‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

Orca Security

במאמר הזה מוסבר איך לשלב את Orca Security עם Google SecOps.

הגדרת השילוב של Orca Security ב-Google Security Operations

הוראות מפורטות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
הרמה הבסיסית (root) של ממשק המשתמש	String	https://{ui instance}	כן	שורש ממשק המשתמש של המכונה ב-Orca Security.
הרמה הבסיסית (root) של ה-API	String	https://{api instance}	כן	שורש ה-API של המכונה של Orca Security.
מפתח API	String	לא רלוונטי	כן	מפתח ה-API של חשבון המכונה ב-Orca Security. אם מציינים גם את הפרמטר "מפתח API" וגם את הפרמטר "אסימון API", המערכת משתמשת בפרמטר "אסימון API".
טוקן API	String	לא רלוונטי	כן	טוקן ה-API של חשבון המכונה של Orca Security. אם מציינים גם את הפרמטר "מפתח API" וגם את הפרמטר "אסימון API", המערכת משתמשת בפרמטר "אסימון API".
אימות SSL	תיבת סימון	סימן אישור	כן	אם היא מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Orca Security SIEM תקין.

איך יוצרים מפתח API

עוברים אל הגדרות > שילובים > Orca API.
לוחצים על ניהול מפתחות ואז על יצירת מפתח חדש.
מעתיקים את המפתח שנוצר ומדביקים אותו ב-Google SecOps.

תרחישים לדוגמה

התראות על הטמעת נתונים.
אחזור מידע על נכסים או נקודות חולשה.
למיין התראות.
לעקוב אחרי התאימות.

פעולות

מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.

פינג

בודקים את הקישוריות ל-Orca Security באמצעות הפרמטרים שמופיעים בדף הגדרת השילוב ב-Google SecOps Content Hub.

פרמטרים

לא רלוונטי

הפעלה ב-

הפעולה לא פועלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים	דוגמה
is_success	נכון/לא נכון	is_success=False

תוצאת JSON

N/A

קיר תיקים

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם החיבור הצליח: "Successfully connected to the Orca Security server with the provided connection parameters!‎" (החיבור לשרת של Orca Security הצליח באמצעות פרמטרי החיבור שסופקו) הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם התגובה נכשלה: "Failed to connect to the Orca Security server!‎ השגיאה היא {0}".format(exception.stacktrace)	כללי

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם החיבור הצליח: "Successfully connected to the Orca Security server with the provided connection parameters!‎" (החיבור לשרת של Orca Security הצליח באמצעות פרמטרי החיבור שסופקו)

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם התגובה נכשלה: "Failed to connect to the Orca Security server!‎ השגיאה היא {0}".format(exception.stacktrace)

כללי

התראה על עדכון

עדכון התראה ב-Orca Security.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	Is Mandatory	תיאור
מזהה ההתראה	String	לא רלוונטי	כן	צריך לציין את המזהה של ההתראה שרוצים לעדכן.
התראת אימות	תיבת סימון	התיבה לא מסומנת	לא	אם הפעולה מופעלת, היא מתחילה את תהליך האימות של ההתראה.
מצב השהיה	DDL	יש לבחור טווח ערכים אפשריים: יש לבחור טווח נודניק ביטול הסימון לטיפול בהמשך	לא	מציינים את מצב ההשהיה של ההתראה.
ימי השהיה	String	1	לא	מציינים את מספר הימים שבהם רוצים להפעיל את ההתראה. הפרמטר הזה הוא חובה אם הפרמטר "מצב השהיה" מוגדר כ "השהיה". אם לא מציינים ערך, הפעולה תעביר את ההתראה למצב נודניק למשך יום אחד.
סטטוס	DDL	יש לבחור טווח ערכים אפשריים: יש לבחור טווח פתיחה בתהליך סגירה סגירה	לא	מציינים את הסטטוס שרוצים להגדיר להתראה.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים	דוגמה
is_success	נכון/לא נכון	is_success=False

תוצאת JSON

{
    "id": "ss",
    "type": "Alert",
    "data": {
        "AlertId": {
            "value": "263534"
        },
        "AlertSource": {
            "value": "Orca Scan"
        },
        "AlertType": {
            "value": "cc"
        },
        "AssetData": {
            "value": {
                "asset_name": "Armor-test/CE",
                "asset_type": "cisource",
                "asset_vpcs": [],
                "asset_state": "enabled",
                "account_name": "Armn",
                "asset_category": "CI Source",
                "cloud_provider": "shiftleft",
                "cloud_vendor_id": "fbn",
                "asset_tags_info_list": [
                    "retest_tag|maybe"
                ],
                "custom_tags_info_list": [],
                "cluster_type": null,
                "vm_id": null,
                "asset_labels": null,
                "resource_group_name": null,
                "cluster_name": "An"
            }
        },
        "Category": {
            "value": "Vulnerabilities"
        },
        "ClosedReason": {
            "value": "user moved to done"
        },
        "ClosedTime": {
            "value": "2025-09-23T10:10:59+00:00"
        },
        "CommentsCount": {
            "value": 0
        },
        "CreatedAt": {
            "value": "2025-09-23T00:22:07+00:00"
        },
        "CveFixAvailable": {
            "value": true
        },
        "CveIds": {
            "value": [
                "CVE"
            ]
        },
        "CveOpen": {
            "value": {
                "CVE-2025-41249": {
                    "detected": "23.09.2025"
                }
            }
        },
        "Description": {
            "value": "cc"
        },
        "Details": {
            "value": "cc"
        },
        "IsLive": {
            "value": true
        },
        "Labels": {
            "value": [
                "fix_available"
            ]
        },
        "LastSeen": {
            "value": "2025-09-23T10:23:59+00:00"
        },
        "LastUpdated": {
            "value": "2025-09-23T11:36:35+00:00"
        },
        "MaxCvssScore": {
            "value": 7.5
        },
        "Name": {
            "value": "orca-1263534"
        },
        "OrcaScore": {
            "value": 3.1
        },
        "PrevUserDefinedStatus": {
            "value": "snoozed"
        },
        "Recommendation": {
            "value": "Pc"
        },
        "RelatedCompliances": {
            "value": []
        },
        "RemediationCli": {
            "value": []
        },
        "RemediationConsole": {
            "value": []
        },
        "RiskFindings": {
            "value": {
                "cves": {
                    "fixable": 1,
                    "top_cves": [
                        {
                            "cve_id": "cc",
                            "fixable": true,
                            "cvss_score": 7.5,
                            "first_seen": "2025-09-23T00:22:12+00:00",
                            "cvss_source": "CNA v3",
                            "cvss_vector": "c",
                            "exploitable": false,
                            "cvss_severity": "HIGH",
                            "patched_version": "6.2.11",
                            "cvss_source_link": "cc"
                        }
                    ],
                    "total_cves": 1,
                    "exploitable": 0,
                    "count_by_cvss_severity": {
                        "HIGH": 1
                    }
                },
                "package": {
                    "target": "./jobs/job-scheduler/pom.xml",
                    "origin_url": "https://example.com",
                    "package_id": "org.sp",
                    "package_name": "cc",
                    "installed_version": "5.3.22"
                }
            }
        },
        "RiskLevel": {
            "value": "low"
        },
        "RiskLevelTime": {
            "value": "2025-09-23T00:22:07+00:00"
        },
        "RuleId": {
            "value": "r81a3c225f3"
        },
        "RuleSource": {
            "value": "Orca"
        },
        "RuleType": {
            "value": "vulnerability"
        },
        "Score": {
            "value": 3
        },
        "ScoreVector": {
            "value": {
                "AlertBaseScore": {
                    "score": 3.15,
                    "Features": [
                        {
                            "score": 0.0,
                            "value": "None",
                            "weight": 0.5,
                            "category": "Attack Impact",
                            "display_name": "Mitre Category",
                            "effect_level": 0,
                            "impact_level": 0.0
                        }
                    ],
                    "display_name": "Alert Base Score"
                }
            }
        },
        "Severity": {
            "value": "hazardous"
        },
        "Source": {
            "value": "./jobs/job-scheduler/pom.xml"
        },
        "Status": {
            "value": "open"
        },
        "StatusTime": {
            "value": "2025-09-23T11:36:35+00:00"
        },
        "Title": {
            "value": "ccs"
        },
        "UserDefinedStatus": {
            "value": "open"
        },
        "VerificationStatus": {
            "value": "scan_failed"
        },
        "cluster_unique_id": {
            "value": "cc"
        },
        "GroupUniqueId": {
            "value": "cc"
        },
        "last_sync": {
            "value": "2025-09-23T10:44:43+00:00"
        }
    },
    "name": "orca-1263534",
    "group_unique_id": "cc",
    "cluster_unique_id": "cc",
    "last_seen": "2025-09-23T10:27:42+00:00"
}

קיר תיקים

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם מדווח קוד הסטטוס 200 ‏ (is_success=true): "ההתראה עם המזהה "{id}" עודכנה בהצלחה ב-Orca Security". אם מדווחת השגיאה "requested to set same configuration"‏ (is_success=true): "Alert with ID "{id}" already has status "{status}" in Orca Security."‎ הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'עדכון התראה'. הסיבה: {0}''.format(error.Stacktrace)" אם מדווחת שגיאה אחרת: "Error executing action "Update Alert".‎ הסיבה: {error}." אם האפשרות "בחירה" נבחרה בפרמטר "מצב השהיה": "שגיאה בביצוע הפעולה "עדכון התראה". סיבה: צריך לציין את "יום ההשהיה"." אם האפשרות "בחירה" נבחרה בפרמטר "מצב השהיה" או "סטטוס", והפרמטר "אימות התראה" לא מופעל: "שגיאה בביצוע הפעולה 'עדכון התראה'. הסיבה: צריך לציין לפחות אחד מהפרמטרים הבאים: "סטטוס", "אימות התראה", "התראה על הפעלה נודניק".	כללי

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם מדווח קוד הסטטוס 200 ‏ (is_success=true): "ההתראה עם המזהה "{id}" עודכנה בהצלחה ב-Orca Security".

אם מדווחת השגיאה "requested to set same configuration"‏ (is_success=true): "Alert with ID "{id}" already has status "{status}" in Orca Security."‎

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'עדכון התראה'. הסיבה: {0}''.format(error.Stacktrace)"

אם מדווחת שגיאה אחרת: "Error executing action "Update Alert".‎ הסיבה: {error}."

אם האפשרות "בחירה" נבחרה בפרמטר "מצב השהיה": "שגיאה בביצוע הפעולה "עדכון התראה". סיבה: צריך לציין את "יום ההשהיה"."

אם האפשרות "בחירה" נבחרה בפרמטר "מצב השהיה" או "סטטוס", והפרמטר "אימות התראה" לא מופעל: "שגיאה בביצוע הפעולה 'עדכון התראה'. הסיבה: צריך לציין לפחות אחד מהפרמטרים הבאים: "סטטוס", "אימות התראה", "התראה על הפעלה נודניק".

כללי

הוספת הערה להתראה

להוסיף תגובה להתראה ב-Orca Security.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	Is Mandatory	תיאור
מזהה ההתראה	String	לא רלוונטי	כן	ציינו את המזהה של ההתראה שנדרשת פעולה כדי להוסיף לה תגובה.
תגובה	String	לא רלוונטי	כן	מציינים את ההערה שצריך להוסיף להתראה.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים	דוגמה
is_success	נכון/לא נכון	is_success=False

תוצאת JSON

{
  "unique_id": 315478535,
  "user_email": "tip.labops@siemplify.co",
  "user_name": "John Doe",
  "alert_id": "orca-264",
  "asset_unique_id": "AwsIamRole_570398916848_e739eb76-1d18-7e74-d3d4-42dc68c8ece4",
  "create_time": "2022-03-28T14:06:10+00:00",
  "type": "comment",
  "details": {
      "description": "Added comment",
      "comment": "asd"
  }
}

קיר תיקים

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם מדווח קוד הסטטוס 200 ‏ (is_success=true): "נוספה בהצלחה תגובה להתראה עם המזהה "{id}" ב-Orca Security". הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה "הוספת הערה להתראה". הסיבה: {0}''.format(error.Stacktrace)" אם מדווחת שגיאה: "Error executing action "Add Comment To Alert"‎. הסיבה: {error}."	כללי

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם מדווח קוד הסטטוס 200 ‏ (is_success=true): "נוספה בהצלחה תגובה להתראה עם המזהה "{id}" ב-Orca Security".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה "הוספת הערה להתראה". הסיבה: {0}''.format(error.Stacktrace)"

אם מדווחת שגיאה: "Error executing action "Add Comment To Alert"‎. הסיבה: {error}."

כללי

קבלת פרטי הנכס

תיאור

אחזור מידע על נכסים מ-Orca Security.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	Is Mandatory	תיאור
מזהי נכסים	CSV	לא רלוונטי	כן	צריך לציין רשימה מופרדת בפסיקים של מזהי נכסים שרוצים לקבל את הפרטים שלהם.
החזרת מידע על נקודות חולשה	תיבת סימון	סימן אישור	לא	אם הפעולה מופעלת, היא מחזירה נקודות חולשה שקשורות לנכס.
רמת החומרה הנמוכה ביותר של נקודות חולשה	DDL	מסוכנת ערכים אפשריים: בסיכון פריצה קרובה מסוכנת לצורך מידע	לא	רמת החומרה הנמוכה ביותר שצריך להשתמש בה כדי לאחזר נקודות חולשה.
מספר מקסימלי של נקודות חולשה לאחזור	מספר שלם	50	לא	מציינים את מספר נקודות החולשה שרוצים להחזיר לכל נכס. מקסימום: 100
יצירת תובנה	תיבת סימון	סימן אישור	לא	אם ההגדרה מופעלת, הפעולה יוצרת תובנה לכל נכס מועשר.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים	דוגמה
is_success	נכון/לא נכון	is_success=False

תוצאת JSON

[
    {
        "status": "success",
        "data": [
            {
                "id": "cc",
                "type": "cc",
                "data": {
                    "Category": {
                        "value": "Storage"
                    },
                    "ConsoleUrlLink": {
                        "value": "helo"
                    },
                    "CreationTime": {
                        "value": "2025-09-23T16:24:59+00:00"
                    },
                    "Exposure": {
                        "value": "N/A"
                    },
                    "FirstSeen": {
                        "value": "2025-09-24T05:46:47+00:00"
                    },
                    "LastSeen": {
                        "value": "2025-09-24T15:13:16+00:00"
                    },
                    "Name": {
                        "value": "App Server"
                    },
                    "NewCategory": {
                        "value": "Data Storage"
                    },
                    "NewSubCategory": {
                        "value": "File System"
                    },
                    "Observations": {
                        "value": []
                    },
                    "OrcaScore": {
                        "value": 6.4
                    },
                    "Region": {
                        "value": "us-east-1"
                    },
                    "RelatedCompliances": {
                        "value": [
                            "abc",
                            "cc"
                        ]
                    },
                    "RiskLevel": {
                        "value": "medium"
                    },
                    "Score": {
                        "value": 4
                    },
                    "State": {
                        "value": "in-use"
                    },
                    "SubCategory": {
                        "value": "Volume"
                    },
                    "Tags": {
                        "value": {
                            "Client": "aw",
                            "Name": "App Server",
                            "SnapLabsManaged": "true"
                        }
                    },
                    "Type": {
                        "value": "cc"
                    },
                    "UiUniqueField": {
                        "value": "vol-cc"
                    },
                    "Zones": {
                        "value": [
                            "us-east-1b"
                        ]
                    },
                    "AssetUniqueId": {
                        "value": "cc"
                    },
                    "cluster_unique_id": {
                        "value": "cc"
                    },
                    "full_scan_time": {
                        "value": "2025-09-24T15:13:01+00:00"
                    },
                    "GroupUniqueId": {
                        "value": "cc"
                    }
                },
                "name": "App Server",
                "group_unique_id": "cc",
                "cluster_unique_id": "cc",
                "asset_unique_id": "cc",
                "last_seen": "2025-09-24T15:16:16+00:00"
            }
        ],
        "vulnerabilities": []
    }
]

קיר תיקים

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם יש נתונים זמינים לנכס אחד (is_success=true): "Successfully enriched the following assets using information from Orca Security: {asset id}" אם אין נתונים זמינים עבור מזהה נכס אחד (is_success=true): "הפעולה לא הצליחה להעשיר את הנכסים הבאים באמצעות מידע מ-Orca Security: ‏{asset id}" אם הנתונים לא זמינים לכל הנכסים (is_success=false): "אף אחד מהנכסים שסופקו לא הועשר". הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה "קבלת פרטי הנכס". הסיבה: {0}''.format(error.Stacktrace)	כללי
שולחן קיר עם ויטרינה	שם הטבלה: פרטי הנכס עמודות בטבלה: שם: {asset_name} סוג: {asset_type} חשבון: {account_name} קטגוריה: {asset_category} קטגוריית משנה: {asset_subcategory} מצב: {asset_state} רמת החומרה: {state/severity} נצפה לראשונה: {state/created_at} נראה לאחרונה: {state/last_seen}	כללי

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם יש נתונים זמינים לנכס אחד (is_success=true): "Successfully enriched the following assets using information from Orca Security: {asset id}"

אם אין נתונים זמינים עבור מזהה נכס אחד (is_success=true): "הפעולה לא הצליחה להעשיר את הנכסים הבאים באמצעות מידע מ-Orca Security: ‏{asset id}"

אם הנתונים לא זמינים לכל הנכסים (is_success=false): "אף אחד מהנכסים שסופקו לא הועשר".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה "קבלת פרטי הנכס". הסיבה: {0}''.format(error.Stacktrace)

כללי

שולחן קיר עם ויטרינה

שם הטבלה: פרטי הנכס עמודות בטבלה:

שם: {asset_name}
סוג: {asset_type}
חשבון: {account_name}
קטגוריה: {asset_category}
קטגוריית משנה: {asset_subcategory}
מצב: {asset_state}
רמת החומרה: {state/severity}
נצפה לראשונה: {state/created_at}
נראה לאחרונה: {state/last_seen}

כללי

קבלת מידע על תאימות

קבלת מידע על תאימות על סמך מסגרות שנבחרו ב-Orca Security.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	Is Mandatory	תיאור
שמות של מסגרות	CSV	לא רלוונטי	לא	ציינו רשימה מופרדת בפסיקים של שמות המסגרות שאתם רוצים לאחזר את פרטי התאימות שלהן. אם לא מציינים מסגרת, הפעולה מחזירה מידע על כל המסגרות שנבחרו.
מספר מקסימלי של מסגרות להחזרה	מספר שלם	50	לא	מציינים את מספר המסגרות שרוצים להחזיר.
יצירת תובנה	תיבת סימון	סימן אישור	כן	אם הפעולה מופעלת, היא יוצרת תובנה שמכילה מידע על התאימות.

השם המוצג של הפרמטר

סוג

ערך ברירת המחדל

Is Mandatory

תיאור

שמות של מסגרות

CSV

לא רלוונטי

לא

ציינו רשימה מופרדת בפסיקים של שמות המסגרות שאתם רוצים לאחזר את פרטי התאימות שלהן.

אם לא מציינים מסגרת, הפעולה מחזירה מידע על כל המסגרות שנבחרו.

מספר מקסימלי של מסגרות להחזרה

מספר שלם

לא

מציינים את מספר המסגרות שרוצים להחזיר.

יצירת תובנה

תיבת סימון

סימן אישור

כן

אם הפעולה מופעלת, היא יוצרת תובנה שמכילה מידע על התאימות.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים	דוגמה
is_success	נכון/לא נכון	is_success=False

תוצאת JSON

"frameworks": [
  {
    "display_name": "Orca Best Practices",
    "id": "orca_best_practices",
    "custom": false,
    "description": "Orca Best Practices",
    "active": true,
    "avg_score_percent": 70,
    "test_results": {
      "FAIL": 121,
      "PASS": 284
    },
    "categories": {
      "total_count": 12,
      "data": {
        "Storage": {
          "FAIL": 28,
          "PASS": 35
        },
        "Database": {
          "FAIL": 8,
          "PASS": 94
        },
        "Monitoring": {
          "FAIL": 20,
          "PASS": 4
        },
        "Users and Access": {
          "FAIL": 23,
          "PASS": 11
        },
        "Network": {
          "FAIL": 29,
          "PASS": 96
        },
        "Messaging Service": {
          "FAIL": 1,
          "PASS": 11
        },
        "Serverless": {
          "FAIL": 3,
          "PASS": 13
        },
        "Vm": {
          "FAIL": 6,
          "PASS": 4
        },
        "Authentication": {
          "FAIL": 4,
          "PASS": 10
        },
        "Account": {
          "PASS": 1
        },
        "ComputeServices": {
          "FAIL": 1,
          "PASS": 2
        },
        "Container": {
          "PASS": 1
        }
      }
    },
    "top_accounts": [
      {
        "570398916848": {
          "account_name": "alon-vendors",
          "FAIL": 121,
          "PASS": 284
        }
      }
    ]
  }
]

קיר תיקים

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם מדווח קוד הסטטוס 200 ‏ (is_success=true): "הוחזר בהצלחה מידע על תאימות ב-Orca Security". אם לא נמצאה מסגרת אחת (is_success=true): "המידע מהמסגרות הבאות לא נמצא ב-Orca Security. צריך לבדוק את האיות". הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'קבלת מידע על תאימות'. הסיבה: {0}''.format(error.Stacktrace)" אם לא נמצאו כל המסגרות (is_success=false): "שגיאה בביצוע הפעולה 'קבלת מידע על תאימות'. הסיבה: אף אחד מהמסגרות שצוינו לא נמצא ב-Orca Security. כדאי לבדוק את האיות.	כללי
שולחן קיר עם ויטרינה	שם הטבלה: פרטי תאימות עמודות בטבלה: שם: {display_name} תיאור: {description} ציון: {avg_score_percent} נכשלו: {test_results/FAIL} עברו: {test_results/PASS} פעיל: {active}	כללי

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם מדווח קוד הסטטוס 200 ‏ (is_success=true): "הוחזר בהצלחה מידע על תאימות ב-Orca Security".

אם לא נמצאה מסגרת אחת (is_success=true): "המידע מהמסגרות הבאות לא נמצא ב-Orca Security. צריך לבדוק את האיות".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'קבלת מידע על תאימות'. הסיבה: {0}''.format(error.Stacktrace)"

אם לא נמצאו כל המסגרות (is_success=false): "שגיאה בביצוע הפעולה 'קבלת מידע על תאימות'. הסיבה: אף אחד מהמסגרות שצוינו לא נמצא ב-Orca Security. כדאי לבדוק את האיות.

כללי

שולחן קיר עם ויטרינה

שם הטבלה: פרטי תאימות

עמודות בטבלה:

שם: {display_name}
תיאור: {description}
ציון: {avg_score_percent}
נכשלו: {test_results/FAIL}
עברו: {test_results/PASS}
פעיל: {active}

כללי

סריקת נכסים

סורקים נכסים ב-Orca Security.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	Is Mandatory	תיאור
מזהי נכסים	String	לא רלוונטי	כן	צריך לציין רשימה מופרדת בפסיקים של מזהי נכסים שרוצים לקבל את הפרטים שלהם.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים	דוגמה
is_success	נכון/לא נכון	is_success=False

תוצאת JSON

{
  "version": "0.1.0",
  "scan_unique_id": "4f606aae-9e9b-4d01-aa29-797a06b6300e",
  "asset_unique_ids": [
      "i-080f6dfdeac0c7ffc"
  ],
  "status": "done"
}

קיר תיקים

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם יש נתונים זמינים לנכס אחד (is_success=true): "Successfully scanned the following assets in Orca Security: {asset name}". אם הנתונים לא זמינים לנכס אחד או שהנכס לא נמצא (is_success=true): "הפעולה לא הצליחה לסרוק את הנכסים הבאים באמצעות Orca Security: ‏{asset name}" אם הנתונים לא זמינים לכל הנכסים (is_success=false): "אף אחד מהנכסים שסופקו לא נסרק". הודעה אסינכרונית: "נכסים בהמתנה: {asset names}" הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "Error executing action "Scan Assets".‎ הסיבה: {0}''.format(error.Stacktrace)" אם חלף הזמן הקצוב לתפוגה: "שגיאה בביצוע הפעולה 'סריקת נכסים'. הסיבה: חלף הזמן הקצוב לפעולה במהלך הביצוע. נכסים בהמתנה: {נכסים שעדיין בתהליך}. צריך להגדיל את זמן הקצוב לתפוגה ב-IDE".	כללי

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם יש נתונים זמינים לנכס אחד (is_success=true): "Successfully scanned the following assets in Orca Security: {asset name}".

אם הנתונים לא זמינים לנכס אחד או שהנכס לא נמצא (is_success=true): "הפעולה לא הצליחה לסרוק את הנכסים הבאים באמצעות Orca Security: ‏{asset name}"

אם הנתונים לא זמינים לכל הנכסים (is_success=false): "אף אחד מהנכסים שסופקו לא נסרק".

הודעה אסינכרונית: "נכסים בהמתנה: {asset names}"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "Error executing action "Scan Assets".‎ הסיבה: {0}''.format(error.Stacktrace)"

אם חלף הזמן הקצוב לתפוגה: "שגיאה בביצוע הפעולה 'סריקת נכסים'. הסיבה: חלף הזמן הקצוב לפעולה במהלך הביצוע. נכסים בהמתנה: {נכסים שעדיין בתהליך}. צריך להגדיל את זמן הקצוב לתפוגה ב-IDE".

כללי

קבלת פרטי נקודת החולשה

תיאור

אחזור מידע על נקודות חולשה מ-Orca Security.

פרמטרים

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	Is Mandatory	תיאור
מזהי CVE	CSV	לא רלוונטי	לא	ציינו רשימה מופרדת בפסיקים של מזהי CVE שצריך להעשיר.
יצירת תובנה	תיבת סימון	סימן אישור	לא	אם ההגדרה מופעלת, הפעולה יוצרת תובנה לכל פרצת אבטחה מועשרת. הסינון שאפשר לבצע באמצעות הפרמטר Fields To Return לא משפיע על יצירת התובנות.
מספר הנכסים המקסימלי להחזרה	מספר שלם	50	לא	מציינים כמה נכסים שקשורים ל-CVE רוצים להחזיר. מקסימום: 10,000
שדות להחזרה	CSV	לא רלוונטי	לא	צריך לציין רשימה מופרדת בפסיקים של שדות שצריך להחזיר. אם לנקודות החולשה אין שדות ספציפיים להחזרה, ערכי השדות האלה מוגדרים כ-null. הערה: הפרמטר הזה בודק את אובייקט ה-JSON אחרי שהוא עבר שיטוח. דוגמה: "object": {"id": 123} -> object_id הוא המפתח.
תשובה	DDL	JSON ערכים אפשריים: JSON CSV	לא	מציינים את סוג הפלט של הפעולה. אם בוחרים באפשרות "JSON", הפעולה מחזירה תוצאת JSON רגילה. אם בוחרים באפשרות "CSV", הפעולה יוצרת קובץ בתיקיית הפעולה, והתוצאה ב-JSON מכילה נתיב לקובץ הזה.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט

שם תוצאת הסקריפט	אפשרויות של ערכים	דוגמה
is_success	נכון/לא נכון	is_success=False

