Orca Security
本文說明如何將 Orca Security 與 Google SecOps 整合。
在 Google Security Operations 中設定 Orca Security 整合
如要瞭解如何在 Google SecOps 中設定整合功能，請參閱這篇說明文章。
整合參數
請使用下列參數設定整合：
| 參數顯示名稱 | 類型 | 預設值 | 為必填 | 說明 |
|---|---|---|---|---|
| UI 根目錄 | 字串 | https://{ui instance} | 是 | Orca Security 執行個體的 UI 根目錄。 |
| API 根層級 | 字串 | https://{api instance} | 是 | Orca Security 執行個體的 API 根目錄。 |
| API 金鑰 | 字串 | 不適用 | 是 | Orca Security 執行個體帳戶的 API 金鑰。 如果同時提供「API 金鑰」和「API 權杖」參數，系統會使用「API 權杖」參數。 |
| API 權杖 | 字串 | 不適用 | 是 | Orca Security 執行個體帳戶的 API 權杖。 如果同時提供「API 金鑰」和「API 權杖」參數，系統會使用「API 權杖」參數。 |
| 驗證 SSL | 核取方塊 | 已勾選 | 是 | 如果已啟用，請確認與 Orca Security SIEM 伺服器連線的 SSL 憑證有效。 |
如何產生 API 金鑰
- 依序前往「Settings」->「Integrations」->「Orca API」。
- 依序點選「管理金鑰」和「產生新金鑰」。
- 複製產生的金鑰，並貼到 Google SecOps。
應用實例
- 擷取警告。
- 擷取資產或安全漏洞的相關資訊。
- 分類警告。
- 追蹤法規遵循情形。
動作
如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。
乒乓
在 Google SecOps Content Hub 的整合設定頁面，使用提供的參數測試與 Orca Security 的連線能力。
參數
不適用
執行日期
這項動作不會對實體執行，也沒有必要輸入參數。
動作執行結果
指令碼執行結果
| 指令碼執行結果名稱 | 值選項 | 範例 |
|---|---|---|
| is_success | True/False | is_success=False |
JSON 結果
N/A
案件總覽
| 結果類型 | 值/說明 | 類型 |
|---|---|---|
| 輸出訊息* | 動作不應失敗，也不應停止執行應對手冊： 如果成功：「已成功使用提供的連線參數連線至 Orca Security 伺服器！」 動作應失敗並停止執行應對手冊： 如果失敗：「Failed to connect to the Orca Security server! 錯誤為 {0}".format(exception.stacktrace) |
一般 |
更新警告內容
在 Orca Security 中更新警告。
參數
| 參數顯示名稱 | 類型 | 預設值 | 是否為必填 | 說明 |
|---|---|---|---|---|
| 快訊 ID | 字串 | 不適用 | 是 | 指定要更新的快訊 ID。 |
| 驗證快訊 | 核取方塊 | 已取消勾選 | 否 | 啟用後，這項動作會啟動警告驗證程序。 |
| 延後狀態 | DDL | 請選取一項 可能的值：
|
否 | 指定快訊的延後狀態。 |
| 延後天數 | 字串 | 1 | 否 | 指定快訊延後天數。 如果「延後狀態」參數設為「延後」，則必須提供這項參數。 如未提供，動作會將快訊延後 1 天。 |
| 狀態 | DDL | 請選取一項 可能的值：
|
否 | 指定要為快訊設定的狀態。 |
執行日期
這項動作不會對實體執行。
動作執行結果
指令碼執行結果
| 指令碼執行結果名稱 | 值選項 | 範例 |
|---|---|---|
| is_success | True/False | is_success=False |
JSON 結果
{
"id": "ss",
"type": "Alert",
"data": {
"AlertId": {
"value": "263534"
},
"AlertSource": {
"value": "Orca Scan"
},
"AlertType": {
"value": "cc"
},
"AssetData": {
"value": {
"asset_name": "Armor-test/CE",
"asset_type": "cisource",
"asset_vpcs": [],
"asset_state": "enabled",
"account_name": "Armn",
"asset_category": "CI Source",
"cloud_provider": "shiftleft",
"cloud_vendor_id": "fbn",
"asset_tags_info_list": [
"retest_tag|maybe"
],
"custom_tags_info_list": [],
"cluster_type": null,
"vm_id": null,
"asset_labels": null,
"resource_group_name": null,
"cluster_name": "An"
}
},
"Category": {
"value": "Vulnerabilities"
},
"ClosedReason": {
"value": "user moved to done"
},
"ClosedTime": {
"value": "2025-09-23T10:10:59+00:00"
},
"CommentsCount": {
"value": 0
},
"CreatedAt": {
"value": "2025-09-23T00:22:07+00:00"
},
"CveFixAvailable": {
"value": true
},
"CveIds": {
"value": [
"CVE"
]
},
"CveOpen": {
"value": {
"CVE-2025-41249": {
"detected": "23.09.2025"
}
}
},
"Description": {
"value": "cc"
},
"Details": {
"value": "cc"
},
"IsLive": {
"value": true
},
"Labels": {
"value": [
"fix_available"
]
},
"LastSeen": {
"value": "2025-09-23T10:23:59+00:00"
},
"LastUpdated": {
"value": "2025-09-23T11:36:35+00:00"
},
"MaxCvssScore": {
"value": 7.5
},
"Name": {
"value": "orca-1263534"
},
"OrcaScore": {
"value": 3.1
},
"PrevUserDefinedStatus": {
"value": "snoozed"
},
"Recommendation": {
"value": "Pc"
},
"RelatedCompliances": {
"value": []
},
"RemediationCli": {
"value": []
},
"RemediationConsole": {
"value": []
},
"RiskFindings": {
"value": {
"cves": {
"fixable": 1,
"top_cves": [
{
"cve_id": "cc",
"fixable": true,
"cvss_score": 7.5,
"first_seen": "2025-09-23T00:22:12+00:00",
"cvss_source": "CNA v3",
"cvss_vector": "c",
"exploitable": false,
"cvss_severity": "HIGH",
"patched_version": "6.2.11",
"cvss_source_link": "cc"
}
],
"total_cves": 1,
"exploitable": 0,
"count_by_cvss_severity": {
"HIGH": 1
}
},
"package": {
"target": "./jobs/job-scheduler/pom.xml",
"origin_url": "https://example.com",
"package_id": "org.sp",
"package_name": "cc",
"installed_version": "5.3.22"
}
}
},
"RiskLevel": {
"value": "low"
},
"RiskLevelTime": {
"value": "2025-09-23T00:22:07+00:00"
},
"RuleId": {
"value": "r81a3c225f3"
},
"RuleSource": {
"value": "Orca"
},
"RuleType": {
"value": "vulnerability"
},
"Score": {
"value": 3
},
"ScoreVector": {
"value": {
"AlertBaseScore": {
"score": 3.15,
"Features": [
{
"score": 0.0,
"value": "None",
"weight": 0.5,
"category": "Attack Impact",
"display_name": "Mitre Category",
"effect_level": 0,
"impact_level": 0.0
}
],
"display_name": "Alert Base Score"
}
}
},
"Severity": {
"value": "hazardous"
},
"Source": {
"value": "./jobs/job-scheduler/pom.xml"
},
"Status": {
"value": "open"
},
"StatusTime": {
"value": "2025-09-23T11:36:35+00:00"
},
"Title": {
"value": "ccs"
},
"UserDefinedStatus": {
"value": "open"
},
"VerificationStatus": {
"value": "scan_failed"
},
"cluster_unique_id": {
"value": "cc"
},
"GroupUniqueId": {
"value": "cc"
},
"last_sync": {
"value": "2025-09-23T10:44:43+00:00"
}
},
"name": "orca-1263534",
"group_unique_id": "cc",
"cluster_unique_id": "cc",
"last_seen": "2025-09-23T10:27:42+00:00"
}
案件總覽
| 結果類型 | 值/說明 | 類型 |
|---|---|---|
| 輸出訊息* | 動作不應失敗，也不應停止執行應對手冊： 如果回報 200 狀態碼 (is_success=true)：「已成功在 Orca Security 更新 ID 為『{id}』的警告。」 如果回報「要求設定相同設定」錯誤 (is_success=true)：「ID 為『{id}』的快訊在 Orca Security 中已有『{status}』狀態。」 動作應失敗並停止執行應對手冊： 如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『更新快訊』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)" 如果回報其他錯誤：「執行『更新快訊』動作時發生錯誤。原因：{error}。 如果「延後狀態」參數選取「選取一項」：「執行『更新快訊』動作時發生錯誤。原因：必須提供「延後日期」。 如果「延後狀態」或「狀態」參數選取「選取一項」，且未啟用「驗證快訊」參數：「執行『更新快訊』動作時發生錯誤。原因：必須提供下列至少一項參數：「Status」、「Verify Alert」、「Snooze Alert」。 |
一般 |
新增警告註解
在 Orca Security 中為警告新增註解。
參數
| 參數顯示名稱 | 類型 | 預設值 | 是否為必填 | 說明 |
|---|---|---|---|---|
| 快訊 ID | 字串 | 不適用 | 是 | 指定要新增註解的快訊 ID。 |
| 註解 | 字串 | 不適用 | 是 | 指定要新增至快訊的註解。 |
執行日期
這項動作不會對實體執行。
動作執行結果
指令碼執行結果
| 指令碼執行結果名稱 | 值選項 | 範例 |
|---|---|---|
| is_success | True/False | is_success=False |
JSON 結果
{
"unique_id": 315478535,
"user_email": "tip.labops@siemplify.co",
"user_name": "John Doe",
"alert_id": "orca-264",
"asset_unique_id": "AwsIamRole_570398916848_e739eb76-1d18-7e74-d3d4-42dc68c8ece4",
"create_time": "2022-03-28T14:06:10+00:00",
"type": "comment",
"details": {
"description": "Added comment",
"comment": "asd"
}
}
案件總覽
| 結果類型 | 值/說明 | 類型 |
|---|---|---|
| 輸出訊息* | 動作不應失敗，也不應停止執行應對手冊： 如果回報 200 狀態碼 (is_success=true)：「已成功在 Orca Security 中為 ID 為「{id}」的警告新增註解。」 動作應失敗並停止執行應對手冊： 如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『在快訊中新增註解』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)" 如果系統回報錯誤：「Error executing action "Add Comment To Alert". 原因：{error}。 |
一般 |
取得資產詳細資料
說明
從 Orca Security 擷取資產相關資訊。
參數
| 參數顯示名稱 | 類型 | 預設值 | 是否為必填 | 說明 |
|---|---|---|---|---|
| 資產 ID | CSV | 不適用 | 是 | 指定要傳回詳細資料的資產 ID，並以逗號分隔的清單呈現。 |
| 傳回安全漏洞資訊 | 核取方塊 | 已勾選 | 否 | 如果啟用，這項動作會傳回與資產相關的安全漏洞。 |
| 安全漏洞的最低嚴重性 | DDL | 有害 可能的值：
|
否 | 擷取安全漏洞時，必須使用的最低嚴重性。 |
| 要擷取的安全漏洞數量上限 | 整數 | 50 | 否 | 指定每項資產要傳回的安全漏洞數量。 上限：100 |
| 建立洞察 | 核取方塊 | 已勾選 | 否 | 啟用後，這項動作會為每個經過擴充的資產建立深入分析。 |
執行日期
這項動作不會對實體執行。
動作執行結果
指令碼執行結果
| 指令碼執行結果名稱 | 值選項 | 範例 |
|---|---|---|
| is_success | True/False | is_success=False |
JSON 結果
[
{
"status": "success",
"data": [
{
"id": "cc",
"type": "cc",
"data": {
"Category": {
"value": "Storage"
},
"ConsoleUrlLink": {
"value": "helo"
},
"CreationTime": {
"value": "2025-09-23T16:24:59+00:00"
},
"Exposure": {
"value": "N/A"
},
"FirstSeen": {
"value": "2025-09-24T05:46:47+00:00"
},
"LastSeen": {
"value": "2025-09-24T15:13:16+00:00"
},
"Name": {
"value": "App Server"
},
"NewCategory": {
"value": "Data Storage"
},
"NewSubCategory": {
"value": "File System"
},
"Observations": {
"value": []
},
"OrcaScore": {
"value": 6.4
},
"Region": {
"value": "us-east-1"
},
"RelatedCompliances": {
"value": [
"abc",
"cc"
]
},
"RiskLevel": {
"value": "medium"
},
"Score": {
"value": 4
},
"State": {
"value": "in-use"
},
"SubCategory": {
"value": "Volume"
},
"Tags": {
"value": {
"Client": "aw",
"Name": "App Server",
"SnapLabsManaged": "true"
}
},
"Type": {
"value": "cc"
},
"UiUniqueField": {
"value": "vol-cc"
},
"Zones": {
"value": [
"us-east-1b"
]
},
"AssetUniqueId": {
"value": "cc"
},
"cluster_unique_id": {
"value": "cc"
},
"full_scan_time": {
"value": "2025-09-24T15:13:01+00:00"
},
"GroupUniqueId": {
"value": "cc"
}
},
"name": "App Server",
"group_unique_id": "cc",
"cluster_unique_id": "cc",
"asset_unique_id": "cc",
"last_seen": "2025-09-24T15:16:16+00:00"
}
],
"vulnerabilities": []
}
]
案件總覽
| 結果類型 | 值/說明 | 類型 |
|---|---|---|
| 輸出訊息* | 動作不應失敗，也不應停止執行應對手冊： 如果有一項資產的資料可用 (is_success=true)：「已成功使用 Orca Security 的資訊充實下列資產：{asset id}」 如果無法取得某項資產的資料 (is_success=true)：「動作無法使用 Orca Security 的資訊充實下列資產：{asset id}」 如果所有資產都沒有資料 (is_success=false)：「提供的資產都沒有經過擴充。」 動作應失敗並停止執行應對手冊： 如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「Error executing action "Get Asset Details". 原因：{0}''.format(error.Stacktrace) |
一般 |
| 案件總覽表格 | 表格名稱：資產詳細資料表格欄：
|
一般 |
取得法規遵循資訊
根據 Orca Security 中選取的架構，取得法規遵循資訊。
參數
| 參數顯示名稱 | 類型 | 預設值 | 是否為必填 | 說明 |
|---|---|---|---|---|
| 架構名稱 | CSV | 不適用 | 否 | 指定要擷取法規遵循詳細資料的架構名稱清單，並以半形逗號分隔。 如未提供任何資訊，這項動作會傳回所有所選架構的資訊。 |
| 要傳回的架構數量上限 | 整數 | 50 | 否 | 指定要傳回的架構數量。 |
| 建立洞察 | 核取方塊 | 已勾選 | 是 | 如果啟用，這項動作會建立包含法規遵循資訊的洞察。 |
執行日期
這項動作不會對實體執行。
動作執行結果
指令碼執行結果
| 指令碼執行結果名稱 | 值選項 | 範例 |
|---|---|---|
| is_success | True/False | is_success=False |
JSON 結果
"frameworks": [
{
"display_name": "Orca Best Practices",
"id": "orca_best_practices",
"custom": false,
"description": "Orca Best Practices",
"active": true,
"avg_score_percent": 70,
"test_results": {
"FAIL": 121,
"PASS": 284
},
"categories": {
"total_count": 12,
"data": {
"Storage": {
"FAIL": 28,
"PASS": 35
},
"Database": {
"FAIL": 8,
"PASS": 94
},
"Monitoring": {
"FAIL": 20,
"PASS": 4
},
"Users and Access": {
"FAIL": 23,
"PASS": 11
},
"Network": {
"FAIL": 29,
"PASS": 96
},
"Messaging Service": {
"FAIL": 1,
"PASS": 11
},
"Serverless": {
"FAIL": 3,
"PASS": 13
},
"Vm": {
"FAIL": 6,
"PASS": 4
},
"Authentication": {
"FAIL": 4,
"PASS": 10
},
"Account": {
"PASS": 1
},
"ComputeServices": {
"FAIL": 1,
"PASS": 2
},
"Container": {
"PASS": 1
}
}
},
"top_accounts": [
{
"570398916848": {
"account_name": "alon-vendors",
"FAIL": 121,
"PASS": 284
}
}
]
}
]
案件總覽
| 結果類型 | 值/說明 | 類型 |
|---|---|---|
| 輸出訊息* | 動作不應失敗，也不應停止執行應對手冊： 如果回報 200 狀態碼 (is_success=true)：「已成功傳回 Orca Security 的法規遵循資訊。」 如果找不到某個架構 (is_success=true)：「在 Orca Security 中找不到下列架構的資訊。請檢查拼字。」 動作應失敗並停止執行應對手冊： 如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『取得法規遵循資訊』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)" 如果找不到所有架構 (is_success=false)：「Error executing action "Get Compliance Info". 原因：在 Orca Security 中找不到任何提供的架構。請檢查拼字。 |
一般 |
| 案件總覽表格 | 資料表名稱：Compliance Details 表格欄：
|
一般 |
掃描資產
在 Orca Security 中掃描資產。
參數
| 參數顯示名稱 | 類型 | 預設值 | 是否為必填 | 說明 |
|---|---|---|---|---|
| 資產 ID | 字串 | 不適用 | 是 | 指定要傳回詳細資料的資產 ID，並以逗號分隔的清單呈現。 |
執行日期
這項動作不會對實體執行。
動作執行結果
指令碼執行結果
| 指令碼執行結果名稱 | 值選項 | 範例 |
|---|---|---|
| is_success | True/False | is_success=False |
JSON 結果
{
"version": "0.1.0",
"scan_unique_id": "4f606aae-9e9b-4d01-aa29-797a06b6300e",
"asset_unique_ids": [
"i-080f6dfdeac0c7ffc"
],
"status": "done"
}
案件總覽
| 結果類型 | 值/說明 | 類型 |
|---|---|---|
| 輸出訊息* | 動作不應失敗，也不應停止執行應對手冊： 如果有一項資產的資料 (is_success=true)：「已成功掃描 Orca Security 中的下列資產：{asset name}」。 如果無法取得某項資產的資料，或找不到資產 (is_success=true)：「動作無法使用 Orca Security 掃描下列資產：{asset name}」 如果所有資產都沒有資料 (is_success=false)：「未掃描任何提供的資產。」 非同步訊息：「待處理資產：{asset names}」 動作應失敗並停止執行應對手冊： 如果系統回報嚴重錯誤，例如憑證錯誤、無法連線至伺服器等：「執行『掃描資產』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)" 如果逾時：「Error executing action "Scan Assets". 原因：動作在執行期間逾時。待處理素材資源：{assets that are still in progress}。請在 IDE 中延長逾時時間。」 |
一般 |
取得安全漏洞詳細資料
說明
從 Orca Security 擷取安全漏洞相關資訊。
參數
| 參數顯示名稱 | 類型 | 預設值 | 是否為必填 | 說明 |
|---|---|---|---|---|
| CVE ID | CSV | 不適用 | 否 | 指定要擴充的 CVE 清單，並以半形逗號分隔。 |
| 建立洞察 | 核取方塊 | 已勾選 | 否 | 啟用後，這項動作會為每個經過強化的安全漏洞建立深入分析。 洞察資料的建立不受「Fields To Return」參數篩選條件的影響。 |
| 要傳回的素材資源數量上限 | 整數 | 50 | 否 | 指定要傳回多少與 CVE 相關的資產。 上限：10000 |
| 要傳回的欄位 | CSV | 不適用 | 否 | 指定要傳回的欄位，並以半形逗號分隔。 如果安全漏洞沒有要傳回的特定欄位，這類欄位值會設為空值。 注意：這個參數會檢查 JSON 物件，因為物件已扁平化。 範例："object": {"id": 123} -> object_id 是鍵。 |
| 輸出內容 | DDL | JSON 可能的值：
|
否 | 指定動作的輸出類型。 如果選取「JSON」，動作會傳回一般 JSON 結果。 如果選取「CSV」，這項動作會在動作執行資料夾中建立檔案，且 JSON 結果會包含該檔案的路徑。 |
執行日期
這項動作不會對實體執行。
動作執行結果
指令碼執行結果
| 指令碼執行結果名稱 | 值選項 | 範例 |
|---|---|---|
| is_success | True/False | is_success=False |
JSON 結果
{
"cve_id": "{cve_id}",
"results": [
{
"asset_auto_updates": "off",
"vm_asset_unique_id": "vm_570398916848_i-07cb1901406d7f7a2",
"group_type_string": "VM",
"asset_regions_names": [
"N. Virginia"
],
"group_type": "asg",
"cluster_type": "asg",
"type": "cve",
"score": 4,
"vm_id": "i-07cb1901406d7f7a2",
"asset_name": "alon-test",
"context": "data",
"nvd": {
"cvss2_severity": "MEDIUM",
"cvss2_score": 5.0,
"cvss3_severity": "HIGH",
"cvss3_vector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N",
"cvss3_score": 7.5,
"cvss2_vector": "AV:N/AC:L/Au:N/C:N/I:P/A:N"
},
"asset_distribution_version": "2 (2022.01.05)",
"asset_first_public_ips": [
"54.234.117.173"
],
"asset_first_private_ips": [
"10.0.85.56"
],
"group_name": "alon-test",
"level": 1,
"fix_available_state": "Yes",
"organization_name": "Partners",
"published": "2019-09-30T19:15:00+00:00",
"packages": [
{
"installed_version": "1.12.13",
"package_name": "/opt/cni/bin/vlan",
"non_os_package_paths": [
"/opt/cni/bin/vlan"
],
"patched_version": "1.13.1"
},
{
"installed_version": "1.12.13",
"package_name": "/opt/cni/bin/ipvlan",
"non_os_package_paths": [
"/opt/cni/bin/ipvlan"
],
"patched_version": "1.13.1"
},
{
"installed_version": "1.12.13",
"package_name": "/opt/cni/bin/firewall",
"non_os_package_paths": [
"/opt/cni/bin/firewall"
],
"patched_version": "1.13.1"
},
{
"installed_version": "1.12.13",
"package_name": "/opt/cni/bin/tuning",
"non_os_package_paths": [
"/opt/cni/bin/tuning"
],
"patched_version": "1.13.1"
},
{
"installed_version": "1.12.13",
"package_name": "/opt/cni/bin/loopback",
"non_os_package_paths": [
"/opt/cni/bin/loopback"
],
"patched_version": "1.13.1"
}
],
"cloud_vendor_id": "570398916848",
"labels": [
"fix_available"
],
"asset_image_id": "ami-0d6c8b2a8562eba37",
"asset_num_public_dnss": 1,
"cve_id": "CVE-2019-16276",
"asset_state": "running",
"organization_id": "e739eb76-3d1a-4022-b5d0-360b10d44685",
"asset_availability_zones": [
"us-east-1b"
],
"asset_unique_id": "vm_570398916848_i-07cb1901406d7f7a2",
"asset_num_private_dnss": 1,
"asset_vendor_id": "i-07cb1901406d7f7a2",
"cvss3_score": 6.5,
"group_val": "nongroup",
"asset_type_string": "VM",
"asset_regions": [
"us-east-1"
],
"group_unique_id": "asg_570398916848_alon-test",
"cloud_account_id": "1b6a52d3-58ed-4879-af03-b99f252f532d",
"asset_num_private_ips": 1,
"account_name": "alon-vendors",
"asset_type": "vm",
"fix_available": true,
"cvss3_vector": "CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N",
"cluster_unique_id": "asg_570398916848_alon-test",
"summary": "Go before 1.12.10 and 1.13.x before 1.13.1 allow HTTP Request Smuggling.",
"severity": "informational",
"cluster_name": "alon-test",
"asset_first_public_dnss": [
"ec2-54-234-117-173.compute-1.amazonaws.com"
],
"tags_info_list": [
"aws:ec2launchtemplate:version|1",
"aws:autoscaling:groupName|alon-test",
"aws:ec2launchtemplate:id|lt-09b558a2361e6b988"
],
"asset_first_private_dnss": [
"ip-10-0-85-56.ec2.internal"
],
"cloud_provider": "aws",
"asset_vpcs": [
"vpc-07ef7f777429cfd82"
],
"source_link": "https://nvd.nist.gov/vuln/detail/CVE-2019-16276",
"asset_category": "VM",
"asset_distribution_major_version": "2",
"asset_tags_info_list": [
"aws:ec2launchtemplate:version|1",
"aws:autoscaling:groupName|alon-test",
"aws:ec2launchtemplate:id|lt-09b558a2361e6b988"
],
"cloud_provider_id": "570398916848",
"asset_num_public_ips": 1,
"asset_labels": [
"brute-force_attempts"
],
"asset_distribution_name": "Amazon",
"affected_packages": [
"/opt/cni/bin/vlan",
"/opt/cni/bin/ipvlan",
"/opt/cni/bin/firewall",
"/opt/cni/bin/tuning",
"/opt/cni/bin/loopback"
],
"asset_role_names": [
"ssh"
]
}
]
}
案件總覽
| 結果類型 | 值/說明 | 類型 |
|---|---|---|
| 輸出訊息* | 動作不應失敗，也不應停止執行應對手冊： 如果一個安全漏洞有可用資料 (is_success=true)：「已成功使用 Orca Security 的資訊，充實下列安全漏洞：{cve id}」 如果無法取得某個安全漏洞的資料 (is_success=true)：「動作無法使用 Orca Security 的資訊充實下列安全漏洞：{cve id}」 如果所有安全漏洞都沒有資料 (is_success=false)：「提供的安全漏洞都沒有擴充資料。」 動作應失敗並停止執行應對手冊： 如果發生嚴重錯誤 (例如憑證錯誤、無法連線至伺服器等)，系統會回報：「執行『取得安全漏洞詳細資料』動作時發生錯誤。Reason: {0}''.format(error.Stacktrace)" |
一般 |
| 案件總覽表格 | 資料表名稱：安全漏洞詳細資料 表格欄：
|
一般 |
連接器
如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。
Orca Security - 警示連接器
說明
從 Orca Security 提取快訊相關資訊。
在 Google SecOps 設定 Orca Security - Alerts 連接器
如要瞭解如何在 Google SecOps 中設定連接器，請參閱「設定連接器」一文。
連接器參數
使用下列參數設定連接器：
| 參數顯示名稱 | 類型 | 預設值 | 為必填 | 說明 |
|---|---|---|---|---|
| 產品欄位名稱 | 字串 | 產品名稱 | 是 | 輸入來源欄位名稱，即可擷取產品欄位名稱。 |
| 事件欄位名稱 | 字串 | asset_type_string | 是 | 輸入來源欄位名稱，擷取事件欄位名稱。 |
| 環境欄位名稱 | 字串 | "" | 否 | 說明儲存環境名稱的欄位名稱。 如果找不到環境欄位，則環境為預設環境。 |
| 環境規則運算式模式 | 字串 | .* | 否 | 規則運算式模式，用於對「環境欄位名稱」欄位中的值執行。 預設值為 .*，可擷取所有值並傳回未變更的值。 用於允許使用者使用規則運算式邏輯操控環境欄位。 如果規則運算式模式為空值或空白，或環境值為空值，最終環境結果會是預設環境。 |
| 指令碼逾時 (秒) | 整數 | 180 | 是 | 執行目前指令碼的 Python 程序逾時限制。 |
| API 根層級 | 字串 | https:/:8501 | 是 | Orca Security 執行個體的 API 根目錄。 |
| API 金鑰 | 字串 | 不適用 | 是 | Orca Security 執行個體帳戶的 API 金鑰。 如果同時提供「API 金鑰」和「API 權杖」參數，系統會使用「API 權杖」參數。 |
| API 權杖 | 字串 | 不適用 | 是 | Orca Security 執行個體帳戶的 API 權杖。 如果同時提供「API 金鑰」和「API 權杖」參數，系統會使用「API 權杖」參數。 |
| 類別過濾 | CSV | 不適用 | 否 | 擷取快訊時應使用的類別名稱清單，以半形逗號分隔。 注意：這個參數須區分大小寫。 |
| 擷取優先順序最低 | 字串 | 不適用 | 否 | 擷取快訊時，必須使用的最低嚴重性。 可能的值：遭入侵、即將遭入侵、危險、資訊 如未指定，連接器會擷取所有嚴重程度的警告。 |
| 往回查詢時數上限 | 整數 | 1 | 否 | 擷取快訊的時間範圍 (以小時為單位)。 |
| 要擷取的警告數量上限 | 整數 | 100 | 否 | 每次連接器疊代要處理的快訊數量。 |
| 將動態清單當做黑名單使用 | 核取方塊 | 已取消勾選 | 是 | 如果啟用，動態清單會做為黑名單使用。 |
| 驗證 SSL | 核取方塊 | 已取消勾選 | 是 | 如果已啟用，請確認連至 Orca Security 伺服器的 SSL 憑證有效。 |
| Proxy 伺服器位址 | 字串 | 不適用 | 否 | 要使用的 Proxy 伺服器位址。 |
| Proxy 使用者名稱 | 字串 | 不適用 | 否 | 用於驗證的 Proxy 使用者名稱。 |
| Proxy 密碼 | 密碼 | 不適用 | 否 | 用於驗證的 Proxy 密碼。 |
| 快訊類型篩選器 | CSV | 不適用 | 否 | 需要擷取的快訊類型。這項篩選器會與回應中的 AlertType_value 參數搭配使用。範例：
aws_s3_bucket_accessible_to_unmonitored_account |
連接器規則
Proxy 支援
連接器支援 Proxy。
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。