort für die Authentifizierung. |
Connector-Regeln
Proxyunterstützung
Der Connector unterstützt Proxys.
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten