ObserveIT

Integrationsversion: 4.0

Anwendungsbereiche

ObserveIT-Warnungen aufnehmen und damit Google Security Operations-Warnungen erstellen Als Nächstes können in Google SecOps Benachrichtigungen verwendet werden, um Orchestrierungen mit Playbooks oder manuellen Analysen durchzuführen.

Client-ID und Clientschlüssel generieren

Hinweis :In ObserveIT gibt es einen Fehler, durch den die Integration auch dann authentifiziert wird, wenn eine ungültige Client-ID angegeben ist. Das liegt daran, dass im Backend von ObserveIT nur die ersten 36 Zeichen validiert werden und alles andere ignoriert wird. Wenn beispielsweise AAAAAAA-AAAA-AAAA-AAAA-AAAAAAAAAAAAA eine bekannte gültige Client-ID ist, können Sie sich trotzdem authentifizieren, wenn Sie AAAAAAA-AAAA-AAAA-AAAA-AAAAAAAAAABBBBB verwenden.

1. Rufen Sie https://:/v2/apps/portal/home.html?#creds.
2. Klicken Sie auf die Schaltfläche „+ App erstellen“.

3. Füllen Sie den Parameter „Application Name“ (Anwendungsname) aus.

   

4. Tippen Sie auf „Speichern“.

5. Sie finden eine neue ObserveIT-Anwendung. Drücken Sie darauf, um dieses Fenster zu sehen.

   

6. Kopieren Sie die „Client-ID“ und das „Client-Secret“.

7. Verwenden Sie diese Werte in der Integrationskonfiguration.

ObserveIT-Integration in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
API-Stamm	String	https://<address>:<port>	Ja	ObserveIT API-Stamm.
Client-ID	String	–	Ja	Client-ID der ObserveIT-App.
Clientschlüssel	Passwort	–	Ja	Clientschlüssel der ObserveIT-App.
Use SSL (SSL verwenden)	Kästchen	Aktiviert	Ja	Option zum Aktivieren der SSL/TLS-Verbindung

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zu ObserveIT mit Parametern, die auf der Seite für die Integrationskonfiguration auf dem Tab „Google Security Operations Marketplace“ angegeben sind.

Parameter

–

Beispiele für Anwendungsfälle von Playbooks

Die Aktion wird verwendet, um die Konnektivität auf der Seite „Integrationskonfiguration“ auf dem Tab „Google Security Operations Marketplace“ zu testen. Sie kann als manuelle Aktion ausgeführt werden und wird nicht in Playbooks verwendet.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine erforderlichen Eingabeparameter.

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis

Name des Scriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

N/A

Connectors

ObserveIT – Alerts Connector

Beschreibung

Benachrichtigungen von ObserveIT abrufen

ObserveIT – Alerts Connector in Google SecOps konfigurieren

Eine ausführliche Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Produktfeldname	String	Produktname	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds	String	eventType	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds	String	""	Nein	Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung	String	.*	Nein	Ein regulärer Ausdruck, der auf den Wert im Feld „Name des Umgebungsfelds“ angewendet wird. Der Standardwert ist „.*“, um alle Werte zu erfassen und unverändert zurückzugeben. Damit kann der Nutzer das Feld „environment“ über Regex-Logik bearbeiten. Wenn das reguläre Ausdrucksmuster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden)	Ganzzahl	180	Ja	Zeitlimit für den Python-Prozess, in dem das aktuelle Skript ausgeführt wird.
API-Stamm	String	https://x.x.x.x:x	Ja	API-Stammverzeichnis des ObserveIT-Servers.
Client-ID	String	–	Ja	Client-ID der ObserveIT-App.
Clientschlüssel	Passwort		Ja	Clientschlüssel der ObserveIT-App.
Niedrigster abzurufender Schweregrad	String	Mittel	Ja	Der niedrigste Schweregrad, der zum Abrufen von Benachrichtigungen verwendet wird. Mögliche Werte: Low Mittel Hoch Kritisch
Maximale Stunden rückwärts abrufen	Ganzzahl	1	Nein	Anzahl der Stunden, ab denen Benachrichtigungen abgerufen werden sollen.
Max. Anzahl der abzurufenden Benachrichtigungen	Ganzzahl	25	Nein	Die Anzahl der Warnungen, die pro Connector-Iteration verarbeitet werden sollen.
Zulassungsliste als Sperrliste verwenden	Kästchen	Deaktiviert	Ja	Wenn diese Option aktiviert ist, wird die Zulassungsliste als Sperrliste verwendet.
Use SSL (SSL verwenden)	Kästchen	Aktiviert	Ja	Option zum Aktivieren der SSL/TLS-Verbindung
Proxyserveradresse	String		Nein	Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername	String		Nein	Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort	Passwort		Nein	Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Proxyunterstützung

Der Connector unterstützt Proxys.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten