Orca Security

In diesem Dokument wird beschrieben, wie Sie Orca Security in Google SecOps einbinden.

Orca Security-Integration in Google Security Operations konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
UI-Stammknoten String https://{ui instance} Ja UI-Stamm der Orca Security-Instanz.
API-Stamm String https://{api instance} Ja API-Stamm der Orca Security-Instanz.
API-Schlüssel String – Ja

API-Schlüssel des Orca Security-Instanzkontos.

Wenn sowohl der Parameter „API-Schlüssel“ als auch der Parameter „API-Token“ angegeben ist, wird der Parameter „API-Token“ verwendet.
API-Token String – Ja

API-Token des Orca Security-Instanzkontos.

Wenn sowohl der Parameter „API-Schlüssel“ als auch der Parameter „API-Token“ angegeben ist, wird der Parameter „API-Token“ verwendet.
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Orca Security SIEM-Server gültig ist.

API-Schlüssel generieren

  1. Gehen Sie zu Einstellungen > Integrationen > Orca API.
  2. Klicken Sie auf Schlüssel verwalten und dann auf Neuen Schlüssel generieren.
  3. Kopieren Sie den generierten Schlüssel und fügen Sie ihn in Google SecOps ein.

Anwendungsbereiche

  1. Aufnahmebenachrichtigungen
  2. Informationen zu Assets oder Sicherheitslücken abrufen.
  3. Benachrichtigungen priorisieren
  4. Compliance im Blick behalten.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Ping

Testen Sie die Verbindung zu Orca Security mit den Parametern, die auf der Seite für die Integrationskonfiguration im Google SecOps Content Hub angegeben sind.

Parameter

–

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
N/A
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Bei Erfolg: „Successfully connected to the Orca Security server with the provided connection parameters!“ (Verbindung zum Orca Security-Server mit den angegebenen Verbindungsparametern erfolgreich hergestellt!)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn nicht erfolgreich: „Verbindung zum Orca Security-Server konnte nicht hergestellt werden! Error is {0}".format(exception.stacktrace)

 Allgemein

Benachrichtigung ändern

Benachrichtigung in Orca Security aktualisieren

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Benachrichtigungs-ID String – Ja Geben Sie die ID der Benachrichtigung an, die aktualisiert werden soll.
Benachrichtigung bestätigen Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, wird durch die Aktion der Überprüfungsprozess für die Benachrichtigung gestartet.
Schlummerstatus DDL

Wählen Sie eine Option aus.

Mögliche Werte:

  • Wählen Sie eine Option aus.
  • Zurückstellen
  • Zurückstellen aufheben
 Nein Geben Sie den Schlummerstatus für die Benachrichtigung an.
Tage für die Schlummerfunktion String 1 Nein

Geben Sie die Anzahl der Tage an, für die die Benachrichtigung zurückgestellt werden soll.

Dieser Parameter ist obligatorisch, wenn der Parameter „Snooze State“ auf „Snooze“ gesetzt ist.

Wenn nichts angegeben ist, wird die Benachrichtigung für einen Tag zurückgestellt.
Status DDL

Wählen Sie eine Option aus.

Mögliche Werte:

