Qualys EDR

In diesem Dokument wird beschrieben, wie Sie Qualys EDR in Google SecOps einbinden.

Qualys EDR-Integration in Google Security Operations konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
API-Stamm	String	http://x.x.x.x	Ja	API-Stamm der Qualys EDR-Instanz.
Nutzername	String	–	Ja	Nutzername des Qualys EDR-Kontos.
Passwort	Passwort	–	Ja	Passwort des Qualys EDR-Kontos.
SSL überprüfen	Kästchen	Aktiviert	Ja	Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Qualys EDR-Server gültig ist.

Hinweis: Sie können später bei Bedarf Änderungen vornehmen. Nach der Konfiguration können die Instanzen in Playbooks verwendet werden. Ausführliche Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Ping

Beschreibung

Testen Sie die Verbindung zu Qualys EDR mit den Parametern, die auf der Seite für die Integrationskonfiguration im Google SecOps Content Hub angegeben sind.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen
is_success	is_success=False
is_success	is_success=True

Fall-Repository

Case	Erfolg	Fehlgeschlagen	Meldung
Bei Erfolg	wahr	falsch	Die Verbindung zum Qualys EDR-Server wurde mit den angegebenen Verbindungsparametern hergestellt.
Wenn nicht erfolgreich	falsch	wahr	Verbindung zum Qualys EDR-Server konnte nicht hergestellt werden. Fehler: {0}".format(exception.stacktrace)

Connector

Qualys EDR – Events Connector

Beschreibung

Informationen zu Ereignissen aus Qualys EDR abrufen.

Qualys EDR – Events-Connector in Google SecOps konfigurieren

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Produktfeldname	String	Produktname	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Produktfelds abzurufen.
Name des Ereignisfelds	String	Typ	Ja	Geben Sie den Namen des Quellfelds ein, um den Namen des Ereignisfelds abzurufen.
Name des Umgebungsfelds	String	""	Nein	Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung die Standardumgebung.
Regex-Muster für Umgebung	String	.*	Nein	Ein Regex-Muster, das für den Wert im Feld „Environment Field Name“ ausgeführt werden soll. Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben. Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Feld „Umgebung“ über Regex-Logik zu bearbeiten. Wenn das Regex-Muster null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden)	Ganzzahl	180	Ja	Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.
API-Stamm	String	–	Ja	API-Stamm der Qualys EDR-Instanz.
Nutzername	String	–	Ja	Nutzername des Qualys EDR-Kontos.
Passwort	String	–	Ja	Passwort des Qualys EDR-Kontos.
Niedrigste abzurufende Punktzahl	Ganzzahl	5	Falsch	Niedrigste Punktzahl, die zum Abrufen von Ereignissen verwendet werden muss. Maximum: 10. Wenn nichts angegeben ist, werden Ereignisse mit allen Bewertungen aufgenommen.
Filtertyp	CSV	Datei, Netzwerk	Ja	Typfilter für die Ereignisse. Mögliche Werte: file,mutex,process,network,registry.
Maximale Anzahl von Stunden rückwärts	Ganzzahl	1	Nein	Anzahl der Stunden, für die Ereignisse abgerufen werden sollen.
Maximale Anzahl abzurufender Ereignisse	Ganzzahl	100	Nein	Wie viele Benachrichtigungslogs pro Connector-Iteration verarbeitet werden sollen. Der Standardwert is 100.
Zulassungsliste als Sperrliste verwenden	Kästchen	Aktiviert	Ja	Wenn diese Option aktiviert ist, wird die Zulassungsliste als Sperrliste verwendet.
SSL überprüfen	Kästchen	Aktiviert	Ja	Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Qualys EDR-Server gültig ist.
Proxyserveradresse	String	–	Nein	Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername	String	–	Nein	Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort	Passwort	–	Nein	Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Proxyunterstützung.

Der Connector unterstützt Proxy.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten