ObserveIT
במסמך הזה מוסבר איך לשלב את ObserveIT עם Google SecOps.
תרחישים לדוגמה
לקלוט התראות של ObserveIT ולהשתמש בהן כדי ליצור התראות של Google Security Operations. לאחר מכן, ב-Google SecOps, אפשר להשתמש בהתראות כדי לבצע תזמור באמצעות חוברות הפעלה או ניתוח ידני.
יצירת מזהה לקוח וסוד לקוח
- עוברים אל https://
: /v2/apps/portal/home.html?#creds. - לוחצים על הלחצן '+ יצירת אפליקציה'.
ממלאים את הפרמטר Application Name (שם האפליקציה).
לוחצים על 'שמירה'.
תופיע אפליקציית ObserveIT חדשה. לוחצים עליו ומופיע החלון הזה.
מעתיקים את הערכים של Client Id ו-Client Secret.
משתמשים בערכים האלה בהגדרות השילוב.
הגדרת שילוב של ObserveIT ב-Google SecOps
הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.
פרמטרים של שילוב
משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:
| השם המוצג של הפרמטר | סוג | ערך ברירת המחדל | חובה | תיאור |
|---|---|---|---|---|
| ספריית הבסיס של ה-API | String | https://<address>:<port> | כן | ObserveIT API Root. |
| מזהה לקוח | String | לא רלוונטי | כן | מזהה הלקוח של אפליקציית ObserveIT. |
| סוד לקוח | סיסמה | לא רלוונטי | כן | סוד הלקוח של אפליקציית ObserveIT. |
| שימוש ב-SSL | תיבת סימון | סימן אישור | כן | אפשרות להפעלת חיבור SSL/TLS |
פעולות
פינג
תיאור
בודקים את הקישוריות ל-ObserveIT באמצעות הפרמטרים שמופיעים בדף ההגדרות של השילוב בכרטיסייה Google Security Operations Marketplace.
פרמטרים
לא רלוונטי
דוגמאות לתרחישי שימוש בפלייבוק
הפעולה משמשת לבדיקת הקישוריות בדף ההגדרות של האינטגרציה בכרטיסייה Google Security Operations Marketplace, ואפשר להפעיל אותה כפעולה ידנית. אי אפשר להשתמש בה ב-playbook.
ריצה
הפעולה לא מופעלת על ישויות, ואין לה פרמטרים של קלט חובה.
תוצאות הפעולה
העשרה של ישויות
לא רלוונטי
תובנות
לא רלוונטי
תוצאת סקריפט
| שם תוצאת התסריט | אפשרויות ערך | דוגמה |
|---|---|---|
| is_success | נכון/לא נכון | is_success:False |
תוצאת JSON
N/A
מחברים
ObserveIT - Alerts Connector
תיאור
שליפת התראות מ-ObserveIT.
הגדרה של מחבר ההתראות ObserveIT ב-Google SecOps
הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר בנושא הגדרת המחבר.
פרמטרים של מחברים
משתמשים בפרמטרים הבאים כדי להגדיר את המחבר:
| השם המוצג של הפרמטר | סוג | ערך ברירת המחדל | חובה | תיאור |
|---|---|---|---|---|
| שם שדה המוצר | String | שם המוצר | כן | מזינים את שם שדה המקור כדי לאחזר את שם שדה המוצר. |
| שם השדה של האירוע | String | eventType | כן | מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע. |
| שם השדה בסביבה | String | "" | לא | מתאר את שם השדה שבו מאוחסן שם הסביבה. אם לא נמצא שדה סביבה, הסביבה היא סביבת ברירת המחדל. |
| תבנית ביטוי רגולרי (regex) של סביבה | String | .* | לא | תבנית regex להפעלה על הערך שנמצא בשדה 'שם שדה הסביבה'. ברירת המחדל היא .* כדי לתפוס את כל הערכים ולהחזיר אותם ללא שינוי. משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטוי רגולרי. אם תבנית הביטוי הרגולרי היא null או ריקה, או שערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל. |
| זמן קצוב לסקריפט (בשניות) | מספר שלם | 180 | כן | מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי. |
| ספריית הבסיס של ה-API | String | https://x.x.x.x:x | כן | נתיב הבסיס של ה-API של שרת ObserveIT. |
| מזהה לקוח | String | לא רלוונטי | כן | מזהה הלקוח של אפליקציית ObserveIT. |
| סוד לקוח | סיסמה | כן | סוד הלקוח של אפליקציית ObserveIT. | |
| רמת החומרה הנמוכה ביותר לאחזור | String | בינוני | כן | רמת החומרה הנמוכה ביותר שתשמש לאחזור התראות. ערכים אפשריים: בינוני גבוהה קריטית |
| מספר השעות המקסימלי לאחזור נתונים אחורה | מספר שלם | 1 | לא | מספר השעות שממנו יאוחזרו ההתראות. |
| מספר ההתראות המקסימלי לאחזור | מספר שלם | 25 | לא | כמה התראות לעבד בכל איטרציה של המחבר. |
| שימוש ברשימת ההיתרים כרשימה שחורה | תיבת סימון | התיבה לא מסומנת | כן | אם האפשרות הזו מופעלת, רשימת ההיתרים תשמש כרשימת חסימות. |
| שימוש ב-SSL | תיבת סימון | סימן אישור | כן | אפשרות להפעלת חיבור SSL/TLS |
| כתובת שרת ה-Proxy | String | לא | הכתובת של שרת ה-Proxy שבו רוצים להשתמש. | |
| שם משתמש של שרת proxy | String | לא | שם המשתמש ב-proxy לאימות. | |
| סיסמת שרת Proxy | סיסמה | לא | סיסמת ה-proxy לאימות. |
כללים של מחברים
תמיכה בשרת proxy
המחבר תומך בשרת proxy.
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.