  • Wählen Sie eine Option aus.
  • Öffnen
  • In Bearbeitung
  • Schließen
  • Schließen
 Nein Geben Sie den Status an, der für die Benachrichtigung festgelegt werden soll.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
    "id": "ss",
    "type": "Alert",
    "data": {
        "AlertId": {
            "value": "263534"
        },
        "AlertSource": {
            "value": "Orca Scan"
        },
        "AlertType": {
            "value": "cc"
        },
        "AssetData": {
            "value": {
                "asset_name": "Armor-test/CE",
                "asset_type": "cisource",
                "asset_vpcs": [],
                "asset_state": "enabled",
                "account_name": "Armn",
                "asset_category": "CI Source",
                "cloud_provider": "shiftleft",
                "cloud_vendor_id": "fbn",
                "asset_tags_info_list": [
                    "retest_tag|maybe"
                ],
                "custom_tags_info_list": [],
                "cluster_type": null,
                "vm_id": null,
                "asset_labels": null,
                "resource_group_name": null,
                "cluster_name": "An"
            }
        },
        "Category": {
            "value": "Vulnerabilities"
        },
        "ClosedReason": {
            "value": "user moved to done"
        },
        "ClosedTime": {
            "value": "2025-09-23T10:10:59+00:00"
        },
        "CommentsCount": {
            "value": 0
        },
        "CreatedAt": {
            "value": "2025-09-23T00:22:07+00:00"
        },
        "CveFixAvailable": {
            "value": true
        },
        "CveIds": {
            "value": [
                "CVE"
            ]
        },
        "CveOpen": {
            "value": {
                "CVE-2025-41249": {
                    "detected": "23.09.2025"
                }
            }
        },
        "Description": {
            "value": "cc"
        },
        "Details": {
            "value": "cc"
        },
        "IsLive": {
            "value": true
        },
        "Labels": {
            "value": [
                "fix_available"
            ]
        },
        "LastSeen": {
            "value": "2025-09-23T10:23:59+00:00"
        },
        "LastUpdated": {
            "value": "2025-09-23T11:36:35+00:00"
        },
        "MaxCvssScore": {
            "value": 7.5
        },
        "Name": {
            "value": "orca-1263534"
        },
        "OrcaScore": {
            "value": 3.1
        },
        "PrevUserDefinedStatus": {
            "value": "snoozed"
        },
        "Recommendation": {
            "value": "Pc"
        },
        "RelatedCompliances": {
            "value": []
        },
        "RemediationCli": {
            "value": []
        },
        "RemediationConsole": {
            "value": []
        },
        "RiskFindings": {
            "value": {
                "cves": {
                    "fixable": 1,
                    "top_cves": [
                        {
                            "cve_id": "cc",
                            "fixable": true,
                            "cvss_score": 7.5,
                            "first_seen": "2025-09-23T00:22:12+00:00",
                            "cvss_source": "CNA v3",
                            "cvss_vector": "c",
                            "exploitable": false,
                            "cvss_severity": "HIGH",
                            "patched_version": "6.2.11",
                            "cvss_source_link": "cc"
                        }
                    ],
                    "total_cves": 1,
                    "exploitable": 0,
                    "count_by_cvss_severity": {
                        "HIGH": 1
                    }
                },
                "package": {
                    "target": "./jobs/job-scheduler/pom.xml",
                    "origin_url": "https://example.com",
                    "package_id": "org.sp",
                    "package_name": "cc",
                    "installed_version": "5.3.22"
                }
            }
        },
        "RiskLevel": {
            "value": "low"
        },
        "RiskLevelTime": {
            "value": "2025-09-23T00:22:07+00:00"
        },
        "RuleId": {
            "value": "r81a3c225f3"
        },
        "RuleSource": {
            "value": "Orca"
        },
        "RuleType": {
            "value": "vulnerability"
        },
        "Score": {
            "value": 3
        },
        "ScoreVector": {
            "value": {
                "AlertBaseScore": {
                    "score": 3.15,
                    "Features": [
                        {
                            "score": 0.0,
                            "value": "None",
                            "weight": 0.5,
                            "category": "Attack Impact",
                            "display_name": "Mitre Category",
                            "effect_level": 0,
                            "impact_level": 0.0
                        }
                    ],
                    "display_name": "Alert Base Score"
                }
            }
        },
        "Severity": {
            "value": "hazardous"
        },
        "Source": {
            "value": "./jobs/job-scheduler/pom.xml"
        },
        "Status": {
            "value": "open"
        },
        "StatusTime": {
            "value": "2025-09-23T11:36:35+00:00"
        },
        "Title": {
            "value": "ccs"
        },
        "UserDefinedStatus": {
            "value": "open"
        },
        "VerificationStatus": {
            "value": "scan_failed"
        },
        "cluster_unique_id": {
            "value": "cc"
        },
        "GroupUniqueId": {
            "value": "cc"
        },
        "last_sync": {
            "value": "2025-09-23T10:44:43+00:00"
        }
    },
    "name": "orca-1263534",
    "group_unique_id": "cc",
    "cluster_unique_id": "cc",
    "last_seen": "2025-09-23T10:27:42+00:00"
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn der Statuscode 200 gemeldet wird (is_success=true): „Die Benachrichtigung mit der ID ‚{id}‘ wurde in Orca Security aktualisiert.“

Wenn der Fehler „requested to set same configuration“ gemeldet wird (is_success=true): „Die Benachrichtigung mit der ID ‚{id}‘ hat in Orca Security bereits den Status ‚{status}‘.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Benachrichtigung aktualisieren‘. Reason: {0}''.format(error.Stacktrace)"

Wenn ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Benachrichtigung aktualisieren‘. Grund: {error}.“

Wenn für den Parameter „Snooze State“ (Schlummerstatus) die Option „Select One“ (Einen auswählen) ausgewählt ist: „Error executing action ‚Update Alert‘. Grund: „Snooze Day“ muss angegeben werden.

Wenn für den Parameter „Snooze State“ (Schlummerstatus) oder „Status“ die Option „Select One“ (Einen auswählen) ausgewählt ist und der Parameter „Verify Alert“ (Benachrichtigung bestätigen) nicht aktiviert ist: „Error executing action ‚Update Alert‘“ (Fehler beim Ausführen der Aktion „Benachrichtigung aktualisieren“). Grund: Mindestens einer der folgenden Parameter muss angegeben werden: „Status“, „Meldung bestätigen“, „Meldung zurückstellen“.

 Allgemein

Kommentar zu Benachrichtigung hinzufügen

Fügen Sie in Orca Security einen Kommentar zu einer Benachrichtigung hinzu.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Benachrichtigungs-ID String – Ja Geben Sie die ID der Benachrichtigung an, der die Aktion einen Kommentar hinzufügen soll.
Kommentar String – Ja Geben Sie den Kommentar an, der der Benachrichtigung hinzugefügt werden soll.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
  "unique_id": 315478535,
  "user_email": "tip.labops@siemplify.co",
  "user_name": "John Doe",
  "alert_id": "orca-264",
  "asset_unique_id": "AwsIamRole_570398916848_e739eb76-1d18-7e74-d3d4-42dc68c8ece4",
  "create_time": "2022-03-28T14:06:10+00:00",
  "type": "comment",
  "details": {
      "description": "Added comment",
      "comment": "asd"
  }
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn der Statuscode 200 gemeldet wird (is_success=true): „Der Kommentar wurde der Benachrichtigung mit der ID ‚{id}‘ in Orca Security hinzugefügt.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Kommentar zu Benachrichtigung hinzufügen‘. Reason: {0}''.format(error.Stacktrace)"

Wenn ein Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Kommentar zu Benachrichtigung hinzufügen‘. Grund: {error}.“

 Allgemein

Asset-Details abrufen

Beschreibung

Informationen zu Assets von Orca Security abrufen.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Inhalts-IDs CSV – Ja Gib eine durch Kommas getrennte Liste von Asset-IDs an, für die du Details abrufen möchtest.
Informationen zu Sicherheitslücken zurückgeben Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, gibt die Aktion Sicherheitslücken zurück, die mit dem Asset zusammenhängen.
Niedrigster Schweregrad für Sicherheitslücken DDL

Gefährlich

Mögliche Werte:

  • Gehackt
  • Unmittelbar bevorstehende Kompromittierung
  • Gefährlich
  • Informationell
 Nein Der niedrigste Schweregrad, der zum Abrufen von Sicherheitslücken verwendet werden muss.
Maximale Anzahl abzurufender Sicherheitslücken Ganzzahl 50 Nein

Geben Sie die Anzahl der Sicherheitslücken an, die pro Asset zurückgegeben werden sollen.

Maximum: 100
Insight erstellen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird für jedes angereicherte Asset eine Statistik erstellt.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
[
    {
        "status": "success",
        "data": [
            {
                "id": "cc",
                "type": "cc",
                "data": {
                    "Category": {
                        "value": "Storage"
                    },
                    "ConsoleUrlLink": {
                        "value": "helo"
                    },
                    "CreationTime": {
                        "value": "2025-09-23T16:24:59+00:00"
                    },
                    "Exposure": {
                        "value": "N/A"
                    },
                    "FirstSeen": {
                        "value": "2025-09-24T05:46:47+00:00"
                    },
                    "LastSeen": {
                        "value": "2025-09-24T15:13:16+00:00"
                    },
                    "Name": {
                        "value": "App Server"
                    },
                    "NewCategory": {
                        "value": "Data Storage"
                    },
                    "NewSubCategory": {
                        "value": "File System"
                    },
                    "Observations": {
                        "value": []
                    },
                    "OrcaScore": {
                        "value": 6.4
                    },
                    "Region": {
                        "value": "us-east-1"
                    },
                    "RelatedCompliances": {
                        "value": [
                            "abc",
                            "cc"
                        ]
                    },
                    "RiskLevel": {
                        "value": "medium"
                    },
                    "Score": {
                        "value": 4
                    },
                    "State": {
                        "value": "in-use"
                    },
                    "SubCategory": {
                        "value": "Volume"
                    },
                    "Tags": {
                        "value": {
                            "Client": "aw",
                            "Name": "App Server",
                            "SnapLabsManaged": "true"
                        }
                    },
                    "Type": {
                        "value": "cc"
                    },
                    "UiUniqueField": {
                        "value": "vol-cc"
                    },
                    "Zones": {
                        "value": [
                            "us-east-1b"
                        ]
                    },
                    "AssetUniqueId": {
                        "value": "cc"
                    },
                    "cluster_unique_id": {
                        "value": "cc"
                    },
                    "full_scan_time": {
                        "value": "2025-09-24T15:13:01+00:00"
                    },
                    "GroupUniqueId": {
                        "value": "cc"
                    }
                },
                "name": "App Server",
                "group_unique_id": "cc",
                "cluster_unique_id": "cc",
                "asset_unique_id": "cc",
                "last_seen": "2025-09-24T15:16:16+00:00"
            }
        ],
        "vulnerabilities": []
    }
]
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn Daten für ein Asset verfügbar sind (is_success=true): „Die folgenden Assets wurden mit Informationen von Orca Security erfolgreich angereichert: {asset id}“

Wenn für ein Asset keine Daten verfügbar sind (is_success=true): „Die Aktion konnte die folgenden Assets nicht mit Informationen von Orca Security anreichern: {asset id}“

Wenn für alle Assets keine Daten verfügbar sind (is_success=false): „Keines der bereitgestellten Assets wurde angereichert.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Asset-Details abrufen‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein
Tabelle mit Fall-Repository

Tabellenname: Asset-Details Tabellenspalten:

  • Name: {asset_name}
  • Typ: {asset_type}
  • Konto: {account_name}
  • Kategorie: {asset_category}
  • Unterkategorie: {asset_subcategory}
  • Status: {asset_state}
  • Schweregrad: {state/severity}
  • Zuerst erfasst: {state/created_at}
  • Zuletzt gesehen: {state/last_seen}
 Allgemein

Compliance-Informationen abrufen

Hier erhalten Sie Informationen zur Compliance basierend auf ausgewählten Frameworks in Orca Security.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Framework-Namen CSV – Nein

Geben Sie eine durch Kommas getrennte Liste mit Namen der Frameworks an, für die Sie Compliancedetails abrufen möchten.

