Outpost24

In diesem Dokument finden Sie eine Anleitung zum Einbinden von Outpost24 in Google SecOps.

Outpost24-Integration in Google Security Operations konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
API-Stamm String https://your-appliance.outpost24.com Ja API-Stamm der Outpost24-Instanz.
Nutzername String – Ja Nutzername des Outpost24-Kontos.
Passwort Passwort – Ja Passwort des Outpost24-Kontos.
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Outpost24-Server gültig ist.

Anwendungsbereiche

  1. Entitäten anreichern
  2. Aufnahme von Benachrichtigungen

Aktionen

Entitäten anreichern

Beschreibung

Entitäten mit Informationen von Outpost24 anreichern. Unterstützte Entitäten: IP-Adresse, Hostname.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Insight erstellen Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, wird durch die Aktion eine Statistik mit allen abgerufenen Informationen zur Entität erstellt.
Informationen zu Ergebnissen zurückgeben Kästchen Aktiviert Nein Wenn diese Option aktiviert ist, werden mit der Aktion auch Informationen zu Ergebnissen abgerufen, die auf dem Endpunkt gefunden wurden.
Ergebnistyp DDL

Alle

Mögliche Werte:

  • Alle
  • Sicherheitslücke
  • Informationen
  • Port
 Nein Geben Sie den Typ der zurückzugebenden Ergebnisse an.
Filter für Risikostufe des Ergebnisses CSV Initial, Empfehlung, Niedrig, Mittel, Hoch, Kritisch Nein

Geben Sie eine durch Kommas getrennte Liste von Ergebnissen mit Risikostufen an, die beim Filtern verwendet werden.

Mögliche Werte: Initial, Recommendation, Low, Medium, High, Critical.

Wenn nichts angegeben ist, werden mit der Aktion Ergebnisse mit allen Risikostufen abgerufen.
Maximale Anzahl zurückzugebender Ergebnisse Ganzzahl 100 Nein

Geben Sie die Anzahl der Ergebnisse an, die pro Entität verarbeitet werden sollen.

Wenn nichts angegeben ist, gibt die Aktion 100 Ergebnisse zurück.

Ausführen am

Die Aktion wird für die folgenden Entitäten ausgeführt:

  • IP-Adresse
  • Hostname

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
{
    "id": 24358,
    "ip": "10.205.0.35",
    "hostname": "lix18.mirmine.net",
    "businessCriticality": "MEDIUM",
    "exposed": false,
    "created": "2021-09-09T12:58:47.085514Z",
    "firstSeen": "2021-09-09T12:58:47.085514Z",
    "source": [
        "NETSEC"
    ]
"Findings": [list of findings]
}
Entitätsanreicherung
Name des Anreicherungsfelds Logik – Wann anwenden?
Hostname Wenn in JSON verfügbar
ip Wenn in JSON verfügbar
exposed Wenn in JSON verfügbar
businessCriticality Wenn in JSON verfügbar
erstellt Wenn in JSON verfügbar
firstSeen Wenn in JSON verfügbar
Quelle Wenn in JSON verfügbar
count_initial_findings Wenn in JSON verfügbar
count_recommendation_findings Wenn in JSON verfügbar
count_low_findings Wenn in JSON verfügbar
count_medium_findings Wenn in JSON verfügbar
count_high_findings Wenn in JSON verfügbar
count_critical_findings Wenn in JSON verfügbar
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ (Entität \ Allgemein)
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn Daten für eine Entität verfügbar sind (is_success=true): „Die folgenden Entitäten wurden erfolgreich mit Informationen von Outpost24 Mobile angereichert: {entity.identifier}“.

Wenn für eine Entität keine Daten verfügbar sind (is_success=true): „Die Aktion konnte die folgenden Entitäten nicht mit Informationen von Outpost24 anreichern: {entity.identifier}“

Wenn für keine Entität Daten verfügbar sind (is_success=false): „Keine der angegebenen Entitäten wurde angereichert.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Entitäten anreichern‘. Reason: {0}''.format(error.Stacktrace): "Error executing action "Enrich Entities". Grund: Ungültige Filterwerte für die Risikostufe angegeben: {CSV-Datei mit ungültigen Werten}. Mögliche Werte: Initial, Recommendation, Low, Medium, High, Critical.'

 Allgemein
Tabelle mit Fall-Repository

Tabellentitel: {entity.identifier}

Tabellenspalten:

  • Schlüssel
  • Wert
 Entität
Tabelle mit Fall-Repository

Tabellentitel: {entity.identifier}

Tabellenspalten:

  • CVE
  • Produktname
  • Dienstname
  • Typ
  • Lösung
  • Grund
  • Beschreibung
  • Risikostufe
 Tabelle

Ping

Beschreibung

Testen Sie die Verbindung zu Outpost24 mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Parameter

–

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
JSON-Ergebnis
N/A
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ (Entität \ Allgemein
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Bei Erfolg: „Successfully connected to the Outpost24 server with the provided connection parameters!“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Wenn nicht erfolgreich: „Failed to connect to the Outpost24 server! Error is {0}".format(exception.stacktrace)

 Allgemein

Connectors

Outpost24 – Outscan Findings Connector

Beschreibung

Informationen zu Outscan-Ergebnissen von Outpost24 abrufen.

Outpost24 – Outscan Findings Connector in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Produktfeldname String Produktname Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds String Typ Ja Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds String "" Nein

Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung String .* Nein

Ein Regex-Muster, das für den Wert im Feld „Environment Field Name“ ausgeführt werden soll.

Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben.

Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ über Regex-Logik zu bearbeiten.

Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden) Ganzzahl 300 Ja Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
API-Stamm String https://your-appliance.outpost24.com Ja API-Stamm der Outpost24-Instanz.
Nutzername String – Ja Nutzername des Outpost24-Kontos.
Passwort Passwort – Ja Passwort des Outpost24-Kontos.
Filtertyp CSV Sicherheitslücke, Information, Port Ja

Durch Kommas getrennte Liste von Typfiltern für das Ergebnis.

Mögliche Werte: Vulnerability, Information, Port.
Geringstes Risiko beim Abrufen String – Nein

Das niedrigste Risiko, das zum Abrufen von Benachrichtigungen verwendet werden muss.

Mögliche Werte: Initial, Recommendation, Low, Medium, High, Critical.

Wenn nichts angegeben ist, werden Benachrichtigungen aller Risikostufen aufgenommen.
Max. Tage zurück Ganzzahl 1 Nein Die Anzahl der Stunden, für die Ergebnisse abgerufen werden sollen.
Maximale Anzahl abzurufender Ergebnisse Ganzzahl 100 Nein Die Anzahl der Ergebnisse, die pro Connector-Iteration verarbeitet werden sollen.
Zulassungsliste als Sperrliste verwenden Kästchen Deaktiviert Ja Wenn diese Option aktiviert ist, wird die Zulassungsliste als Sperrliste verwendet.
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Outpost24-Server gültig ist.
Proxyserveradresse String – Nein Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername String – Nein Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort Passwort – Nein Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Proxyunterstützung.

Der Connector unterstützt Proxys.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten