Outpost24

במאמר הזה מוסבר איך לשלב את Outpost24 עם Google SecOps.

הגדרת השילוב של Outpost24 ב-Google Security Operations

איך מגדירים שילובים ב-Google SecOps

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
הרמה הבסיסית (root) של ה-API String https://your-appliance.outpost24.com כן כתובת ה-URL הבסיסית של ה-API של המכונה ב-Outpost24.
שם משתמש String לא רלוונטי כן שם המשתמש של החשבון ב-Outpost24.
סיסמה סיסמה לא רלוונטי כן הסיסמה של חשבון Outpost24.
אימות SSL תיבת סימון סימן אישור כן אם ההגדרה מופעלת, המערכת מאמתת שאישור ה-SSL של החיבור לשרת Outpost24 תקף.

תרחישים לדוגמה

  1. העשרת ישויות
  2. הטמעת התראות

פעולות

העשרת ישויות

תיאור

העשרת ישויות באמצעות מידע מ-Outpost24. ישויות נתמכות: כתובת IP, שם מארח.

פרמטרים

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
יצירת תובנה תיבת סימון סימן אישור לא אם הפעולה מופעלת, היא יוצרת תובנה שמכילה את כל המידע שאוחזר על הישות.
החזרת מידע על ממצאים תיבת סימון סימן אישור לא אם הפעולה מופעלת, היא גם מאחזרת מידע על ממצאים שנמצאו בנקודת הקצה.
סוג הממצא DDL

הכול

ערכים אפשריים:

  • הכול
  • נקודת חולשה
  • מידע
  • יציאה
 לא מציינים את סוג הממצאים שרוצים לקבל.
מסנן רמת הסיכון של הממצאים CSV ראשוני, המלצה, נמוך, בינוני, גבוה, קריטי לא

צריך לציין רשימה מופרדת בפסיקים של ממצאים ברמת הסיכון שמשמשים במהלך הסינון.

ערכים אפשריים: Initial, ‏ Recommendation, ‏ Low, ‏ Medium, ‏ High, ‏ Critical.

אם לא מציינים רמת סיכון, הפעולה מאחזרת ממצאים בכל רמות הסיכון.
מספר הממצאים המקסימלי להחזרה מספר שלם 100 לא

מציינים את מספר הממצאים לעיבוד בכל ישות.

אם לא מציינים ערך, הפעולה מחזירה 100 ממצאים.

ריצה

הפעולה פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "id": 24358,
    "ip": "10.205.0.35",
    "hostname": "lix18.mirmine.net",
    "businessCriticality": "MEDIUM",
    "exposed": false,
    "created": "2021-09-09T12:58:47.085514Z",
    "firstSeen": "2021-09-09T12:58:47.085514Z",
    "source": [
        "NETSEC"
    ]
"Findings": [list of findings]
}
העשרת ישויות
שם שדה ההעשרה לוגיקה – מתי להחיל
שם המארח כשהוא זמין ב-JSON
ip כשהוא זמין ב-JSON
חשופות כשהוא זמין ב-JSON
businessCriticality כשהוא זמין ב-JSON
ההגדרות האישיות נוצרו כשהוא זמין ב-JSON
firstSeen כשהוא זמין ב-JSON
מקור כשהוא זמין ב-JSON
count_initial_findings כשהוא זמין ב-JSON
count_recommendation_findings כשהוא זמין ב-JSON
count_low_findings כשהוא זמין ב-JSON
count_medium_findings כשהוא זמין ב-JSON
count_high_findings כשהוא זמין ב-JSON
count_critical_findings כשהוא זמין ב-JSON
קיר נרתיקים
סוג התוצאות ערך / תיאור סוג (ישות \ כללי)
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם יש נתונים זמינים לישות אחת (is_success=true): "העשרת הישויות הבאות באמצעות מידע מ-Outpost24 Mobile בוצעה בהצלחה: {entity.identifier}".

אם אין נתונים זמינים לישות אחת (is_success=true): "הפעולה לא הצליחה להעשיר את הישויות הבאות באמצעות מידע מ-Outpost24: ‏{entity.identifier}"

אם אין נתונים זמינים לאף ישות (is_success=false): "None of the provided entities were enriched."‎

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה "העשרת ישויות". Reason: {0}''.format(error.Stacktrace): "Error executing action "Enrich Entities". הסיבה: צוינו ערכים לא חוקיים של מסנן רמת הסיכון: {csv of invalid values}. ערכים אפשריים: ראשוני, המלצה, נמוך, בינוני, גבוה, קריטי.'

 כללי
שולחן קיר עם ארונית

כותרת הטבלה: {entity.identifier}

עמודות בטבלה:

  • מפתח
  • ערך
 ישות
שולחן קיר עם ארונית

כותרת הטבלה: {entity.identifier}

עמודות בטבלה:

  • CVE
  • שם המוצר
  • שם השירות
  • סוג
  • פתרון
  • סיבה
  • תיאור
  • רמת הסיכון
 טבלה

פינג

תיאור

בודקים את הקישוריות ל-Outpost24 באמצעות הפרמטרים שצוינו בדף הגדרת השילוב ב-Google SecOps Content Hub.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו לא פועלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות של ערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
N/A
קיר נרתיקים
סוג התוצאות ערך/תיאור סוג (ישות \ כללי)
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם החיבור הצליח: "החיבור לשרת Outpost24 בוצע בהצלחה באמצעות פרמטרי החיבור שסופקו".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם התגובה נכשלה: "Failed to connect to the Outpost24 server!‎ השגיאה היא {0}".format(exception.stacktrace)

 כללי

מחברים

Outpost24 – מחבר לממצאים של Outscan

תיאור

שליפת מידע על ממצאי Outscan מ-Outpost24.

הגדרת Outpost24 – מחבר הממצאים של Outscan ב-Google SecOps

הוראות מפורטות להגדרת מחבר ב-Google SecOps מופיעות במאמר הגדרת המחבר.

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String שם המוצר כן מזינים את שם השדה של המקור כדי לאחזר את שם השדה של המוצר.
שם השדה של האירוע String סוג כן מזינים את שם שדה המקור כדי לאחזר את שם שדה האירוע.
שם השדה של הסביבה String "" לא

מתאר את שם השדה שבו מאוחסן שם הסביבה.

אם שדה הסביבה לא נמצא, הסביבה היא סביבת ברירת המחדל.
תבנית ביטוי רגולרי של סביבה String .* לא

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה "שם השדה של הסביבה".

ברירת המחדל היא .* כדי לכלול את הכול ולהחזיר את הערך ללא שינוי.

משמש כדי לאפשר למשתמש לשנות את שדה הסביבה באמצעות לוגיקה של ביטויים רגולריים.

אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.
זמן קצוב לתפוגה של סקריפט (בשניות) מספר שלם 300 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
הרמה הבסיסית (root) של ה-API String https://your-appliance.outpost24.com כן כתובת ה-URL הבסיסית של ה-API של המכונה ב-Outpost24.
שם משתמש String לא רלוונטי כן שם המשתמש של החשבון ב-Outpost24.
סיסמה סיסמה לא רלוונטי כן הסיסמה של חשבון Outpost24.
מסנן סוגים CSV נקודת חולשה, מידע, יציאה כן

רשימה מופרדת בפסיקים של מסנני סוגים לממצא.

ערכים אפשריים: Vulnerability, ‏ Information, ‏ Port.
הסיכון הנמוך ביותר לאחזור String לא רלוונטי לא

רמת הסיכון הנמוכה ביותר שצריך להשתמש בה כדי לאחזר התראות.

ערכים אפשריים: "ראשוני", "המלצה", "נמוך", "בינוני", "גבוה", "קריטי".

אם לא מציינים ערך, המחבר מטמיע התראות בכל רמות הסיכון.
מספר הימים המקסימלי אחורה מספר שלם 1 לא מספר השעות שבהן צריך לאחזר ממצאים.
מספר הממצאים המקסימלי לאחזור מספר שלם 100 לא מספר הממצאים לעיבוד בכל איטרציה של מחבר.
שימוש ברשימת ההיתרים כרשימת חסימה תיבת סימון התיבה לא מסומנת כן אם המדיניות מופעלת, רשימת ההיתרים משמשת כרשימת חסימות.
אימות SSL תיבת סימון סימן אישור כן אם ההגדרה מופעלת, המערכת מאמתת שאישור ה-SSL של החיבור לשרת Outpost24 תקף.
כתובת שרת ה-Proxy String לא רלוונטי לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם המשתמש בשרת ה-proxy String לא רלוונטי לא שם המשתמש של שרת ה-proxy לאימות.
סיסמת שרת ה-Proxy סיסמה לא רלוונטי לא הסיסמה לאימות מול שרת ה-proxy.

כללי מחברים

תמיכה בשרת proxy

המחבר תומך בשרת proxy.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.