Wenn nichts angegeben ist, gibt die Aktion Informationen zu allen ausgewählten Frameworks zurück.
Maximale Anzahl zurückzugebender Frameworks Ganzzahl 50 Nein Geben Sie die Anzahl der Frameworks an, die zurückgegeben werden sollen.
Insight erstellen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird durch die Aktion eine Statistik mit Informationen zur Compliance erstellt.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
"frameworks": [
  {
    "display_name": "Orca Best Practices",
    "id": "orca_best_practices",
    "custom": false,
    "description": "Orca Best Practices",
    "active": true,
    "avg_score_percent": 70,
    "test_results": {
      "FAIL": 121,
      "PASS": 284
    },
    "categories": {
      "total_count": 12,
      "data": {
        "Storage": {
          "FAIL": 28,
          "PASS": 35
        },
        "Database": {
          "FAIL": 8,
          "PASS": 94
        },
        "Monitoring": {
          "FAIL": 20,
          "PASS": 4
        },
        "Users and Access": {
          "FAIL": 23,
          "PASS": 11
        },
        "Network": {
          "FAIL": 29,
          "PASS": 96
        },
        "Messaging Service": {
          "FAIL": 1,
          "PASS": 11
        },
        "Serverless": {
          "FAIL": 3,
          "PASS": 13
        },
        "Vm": {
          "FAIL": 6,
          "PASS": 4
        },
        "Authentication": {
          "FAIL": 4,
          "PASS": 10
        },
        "Account": {
          "PASS": 1
        },
        "ComputeServices": {
          "FAIL": 1,
          "PASS": 2
        },
        "Container": {
          "PASS": 1
        }
      }
    },
    "top_accounts": [
      {
        "570398916848": {
          "account_name": "alon-vendors",
          "FAIL": 121,
          "PASS": 284
        }
      }
    ]
  }
]
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn der Statuscode 200 gemeldet wird (is_success=true): „Informationen zur Compliance in Orca Security wurden erfolgreich zurückgegeben.“

Wenn ein Framework nicht gefunden wird (is_success=true): „Informationen aus den folgenden Frameworks wurden in Orca Security nicht gefunden. Bitte überprüfen Sie die Schreibweise.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler gemeldet wird, z. B. falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler: „Fehler beim Ausführen der Aktion ‚Compliance-Informationen abrufen‘. Reason: {0}''.format(error.Stacktrace)"

Wenn nicht alle Frameworks gefunden werden (is_success=false): „Fehler beim Ausführen der Aktion ‚Compliance-Informationen abrufen‘. Grund: Keines der angegebenen Frameworks wurde in Orca Security gefunden. Bitte überprüfen Sie die Schreibweise.

 Allgemein
Tabelle mit Fall-Repository

Tabellenname: Compliancedetails

Tabellenspalten:

  • Name: {display_name}
  • Beschreibung: {description}
  • Wert: {avg_score_percent}
  • Fehlgeschlagen: {test_results/FAIL}
  • Bestanden: {test_results/PASS}
  • Aktiv: {active}
 Allgemein

Assets scannen

Assets in Orca Security scannen.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Inhalts-IDs String – Ja Gib eine durch Kommas getrennte Liste von Asset-IDs an, für die du Details abrufen möchtest.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
  "version": "0.1.0",
  "scan_unique_id": "4f606aae-9e9b-4d01-aa29-797a06b6300e",
  "asset_unique_ids": [
      "i-080f6dfdeac0c7ffc"
  ],
  "status": "done"
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn Daten für ein Asset verfügbar sind (is_success=true): „Die folgenden Assets in Orca Security wurden erfolgreich gescannt: {Asset-Name}“.