תוצאת JSON

{
    "cve_id": "{cve_id}",
    "results": [
        {
            "asset_auto_updates": "off",
            "vm_asset_unique_id": "vm_570398916848_i-07cb1901406d7f7a2",
            "group_type_string": "VM",
            "asset_regions_names": [
                "N. Virginia"
            ],
            "group_type": "asg",
            "cluster_type": "asg",
            "type": "cve",
            "score": 4,
            "vm_id": "i-07cb1901406d7f7a2",
            "asset_name": "alon-test",
            "context": "data",
            "nvd": {
                "cvss2_severity": "MEDIUM",
                "cvss2_score": 5.0,
                "cvss3_severity": "HIGH",
                "cvss3_vector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N",
                "cvss3_score": 7.5,
                "cvss2_vector": "AV:N/AC:L/Au:N/C:N/I:P/A:N"
            },
            "asset_distribution_version": "2 (2022.01.05)",
            "asset_first_public_ips": [
                "54.234.117.173"
            ],
            "asset_first_private_ips": [
                "10.0.85.56"
            ],
            "group_name": "alon-test",
            "level": 1,
            "fix_available_state": "Yes",
            "organization_name": "Partners",
            "published": "2019-09-30T19:15:00+00:00",
            "packages": [
                {
                    "installed_version": "1.12.13",
                    "package_name": "/opt/cni/bin/vlan",
                    "non_os_package_paths": [
                        "/opt/cni/bin/vlan"
                    ],
                    "patched_version": "1.13.1"
                },
                {
                    "installed_version": "1.12.13",
                    "package_name": "/opt/cni/bin/ipvlan",
                    "non_os_package_paths": [
                        "/opt/cni/bin/ipvlan"
                    ],
                    "patched_version": "1.13.1"
                },
                {
                    "installed_version": "1.12.13",
                    "package_name": "/opt/cni/bin/firewall",
                    "non_os_package_paths": [
                        "/opt/cni/bin/firewall"
                    ],
                    "patched_version": "1.13.1"
                },
                {
                    "installed_version": "1.12.13",
                    "package_name": "/opt/cni/bin/tuning",
                    "non_os_package_paths": [
                        "/opt/cni/bin/tuning"
                    ],
                    "patched_version": "1.13.1"
                },
                {
                    "installed_version": "1.12.13",
                    "package_name": "/opt/cni/bin/loopback",
                    "non_os_package_paths": [
                        "/opt/cni/bin/loopback"
                    ],
                    "patched_version": "1.13.1"
                }
            ],
            "cloud_vendor_id": "570398916848",
            "labels": [
                "fix_available"
            ],
            "asset_image_id": "ami-0d6c8b2a8562eba37",
            "asset_num_public_dnss": 1,
            "cve_id": "CVE-2019-16276",
            "asset_state": "running",
            "organization_id": "e739eb76-3d1a-4022-b5d0-360b10d44685",
            "asset_availability_zones": [
                "us-east-1b"
            ],
            "asset_unique_id": "vm_570398916848_i-07cb1901406d7f7a2",
            "asset_num_private_dnss": 1,
            "asset_vendor_id": "i-07cb1901406d7f7a2",
            "cvss3_score": 6.5,
            "group_val": "nongroup",
            "asset_type_string": "VM",
            "asset_regions": [
                "us-east-1"
            ],
            "group_unique_id": "asg_570398916848_alon-test",
            "cloud_account_id": "1b6a52d3-58ed-4879-af03-b99f252f532d",
            "asset_num_private_ips": 1,
            "account_name": "alon-vendors",
            "asset_type": "vm",
            "fix_available": true,
            "cvss3_vector": "CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N",
            "cluster_unique_id": "asg_570398916848_alon-test",
            "summary": "Go before 1.12.10 and 1.13.x before 1.13.1 allow HTTP Request Smuggling.",
            "severity": "informational",
            "cluster_name": "alon-test",
            "asset_first_public_dnss": [
                "ec2-54-234-117-173.compute-1.amazonaws.com"
            ],
            "tags_info_list": [
                "aws:ec2launchtemplate:version|1",
                "aws:autoscaling:groupName|alon-test",
                "aws:ec2launchtemplate:id|lt-09b558a2361e6b988"
            ],
            "asset_first_private_dnss": [
                "ip-10-0-85-56.ec2.internal"
            ],
            "cloud_provider": "aws",
            "asset_vpcs": [
                "vpc-07ef7f777429cfd82"
            ],
            "source_link": "https://nvd.nist.gov/vuln/detail/CVE-2019-16276",
            "asset_category": "VM",
            "asset_distribution_major_version": "2",
            "asset_tags_info_list": [
                "aws:ec2launchtemplate:version|1",
                "aws:autoscaling:groupName|alon-test",
                "aws:ec2launchtemplate:id|lt-09b558a2361e6b988"
            ],
            "cloud_provider_id": "570398916848",
            "asset_num_public_ips": 1,
            "asset_labels": [
                "brute-force_attempts"
            ],
            "asset_distribution_name": "Amazon",
            "affected_packages": [
                "/opt/cni/bin/vlan",
                "/opt/cni/bin/ipvlan",
                "/opt/cni/bin/firewall",
                "/opt/cni/bin/tuning",
                "/opt/cni/bin/loopback"
            ],
            "asset_role_names": [
                "ssh"
            ]
        }
    ]
}

קיר תיקים

סוג התוצאות	ערך/תיאור	סוג
הודעת פלט*	הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק: אם יש נתונים זמינים לגבי נקודת חולשה אחת (is_success=true): "Successfully enriched the following vulnerabilities using information from Orca Security: {cve id}" אם אין נתונים זמינים לגבי נקודת חולשה אחת (is_success=true): "הפעולה לא הצליחה להעשיר את נקודות החולשה הבאות באמצעות מידע מ-Orca Security: ‏{cve id}" אם אין נתונים זמינים לכל נקודות החולשה (is_success=false): "None of the provided vulnerabilities were enriched."‎ הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק: אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'קבלת פרטי נקודת החולשה'. הסיבה: {0}''.format(error.Stacktrace)"	כללי
שולחן קיר עם ויטרינה	שם הטבלה: פרטי נקודות החולשה עמודות בטבלה: מזהה: {cve_id} תיאור: {summary} יש תיקון זמין: {fix_available} מספר הנכסים המושפעים: {group_size} תוויות: {csv of labels} תאריך הפרסום: {published}	כללי

סוג התוצאות

ערך/תיאור

סוג

הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם יש נתונים זמינים לגבי נקודת חולשה אחת (is_success=true): "Successfully enriched the following vulnerabilities using information from Orca Security: {cve id}"

אם אין נתונים זמינים לגבי נקודת חולשה אחת (is_success=true): "הפעולה לא הצליחה להעשיר את נקודות החולשה הבאות באמצעות מידע מ-Orca Security: ‏{cve id}"

אם אין נתונים זמינים לכל נקודות החולשה (is_success=false): "None of the provided vulnerabilities were enriched."‎

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'קבלת פרטי נקודת החולשה'. הסיבה: {0}''.format(error.Stacktrace)"

כללי

שולחן קיר עם ויטרינה

שם הטבלה: פרטי נקודות החולשה

עמודות בטבלה:

מזהה: {cve_id}
תיאור: {summary}
יש תיקון זמין: {fix_available}
מספר הנכסים המושפעים: {group_size}
תוויות: {csv of labels}
תאריך הפרסום: {published}

כללי

מחברים

איך מגדירים מחברים ב-Google SecOps?

הערה: כדי למנוע אובדן נתונים, המחברים משתמשים בהשטחת אירועים. אם התראה גולמית מכילה רשימה של ישויות (כמו כמה כתובות אימייל, שמות מארחים או כתובות IP), המחברים משטיחים אותן באופן אוטומטי לאירועים נפרדים וייחודיים.

לדוגמה, התראה גולמית אחת שמכילה שלוש כתובות אימייל שונות נטמעת כשלושה אירועים נפרדים, שכל אחד מהם מכיל כתובת אימייל ייחודית אחת.

התהליך הזה מבטיח שכל ישות תתווסף לאינדקס בצורה נכונה כנכס ייחודי, כך שאפשר יהיה לחפש אותה ולבצע בה פעולות בפלייבוקים.

‫Orca Security – מחבר התראות

תיאור

לשלוף מידע על התראות מ-Orca Security.

הגדרת Orca Security – מחבר התראות ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר הגדרת המחבר.

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

השם המוצג של הפרמטר	סוג	ערך ברירת המחדל	חובה	תיאור
שם שדה המוצר	String	שם המוצר	כן	מזינים את שם השדה של המקור כדי לאחזר את שם השדה של המוצר.
שם השדה של האירוע	String	asset_type_string	כן	מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה של הסביבה	String	""	לא	מתאר את שם השדה שבו מאוחסן שם הסביבה. אם שדה הסביבה לא נמצא, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי (regex) של סביבה	String	.*	לא	תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה "שם השדה של הסביבה". ברירת המחדל היא .* כדי לתפוס הכול ולהחזיר את הערך ללא שינוי. משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטוי רגולרי. אם התבנית של הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.
זמן קצוב לתפוגה של סקריפט (בשניות)	מספר שלם	180	כן	מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
הרמה הבסיסית (root) של ה-API	String	https:/:8501	כן	שורש ה-API של המכונה של Orca Security.
מפתח API	String	לא רלוונטי	כן	מפתח ה-API של חשבון המכונה ב-Orca Security. אם מציינים גם את הפרמטר "מפתח API" וגם את הפרמטר "אסימון API", המערכת משתמשת בפרמטר "אסימון API".
טוקן API	String	לא רלוונטי	כן	טוקן ה-API של חשבון המכונה של Orca Security. אם מציינים גם את הפרמטר "מפתח API" וגם את הפרמטר "אסימון API", המערכת משתמשת בפרמטר "אסימון API".
סינון לפי קטגוריות	CSV	לא רלוונטי	לא	רשימה מופרדת בפסיקים של שמות קטגוריות שצריך להשתמש בהם במהלך הטמעת ההתראות. הערה: הפרמטר הזה תלוי אותיות רישיות.
העדיפות הנמוכה ביותר לאחזור	String	לא רלוונטי	לא	רמת החומרה הנמוכה ביותר שצריך להשתמש בה כדי לאחזר התראות. ערכים אפשריים: Compromised, ‏ Imminent compromise, ‏ Hazardous, ‏ Informational אם לא מציינים רמת חומרה, המחבר מטמיע התראות בכל רמות החומרה.
מספר השעות המקסימלי אחורה	מספר שלם	1	לא	מספר השעות שמהן צריך לאחזר התראות.
מספר ההתראות המקסימלי לאחזור	מספר שלם	100	לא	מספר ההתראות לעיבוד בכל איטרציה של מחבר.
שימוש ברשימה דינמית כרשימת חסימה	תיבת סימון	התיבה לא מסומנת	כן	אם המדיניות מופעלת, רשימות דינמיות משמשות כרשימת חסימה.
אימות SSL	תיבת סימון	התיבה לא מסומנת	כן	אם היא מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Orca Security תקף.
כתובת שרת ה-Proxy	String	לא רלוונטי	לא	כתובת שרת ה-Proxy שבו רוצים להשתמש.
שם המשתמש בשרת ה-proxy	String	לא רלוונטי	לא	שם המשתמש של שרת ה-proxy לאימות.
סיסמת שרת ה-Proxy	סיסמה	לא רלוונטי	לא	הסיסמה לאימות מול שרת ה-proxy.
מסנן לפי סוג ההתראה	CSV	לא רלוונטי	לא	סוג ההתראות שצריך להטמיע. המסנן הזה פועל עם הפרמטר `AlertType_value` בתגובה. לדוגמה: `aws_s3_bucket_accessible_to_unmonitored_account`

כללי מחברים

תמיכה בשרת proxy

המחבר תומך בשרת proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.