Wenn für ein Asset keine Daten verfügbar sind oder das Asset nicht gefunden wird (is_success=true): „Die folgenden Assets konnten mit Orca Security nicht gescannt werden: {asset name}“

Wenn für alle Assets keine Daten verfügbar sind (is_success=false): „Keines der bereitgestellten Assets wurde gescannt.“

Asynchrone Nachricht: „Ausstehende Assets: {asset names}“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Assets scannen‘. Reason: {0}''.format(error.Stacktrace)"

Wenn ein Zeitüberschreitungsfehler aufgetreten ist: „Fehler beim Ausführen der Aktion ‚Assets scannen‘. Grund: Bei der Ausführung der Aktion ist eine Zeitüberschreitung aufgetreten. Ausstehende Assets: {Assets, die noch in Bearbeitung sind}. Erhöhen Sie das Zeitlimit in der IDE.“

 Allgemein

Details zu Sicherheitslücken abrufen

Beschreibung

Informationen zu Sicherheitslücken von Orca Security abrufen.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
CVE-IDs CSV – Nein Geben Sie eine durch Kommas getrennte Liste von CVEs an, die angereichert werden sollen.
Insight erstellen Kästchen Aktiviert Nein

Wenn diese Option aktiviert ist, wird für jede angereicherte Sicherheitslücke eine Statistik erstellt.

Die Erstellung von Insights ist nicht von der Filterung betroffen, die mit dem Parameter „Fields To Return“ vorgenommen werden kann.
Maximale Anzahl zurückzugebender Assets Ganzzahl 50 Nein

Geben Sie an, wie viele Assets im Zusammenhang mit der CVE zurückgegeben werden sollen.

Maximum: 10.000
Zurückzugebende Felder CSV – Nein

Geben Sie eine durch Kommas getrennte Liste der Felder an, die zurückgegeben werden sollen.

Wenn für Sicherheitslücken keine bestimmten Felder zurückgegeben werden, werden die Werte dieser Felder auf null gesetzt.

Hinweis: Mit diesem Parameter wird das JSON-Objekt geprüft, da es vereinfacht wurde.

Beispiel: „object“: {„id“: 123} -> „object_id“ ist der Schlüssel.
Ausgabe DDL

JSON

Mögliche Werte:

  • JSON
  • CSV
 Nein

Geben Sie den Typ der Ausgabe für die Aktion an.

Wenn „JSON“ ausgewählt ist, gibt die Aktion ein reguläres JSON-Ergebnis zurück.

Wenn „CSV“ ausgewählt ist, wird durch die Aktion eine Datei im Ordner für die Aktionsausführung erstellt und das JSON-Ergebnis enthält einen Pfad zu dieser Datei.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success=False
JSON-Ergebnis
{
    "cve_id": "{cve_id}",
    "results": [
        {
            "asset_auto_updates": "off",
            "vm_asset_unique_id": "vm_570398916848_i-07cb1901406d7f7a2",
            "group_type_string": "VM",
            "asset_regions_names": [
                "N. Virginia"
            ],
            "group_type": "asg",
            "cluster_type": "asg",
            "type": "cve",
            "score": 4,
            "vm_id": "i-07cb1901406d7f7a2",
            "asset_name": "alon-test",
            "context": "data",
            "nvd": {
                "cvss2_severity": "MEDIUM",
                "cvss2_score": 5.0,
                "cvss3_severity": "HIGH",
                "cvss3_vector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N",
                "cvss3_score": 7.5,
                "cvss2_vector": "AV:N/AC:L/Au:N/C:N/I:P/A:N"
            },
            "asset_distribution_version": "2 (2022.01.05)",
            "asset_first_public_ips": [
                "54.234.117.173"
            ],
            "asset_first_private_ips": [
                "10.0.85.56"
            ],
            "group_name": "alon-test",
            "level": 1,
            "fix_available_state": "Yes",
            "organization_name": "Partners",
            "published": "2019-09-30T19:15:00+00:00",
            "packages": [
                {
                    "installed_version": "1.12.13",
                    "package_name": "/opt/cni/bin/vlan",
                    "non_os_package_paths": [
                        "/opt/cni/bin/vlan"
                    ],
                    "patched_version": "1.13.1"
                },
                {
                    "installed_version": "1.12.13",
                    "package_name": "/opt/cni/bin/ipvlan",
                    "non_os_package_paths": [
                        "/opt/cni/bin/ipvlan"
                    ],
                    "patched_version": "1.13.1"
                },
                {
                    "installed_version": "1.12.13",
                    "package_name": "/opt/cni/bin/firewall",
                    "non_os_package_paths": [
                        "/opt/cni/bin/firewall"
                    ],
                    "patched_version": "1.13.1"
                },
                {
                    "installed_version": "1.12.13",
                    "package_name": "/opt/cni/bin/tuning",
                    "non_os_package_paths": [
                        "/opt/cni/bin/tuning"
                    ],
                    "patched_version": "1.13.1"
                },
                {
                    "installed_version": "1.12.13",
                    "package_name": "/opt/cni/bin/loopback",
                    "non_os_package_paths": [
                        "/opt/cni/bin/loopback"
                    ],
                    "patched_version": "1.13.1"
                }
            ],
            "cloud_vendor_id": "570398916848",
            "labels": [
                "fix_available"
            ],
            "asset_image_id": "ami-0d6c8b2a8562eba37",
            "asset_num_public_dnss": 1,
            "cve_id": "CVE-2019-16276",
            "asset_state": "running",
            "organization_id": "e739eb76-3d1a-4022-b5d0-360b10d44685",
            "asset_availability_zones": [
                "us-east-1b"
            ],
            "asset_unique_id": "vm_570398916848_i-07cb1901406d7f7a2",
            "asset_num_private_dnss": 1,
            "asset_vendor_id": "i-07cb1901406d7f7a2",
            "cvss3_score": 6.5,
            "group_val": "nongroup",
            "asset_type_string": "VM",
            "asset_regions": [
                "us-east-1"
            ],
            "group_unique_id": "asg_570398916848_alon-test",
            "cloud_account_id": "1b6a52d3-58ed-4879-af03-b99f252f532d",
            "asset_num_private_ips": 1,
            "account_name": "alon-vendors",
            "asset_type": "vm",
            "fix_available": true,
            "cvss3_vector": "CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N",
            "cluster_unique_id": "asg_570398916848_alon-test",
            "summary": "Go before 1.12.10 and 1.13.x before 1.13.1 allow HTTP Request Smuggling.",
            "severity": "informational",
            "cluster_name": "alon-test",
            "asset_first_public_dnss": [
                "ec2-54-234-117-173.compute-1.amazonaws.com"
            ],
            "tags_info_list": [
                "aws:ec2launchtemplate:version|1",
                "aws:autoscaling:groupName|alon-test",
                "aws:ec2launchtemplate:id|lt-09b558a2361e6b988"
            ],
            "asset_first_private_dnss": [
                "ip-10-0-85-56.ec2.internal"
            ],
            "cloud_provider": "aws",
            "asset_vpcs": [
                "vpc-07ef7f777429cfd82"
            ],
            "source_link": "https://nvd.nist.gov/vuln/detail/CVE-2019-16276",
            "asset_category": "VM",
            "asset_distribution_major_version": "2",
            "asset_tags_info_list": [
                "aws:ec2launchtemplate:version|1",
                "aws:autoscaling:groupName|alon-test",
                "aws:ec2launchtemplate:id|lt-09b558a2361e6b988"
            ],
            "cloud_provider_id": "570398916848",
            "asset_num_public_ips": 1,
            "asset_labels": [
                "brute-force_attempts"
            ],
            "asset_distribution_name": "Amazon",
            "affected_packages": [
                "/opt/cni/bin/vlan",
                "/opt/cni/bin/ipvlan",
                "/opt/cni/bin/firewall",
                "/opt/cni/bin/tuning",
                "/opt/cni/bin/loopback"
            ],
            "asset_role_names": [
                "ssh"
            ]
        }
    ]
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn Daten für eine Sicherheitslücke verfügbar sind (is_success=true): „Die folgenden Sicherheitslücken wurden erfolgreich mit Informationen von Orca Security angereichert: {cve id}“

Wenn für eine Sicherheitslücke keine Daten verfügbar sind (is_success=true): „Die Aktion konnte die folgenden Sicherheitslücken nicht mit Informationen von Orca Security anreichern: {cve id}“

Wenn für alle Sicherheitslücken keine Daten verfügbar sind (is_success=false): „Keine der angegebenen Sicherheitslücken wurde angereichert.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Get Vulnerability Details‘. Reason: {0}''.format(error.Stacktrace)"

 Allgemein
Tabelle mit Fall-Repository

Tabellenname: Vulnerability Details

Tabellenspalten:

  • ID: {cve_id}
  • Beschreibung: {summary}
  • Korrektur verfügbar: {fix_available}
  • Anzahl der betroffenen Assets: {group_size}
  • Labels: {csv of labels}
  • Veröffentlichungsdatum: {published}
 Allgemein

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Orca Security – Alerts Connector

Beschreibung

Informationen zu Warnungen von Orca Security abrufen.

Orca Security – Alerts-Connector in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Produktfeldname String Produktname Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds String asset_type_string Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds String "" Nein

Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung String .* Nein

Ein regulärer Ausdruck, der auf den Wert im Feld „Name des Umgebungsfelds“ angewendet wird.

Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben.

Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ mithilfe der Logik regulärer Ausdrücke zu bearbeiten.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden) Ganzzahl 180 Ja Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
API-Stamm String https:/:8501 Ja API-Stamm der Orca Security-Instanz.
API-Schlüssel String – Ja

API-Schlüssel des Orca Security-Instanzkontos.

Wenn sowohl der Parameter „API-Schlüssel“ als auch der Parameter „API-Token“ angegeben ist, wird der Parameter „API-Token“ verwendet.
API-Token String – Ja

API-Token des Orca Security-Instanzkontos.

Wenn sowohl der Parameter „API-Schlüssel“ als auch der Parameter „API-Token“ angegeben ist, wird der Parameter „API-Token“ verwendet.
Kategoriefilter CSV – Nein

Eine durch Kommas getrennte Liste von Kategorienamen, die bei der Aufnahme der Benachrichtigungen verwendet werden sollen.

Hinweis: Bei diesem Parameter wird zwischen Groß- und Kleinschreibung unterschieden.
Niedrigste Priorität für den Abruf String – Nein

Der niedrigste Schweregrad, der zum Abrufen von Benachrichtigungen verwendet werden muss.

Mögliche Werte: „Compromised“, „Imminent compromise“, „Hazardous“, „Informational“

Wenn nichts angegeben ist, werden Benachrichtigungen aller Schweregrade aufgenommen.
Maximale Anzahl von Stunden rückwärts Ganzzahl 1 Nein Anzahl der Stunden, für die Meldungen abgerufen werden sollen.
Max. Anzahl der abzurufenden Benachrichtigungen Ganzzahl 100 Nein Anzahl der Benachrichtigungen, die pro Connector-Iteration verarbeitet werden sollen.
Dynamische Liste als Sperrliste verwenden Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, werden dynamische Listen als Sperrliste verwendet.
SSL überprüfen Kästchen Deaktiviert Ja Wenn die Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Orca Security-Server gültig ist.
Proxyserveradresse String – Nein Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername String – Nein Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort Passwort – Nein Das Proxy-Passwort für die Authentifizierung.
Filter für Benachrichtigungstyp CSV – Nein Typ der Benachrichtigungen, die aufgenommen werden müssen. Dieser Filter funktioniert mit dem Parameter AlertType_value in der Antwort. Beispiel: aws_s3_bucket_accessible_to_unmonitored_account

Connector-Regeln

Proxyunterstützung.

Der Connector unterstützt Proxys.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten