Esta página se ha traducido con Cloud Translation API.

RSA NetWitness Platform

Versión de integración: 11.0

Configurar la integración de RSA NetWitness Platform en Google Security Operations

Para obtener instrucciones detalladas sobre cómo configurar una integración en Google SecOps, consulta Configurar integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombre de la instancia	Cadena	N/A	No	Nombre de la instancia para la que quiere configurar la integración.
Descripción	Cadena	N/A	No	Descripción de la instancia.
Raíz de la API Broker	Cadena	http://x.x.x.x:50103	No	Raíz de la API Broker.
Nombre de usuario de la API Broker	Cadena	N/A	No	Nombre de usuario de la API Broker.
Contraseña de la API Broker	Contraseña	N/A	No	Contraseña de la API Broker.
Raíz de la API Concentrator	Cadena	http://x.x.x.x:50105	No	Raíz de la API Concentrator.
Nombre de usuario de la API Concentrator	Cadena	N/A	No	Nombre de usuario de la API Concentrator.
Contraseña de la API Concentrator	Contraseña	N/A	No	Contraseña de la API Concentrator.
Raíz de la API web	Cadena	https://{ip}/rest/api/	No	Raíz de la API de la instancia de la plataforma NetWitness.
Nombre de usuario web	Cadena	N/A	No	Nombre de usuario de la instancia de la plataforma Netwitness.
Contraseña web	Contraseña	N/A	No	Contraseña de la instancia de la plataforma Netwitness.
Verificar SSL	Casilla	Desmarcada	No	Si está habilitada, verifica que el certificado SSL de la conexión al servidor de la plataforma RSA NetWitness sea válido.
Ejecutar de forma remota	Casilla	Desmarcada	No	Marca el campo para ejecutar la integración configurada de forma remota. Una vez marcada, aparece la opción para seleccionar al usuario remoto (agente).

Acciones

Ping

Descripción

Prueba la conectividad con la plataforma RSA NetWitness.

Parámetros

N/A

Casos prácticos

N/A

Fecha de ejecución

Esta acción no se ejecuta en entidades ni tiene parámetros de entrada obligatorios.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero/Falso	is_success:False

Endpoint de enriquecimiento

Descripción

Obtiene la información del sistema del endpoint de obtención por su nombre de host o dirección IP. Requiere una licencia de RSA NetWitness Respond, que el servicio del servidor de endpoint se ejecute en segundo plano y que se hayan configurado el nombre de usuario y la contraseña web en la configuración de la integración.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	¿Es Mandatory?	Descripción
Umbral de puntuación de riesgo	Entero	50	Falso	Especifica el umbral de riesgo del endpoint. Si el endpoint supera el umbral, la entidad relacionada se marcará como sospechosa. Si no se especifica nada, la acción no comprobará la puntuación de riesgo.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

Dirección IP
Host

Resultados de la acción

Enriquecimiento de entidades

Nombre del campo de enriquecimiento	Fuente (clave JSON)	Lógica: cuándo aplicar
RSA_NTW_agentId	agentId	Cuando esté disponible en JSON
RSA_NTW_hostName	hostName	Cuando esté disponible en JSON
RSA_NTW_riskScore	riskScore	Cuando esté disponible en JSON
RSA_NTW_networkInterfaces_{id}_name	networkInterfaces/name	Cuando esté disponible en JSON
RSA_NTW_networkInterfaces_{id}_macAddress	networkInterfaces/macAddress	Cuando esté disponible en JSON
RSA_NTW_networkInterfaces_{id}_ipv4	Lista separada por espacios de networkInterfaces/ipv4	Cuando esté disponible en JSON
RSA_NTW_networkInterfaces_{id}_ipv6	Lista separada por espacios de networkInterfaces/ipv6	Cuando esté disponible en JSON
RSA_NTW_networkInterfaces_{id}_networkIdv6	Lista separada por espacios de networkInterfaces/networkIdv6	Cuando esté disponible en JSON
RSA_NTW_networkInterfaces_{id}_gateway	Lista separada por espacios de networkInterfaces/gateway	Cuando esté disponible en JSON
RSA_NTW_networkInterfaces_{id}_dns	Lista separada por espacios de networkInterfaces/dns	Cuando esté disponible en JSON
RSA_NTW_networkInterfaces_{id}_promiscuous	networkInterfaces/promiscuous	Cuando esté disponible en JSON
RSA_NTW_lastSeenTime	lastSeenTime	Cuando esté disponible en JSON

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero/Falso	is_success:False

Resultado de JSON

{
    "items": [
        {
            "agentId": "575EDC44-BDF9-6D00-FFCD-D354FB641E27",
            "hostName": "RSA-HOST-1",
            "riskScore": 100,
            "networkInterfaces": [
                {
                    "name": "Intel(R) 82574L Gigabit Network Connection",
                    "macAddress": "00:50:56:A2:30:03",
                    "ipv4": [
                        "172.30.203.145"
                    ],
                    "ipv6": [
                        "fe80::dce6:5825:454a:968d"
                    ],
                    "networkIdv6": [
                        "fe80::"
                    ],
                    "gateway": [
                        "172.30.203.1"
                    ],
                    "dns": [
                        "8.8.8.8"
                    ],
                    "promiscuous": false
                }
            ],
            "lastSeenTime": "2020-08-23T12:32:33.107Z"
        }
    ],
    "pageNumber": 0,
    "pageSize": 100,
    "totalPages": 1,
    "totalItems": 1,
    "hasNext": false,
    "hasPrevious": false
}

Panel de casos

Tipo de resultado	Valor/Descripción	Tipo
Mensaje de salida*	La acción no debe fallar ni detener la ejecución de una guía: Si la operación se ha completado correctamente y se ha enriquecido al menos una de las entidades proporcionadas (is_success = true): Imprime "Se han enriquecido correctamente los siguientes endpoints de RSA Netwitness: \n {0}".format(entity.identifier list) Si no se pueden enriquecer entidades específicas(is_success = true): Imprime "Action was not able to enrich the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier]) Si no se puede enriquecer ninguna entidad (is_success = false): Imprime: "No se ha enriquecido ninguna entidad". La acción debería fallar y detener la ejecución de un cuaderno de estrategias: Si se produce un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro: Imprime "Error al ejecutar la acción "Enrich Endpoint". Motivo: {0}''.format(error.Stacktrace) Si no se ha encontrado el servicio de endpoint: Imprime "Error al ejecutar la acción "Enrich Endpoint". Motivo: no se ha encontrado el servidor del endpoint".	General

Tipo de resultado

Valor/Descripción

Tipo

Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si la operación se ha completado correctamente y se ha enriquecido al menos una de las entidades proporcionadas (is_success = true):

Imprime "Se han enriquecido correctamente los siguientes endpoints de RSA Netwitness: \n {0}".format(entity.identifier list)

Si no se pueden enriquecer entidades específicas(is_success = true):

Imprime "Action was not able to enrich the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier])

Si no se puede enriquecer ninguna entidad (is_success = false):

Imprime: "No se ha enriquecido ninguna entidad".

La acción debería fallar y detener la ejecución de un cuaderno de estrategias:
Si se produce un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro:

Imprime "Error al ejecutar la acción "Enrich Endpoint". Motivo: {0}''.format(error.Stacktrace)

Si no se ha encontrado el servicio de endpoint:

Imprime "Error al ejecutar la acción "Enrich Endpoint". Motivo: no se ha encontrado el servidor del endpoint".

General

Enriquecer archivo

Descripción

Obtener información sobre el archivo mediante hashes o nombres de archivo. Solo se admiten MD5 y SHA256. Requiere una licencia de RSA NetWitness Respond, un servicio de servidor de endpoint que se ejecute en segundo plano y un nombre de usuario y una contraseña web configurados en la configuración de la integración.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	¿Es Mandatory?	Descripción
Umbral de puntuación de riesgo	Entero	50	No	Especifica el umbral de riesgo del archivo. Si el archivo supera el umbral, la entidad relacionada se marcará como sospechosa. Si no se especifica nada, la acción no comprobará la puntuación de riesgo.

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

Nombre del campo de enriquecimiento	Fuente (clave JSON)	Lógica: cuándo aplicar
RSA_NTW_filename	firstFileName	Cuando esté disponible en JSON
RSA_NTW_reputationStatus	reputationStatus	Cuando esté disponible en JSON
RSA_NTW_globalRiskScore	globalRiskScore	Cuando esté disponible en JSON
RSA_NTW_machineOsType	machineOsType	Cuando esté disponible en JSON
RSA_NTW_size	size	Cuando esté disponible en JSON
RSA_NTW_checksumMd5	checksumMd5	Cuando esté disponible en JSON
RSA_NTW_checksumSha1	checksumSha1	Cuando esté disponible en JSON
RSA_NTW_checksumSha256	checksumSha256	Cuando esté disponible en JSON
RSA_NTW_entropy	entropía	Cuando esté disponible en JSON
RSA_NTW_format	pe	Cuando esté disponible en JSON
RSA_NTW_fileStatus	Neutral	Cuando esté disponible en JSON
RSA_NTW_remediationAction	Desbloquear	Cuando esté disponible en JSON

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero/Falso	is_success:False

Resultado de JSON

{
    "items": [
        {
            "firstFileName": "AM_Delta_Patch_1.321.1947.0.exe",
            "reputationStatus": "Known Good",
            "globalRiskScore": 0,
            "firstSeenTime": "2020-08-23T00:46:25.288Z",
            "machineOsType": "windows",
            "signature": {
                "timeStamp": "2020-08-22T21:01:55.552Z",
                "thumbprint": "c6573d9ba5efc55b1ad1c59b9cafc33d232b13cc",
                "context": [
                    "microsoft",
                    "signed",
                    "valid"
                ],
                "signer": "Microsoft Corporation"
            },
            "size": 441280,
            "checksumMd5": "40d93a5ed9d2d55e35857c1f1de162db",
            "checksumSha1": "3096e9e4ac4cc46dcfa11a053583c2d3e14b14b8",
            "checksumSha256": "34261adf58ac3c8e38724d5fbfba21037d868a2c0b6291e2a61e5a023b55c3f9",
            "pe": {
                "timeStamp": "2020-08-22T20:57:28.000Z",
                "imageSize": 454656,
                "numberOfExportedFunctions": 0,
                "numberOfNamesExported": 0,
                "numberOfExecuteWriteSections": 0,
                "context": [
                    "file.exe",
                    "file.arch64",
                    "file.versionInfoPresent",
                    "file.resourceDirectoryPresent",
                    "file.relocationDirectoryPresent",
                    "file.debugDirectoryPresent",
                    "file.tlsDirectoryPresent",
                    "file.richSignaturePresent",
                    "file.companyNameContainsText",
                    "file.descriptionContainsText",
                    "file.versionContainsText",
                    "file.internalNameContainsText",
                    "file.legalCopyrightContainsText",
                    "file.originalFilenameContainsText",
                    "file.productNameContainsText",
                    "file.productVersionContainsText",
                    "file.standardVersionMetaPresent"
                ],
                "resources": {
                    "originalFileName": "AM_Delta_Patch_1.321.1947.0.exe",
                    "company": "Microsoft Corporation",
                    "description": "Microsoft Antimalware WU Stub",
                    "version": null
                },
                "sectionNames": [
                    ".text",
                    ".rdata",
                    ".data",
                    ".pdata",
                    ".rsrc",
                    ".reloc"
                ],
                "importedLibraries": [
                    "ADVAPI32.dll",
                    "KERNEL32.dll",
                    "RPCRT4.dll",
                    "ntdll.dll"
                ]
            },
            "elf": null,
            "macho": null,
            "entropy": 7.378079119412321,
            "format": "pe",
            "fileStatus": "Neutral",
            "remediationAction": "Unblock"
        }
    ],
    "pageNumber": 0,
    "pageSize": 100,
    "totalPages": 1,
    "totalItems": 1,
    "hasNext": false,
    "hasPrevious": false
}

Panel de casos

Tipo de resultado	Valor/Descripción	Tipo
Mensaje de salida*	La acción no debe fallar ni detener la ejecución de un playbook: Si se realiza correctamente y se ha enriquecido al menos una de las entidades proporcionadas (is_success = true): Imprime "Se han enriquecido correctamente los siguientes archivos de RSA Netwitness: \n {0}".format(entity.identifier list) Si no se pueden enriquecer entidades específicas(is_success = true): Imprime "Action was not able to enrich the following files from RSA Netwitness \n: {0}".format([entity.identifier]) Si no se puede enriquecer ninguna entidad (is_success = false): Imprimir: "No se ha enriquecido ninguna entidad". La acción debería fallar y detener la ejecución de la guía: Si se produce un error crítico, como credenciales incorrectas, no hay conexión con el servidor u otro: Imprime "Error al ejecutar la acción "Enriquecer archivo". Motivo: {0}''.format(error.Stacktrace) Si se produce un error crítico, como credenciales incorrectas, no hay conexión con el servidor u otro: Imprime "Error al ejecutar la acción "Enriquecer archivo". Motivo: no se ha encontrado el servidor del endpoint".	General

Tipo de resultado

Valor/Descripción

Tipo

Mensaje de salida*

La acción no debe fallar ni detener la ejecución de un playbook:
Si se realiza correctamente y se ha enriquecido al menos una de las entidades proporcionadas (is_success = true):
Imprime "Se han enriquecido correctamente los siguientes archivos de RSA Netwitness: \n {0}".format(entity.identifier list)

Si no se pueden enriquecer entidades específicas(is_success = true):
Imprime "Action was not able to enrich the following files from RSA Netwitness \n: {0}".format([entity.identifier])

Si no se puede enriquecer ninguna entidad (is_success = false):
Imprimir: "No se ha enriquecido ninguna entidad".

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error crítico, como credenciales incorrectas, no hay conexión con el servidor u otro:

Imprime "Error al ejecutar la acción "Enriquecer archivo". Motivo: {0}''.format(error.Stacktrace)

Si se produce un error crítico, como credenciales incorrectas, no hay conexión con el servidor u otro:

Imprime "Error al ejecutar la acción "Enriquecer archivo". Motivo: no se ha encontrado el servidor del endpoint".

General

Aislar endpoint

Descripción

Solicitar el aislamiento de endpoints en RSA Netwitness. Requiere una licencia de RSA NetWitness Respond, un servicio de servidor de endpoint que se ejecute en segundo plano y un nombre de usuario y una contraseña web configurados en la configuración de la integración.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Comentario	Cadena	N/A	Sí	Añade un comentario que describa el motivo de la solicitud de aislamiento.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

Dirección IP
Host

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero/Falso	is_success:False

Panel de casos

Tipo de resultado	Valor/Descripción	Tipo
Mensaje de salida*	La acción no debe fallar ni detener la ejecución de un playbook: Si se realiza correctamente para todas las entidades proporcionadas(is_success = true): Imprime "Se ha solicitado correctamente el aislamiento de los siguientes endpoints de RSA Netwitness: \n {0}".format(entity.identifier list) Si no se puede aislar al menos una de las entidades proporcionadas(is_success = false): Print "Action was not able to request isolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier]) La acción debería fallar y detener la ejecución de la guía: Si se produce un error crítico, como credenciales incorrectas, no hay conexión con el servidor u otro: Imprime "Error al ejecutar la acción "Aislar endpoint". Motivo: {0}''.format(error.Stacktrace) Si no se ha encontrado el servicio de endpoint: Imprime "Error al ejecutar la acción "Aislar endpoint". Motivo: no se ha encontrado el servidor del endpoint".	General

Tipo de resultado

Valor/Descripción

Tipo

Mensaje de salida*

La acción no debe fallar ni detener la ejecución de un playbook:
Si se realiza correctamente para todas las entidades proporcionadas(is_success = true):
Imprime "Se ha solicitado correctamente el aislamiento de los siguientes endpoints de RSA Netwitness: \n {0}".format(entity.identifier list)

Si no se puede aislar al menos una de las entidades proporcionadas(is_success = false):
Print "Action was not able to request isolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier])

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error crítico, como credenciales incorrectas, no hay conexión con el servidor u otro:

Imprime "Error al ejecutar la acción "Aislar endpoint". Motivo: {0}''.format(error.Stacktrace)

Si no se ha encontrado el servicio de endpoint:

Imprime "Error al ejecutar la acción "Aislar endpoint". Motivo: no se ha encontrado el servidor del endpoint".

General

Unisolate Endpoint

Descripción

Solicita la eliminación del aislamiento de un endpoint en RSA NetWitness. Requiere una licencia de RSA NetWitness Respond, un servicio de servidor de endpoint que se ejecute en segundo plano y un nombre de usuario y una contraseña web configurados en la configuración de la integración.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Comentario	Cadena	N/A	Sí	Añade un comentario que describa el motivo de la solicitud de aislamiento.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

Dirección IP
Host

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero/Falso	is_success:False

Panel de casos

Tipo de resultado	Valor/Descripción	Tipo
Mensaje de salida*	La acción no debe fallar ni detener la ejecución de un cuaderno de estrategias: Si se realiza correctamente para todas las entidades proporcionadas(is_success = true): Imprime "Se ha solicitado correctamente el aislamiento de los siguientes endpoints de RSA NetWitness: \n {0}".format(entity.identifier list) Si no se puede aislar al menos una de las entidades proporcionadas(is_success = false): Print "Action was not able to request unisolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier]) La acción debería fallar y detener la ejecución de la guía: Si se produce un error crítico, como credenciales incorrectas, no hay conexión con el servidor u otro: Imprime "Error al ejecutar la acción "Unisolate Endpoint". Motivo: {0}''.format(error.Stacktrace) Si no se ha encontrado el servicio de endpoint: Imprime "Error al ejecutar la acción "Unisolate Endpoint". Motivo: no se ha encontrado el servidor del endpoint".	General

Tipo de resultado

Valor/Descripción

Tipo

Mensaje de salida*

La acción no debe fallar ni detener la ejecución de un cuaderno de estrategias:
Si se realiza correctamente para todas las entidades proporcionadas(is_success = true):
Imprime "Se ha solicitado correctamente el aislamiento de los siguientes endpoints de RSA NetWitness: \n {0}".format(entity.identifier list)

Si no se puede aislar al menos una de las entidades proporcionadas(is_success = false):
Print "Action was not able to request unisolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier])

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error crítico, como credenciales incorrectas, no hay conexión con el servidor u otro:

Imprime "Error al ejecutar la acción "Unisolate Endpoint". Motivo: {0}''.format(error.Stacktrace)

Si no se ha encontrado el servicio de endpoint:

Imprime "Error al ejecutar la acción "Unisolate Endpoint". Motivo: no se ha encontrado el servidor del endpoint".

General

Actualizar incidente

Descripción

Actualiza el incidente en RSA NetWitness. Requiere una licencia de RSA Netwitness Respond y que se hayan configurado el nombre de usuario y la contraseña web en la configuración de la integración.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
ID del incidente	Cadena	N/A	Sí	Especifica el ID del incidente que se debe actualizar.
Estado	DDL	N/A	No	Especifica el nuevo estado del incidente.
Usuario asignado	Cadena	N/A	No	Especifica el nuevo asignatario del incidente.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero/Falso	is_success:False

Resultado de JSON

{
    "id": "INC-128",
    "title": "High Risk Alerts: NetWitness Endpoint for RSA-HOST-1",
    "summary": "",
    "priority": "High",
    "riskScore": 72,
    "status": "RemediationRequested",
    "alertCount": 136,
    "averageAlertRiskScore": 72,
    "sealed": true,
    "totalRemediationTaskCount": 0,
    "openRemediationTaskCount": 0,
    "created": "2020-08-26T12:56:57.867Z",
    "lastUpdated": "2020-08-26T15:31:27.953Z",
    "lastUpdatedBy": null,
    "assignee": "admin",
    "sources": [
        "ECAT"
    ],
    "ruleId": "5ef1b33614c0552a2884c590",
    "firstAlertTime": "2020-08-26T12:56:56.097Z",
    "categories": [],
    "journalEntries": null,
    "createdBy": "High Risk Alerts: NetWitness Endpoint",
    "deletedAlertCount": 0,
    "eventCount": 136,
    "alertMeta": {
        "SourceIp": [
            ""
        ],
        "DestinationIp": [
            ""
        ]
    }
}

Panel de casos

Tipo de resultado	Valor/Descripción	Tipo
Mensaje de salida*	La acción no debe fallar ni detener la ejecución de una guía: Si el código de estado es 200 (is_success = true): Imprime "Successfully updated incident with ID {0} in RSA Netwitness".format(incident_id). Si el código de estado es 400 (is_success=false): Imprime "No se ha podido actualizar el incidente con el ID {0} en RSA Netwitness. Motivo: {1}".format(incident_id, errors/message). La acción debería fallar y detener la ejecución de la guía: Si se produce un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro: Imprime "Error al ejecutar la acción "Actualizar incidencia". Motivo: {0}''.format(error.Stacktrace)	General

Tipo de resultado

Valor/Descripción

Tipo

Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si el código de estado es 200 (is_success = true):

Imprime "Successfully updated incident with ID {0} in RSA Netwitness".format(incident_id).

Si el código de estado es 400 (is_success=false):

Imprime "No se ha podido actualizar el incidente con el ID {0} en RSA Netwitness. Motivo: {1}".format(incident_id, errors/message).

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro:

Imprime "Error al ejecutar la acción "Actualizar incidencia". Motivo: {0}''.format(error.Stacktrace)

General

Añadir nota al incidente

Descripción

Añade una nota al incidente en RSA NetWitness. Requiere una licencia de RSA Netwitness Respond y que se hayan configurado el nombre de usuario y la contraseña web en la configuración de la integración.

Parámetros

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
ID del incidente	Cadena	N/A	Sí	Especifica el ID del incidente que se debe actualizar.
Nota	Cadena	N/A	Sí	Especifica a qué nota se debe añadir.
Autor	Cadena	N/A	Sí	Especifica el autor de la nota.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_success	Verdadero/Falso	is_success:False

Panel de casos

Tipo de resultado	Valor/Descripción	Tipo
Mensaje de salida*	La acción no debe fallar ni detener la ejecución de una guía: Si el código de estado es 200 (is_success = true): Imprime "Successfully added note to incident with ID {0} in RSA Netwitness".format(incident_id). Si el código de estado es 400 (is_success=false): Imprime "No se ha podido añadir la nota al incidente con el ID {0} en RSA NetWitness. Motivo: {1}".format(incident_id, errors/message). La acción debería fallar y detener la ejecución de la guía: Si se produce un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro: Imprime "Error al ejecutar la acción "Añadir nota a incidencia". Motivo: {0}''.format(error.Stacktrace)	General

Tipo de resultado

Valor/Descripción

Tipo

Mensaje de salida*

La acción no debe fallar ni detener la ejecución de una guía:

Si el código de estado es 200 (is_success = true):

Imprime "Successfully added note to incident with ID {0} in RSA Netwitness".format(incident_id).

Si el código de estado es 400 (is_success=false):

Imprime "No se ha podido añadir la nota al incidente con el ID {0} en RSA NetWitness. Motivo: {1}".format(incident_id, errors/message).

La acción debería fallar y detener la ejecución de la guía:

Si se produce un error grave, como credenciales incorrectas, no hay conexión con el servidor u otro:

Imprime "Error al ejecutar la acción "Añadir nota a incidencia". Motivo: {0}''.format(error.Stacktrace)

General

Conector

Conector de incidentes de la plataforma RSA NetWitness

Descripción

Extrae incidentes de la plataforma RSA Netwitness.

Cómo trabajar con el objeto JSON de credenciales

El objeto JSON de credenciales ofrece una forma más flexible de autenticar las fuentes de datos. La configuración más básica del JSON tendrá este aspecto:

{
    "default_username": "username",
    "default_password": "password"
}

Si no se incluyen "default_username" y "default_password", el conector mostrará un error. Esta configuración es adecuada para entornos en los que todas las fuentes de datos comparten el mismo nombre de usuario y contraseña. Si necesita proporcionar credenciales específicas para las fuentes de datos, la estructura del JSON será la siguiente:

{
    "default_username": "username",
    "default_password": "password",
    "dataSources": [
        {
            "api_root": "172.30.203.151:50102",
            "username": "username",
            "password": "password"
        },
        {
            "api_root": "172.30.203.151:50105",
            "username": "username",
            "password": "password"
        },
        {
            "api_root": "172.30.203.151:50103",
            "username": "username",
            "password": "password"
        }
    ]
}

El conector analizará los eventos para buscar la raíz de la API de origen y, a continuación, la comparará con lo que esté disponible en el objeto JSON de credenciales. Si se encuentra una coincidencia, el conector tomará el nombre de usuario y la contraseña de la lista "dataSources". Si no hay ninguna coincidencia, usará "default_username" y default_password. Además, no es necesario que proporciones el nombre de usuario y la contraseña en la lista "dataSources". Por ejemplo, si solo se proporciona el nombre de usuario, el conector tomará el nombre de usuario de la lista "dataSource" y la contraseña de "default_password".

Configurar el conector de incidentes de la plataforma RSA NetWitness en Google SecOps

Para obtener instrucciones detalladas sobre cómo configurar un conector en Google SecOps, consulta el artículo Configurar el conector.

Parámetros del conector

Utiliza los siguientes parámetros para configurar el conector:

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombre del campo de producto	Cadena	Nombre del producto	Sí	Introduce el nombre del campo de origen para obtener el nombre del campo de producto.
Nombre del campo de evento	Cadena	tipo	Sí	Introduzca el nombre del campo de origen para obtener el nombre del campo de evento.
Nombre del campo de entorno	Cadena	""	No	Describe el nombre del campo en el que se almacena el nombre del entorno. Si no se encuentra el campo de entorno, se utiliza el entorno predeterminado.
Patrón de regex de entorno	Cadena	.*	No	Una expresión regular que se aplicará al valor encontrado en el campo "Nombre del campo de entorno". El valor predeterminado es .* para captar todos los valores y devolverlos sin cambios. Se usa para permitir que el usuario manipule el campo del entorno mediante la lógica de expresiones regulares. Si el patrón de expresión regular es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno será el entorno predeterminado.
Tiempo de espera de secuencia de comandos (segundos)	Entero	180	Sí	Límite de tiempo de espera del proceso de Python que ejecuta la secuencia de comandos actual.
Raíz de la API web	Cadena	https://{ip}/rest/api/	Sí	Raíz de la API web de la instancia de la plataforma RSA Netwitness.
Nombre de usuario web	Cadena	N/A	Sí	Nombre de usuario de la cuenta de la plataforma RSA NetWitness.
Contraseña web	Contraseña	N/A	Sí	Contraseña de la cuenta de la plataforma RSA Netwitness.
Fetch Max Hours Backwards	Entero	1	No	Número de horas desde las que se deben obtener los incidentes. Nota: El conector esperará el tiempo indicado para que se actualicen los incidentes.
Puntuación de riesgo más baja que se va a obtener	Entero	N/A	No	Puntuación de riesgo más baja de los incidentes que se van a obtener. De forma predeterminada, el conector ingerirá todos los incidentes.El máximo es 100.
Respaldo de gravedad	Cadena	Informativa	Sí	Especifica cuál debe ser la gravedad alternativa de la alerta de Google SecOps cuando no esté disponible la puntuación de riesgo. Valores posibles: Informativa, Baja, Media, Alta y Crítica.
Número máximo de incidentes que se van a obtener	Entero	10	No	Número de incidentes que se procesan por cada iteración del conector. El máximo es 100.
Usar la lista blanca como lista negra	Casilla	Desmarcada	Sí	Si está habilitada, la lista de permitidos se usará como lista de denegados.
Verificar SSL	Casilla	Desmarcada	Sí	Si está habilitada, compruebe que el certificado SSL de la conexión al servidor de la plataforma RSA NetWitness es válido.
Dirección del servidor proxy	Cadena		No	Dirección del servidor proxy que se va a usar.
Nombre de usuario del proxy	Cadena		No	Nombre de usuario del proxy para autenticarse.
Contraseña del proxy	Contraseña		No	La contraseña del proxy para autenticarte.
Objeto JSON de credenciales	Contraseña	N/A	No	Este parámetro es necesario para almacenar las credenciales de la fuente de datos. Este parámetro tiene prioridad sobre "Raíz de la API Broker", "Nombre de usuario de la API Broker", "Contraseña de la API Broker", "Raíz de la API Concentrator", "Nombre de usuario de la API Concentrator" y "Contraseña de la API Concentrator". Para obtener más información, consulta el portal de documentación.

Reglas de conectores

Compatibilidad con proxies

El conector admite proxies.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.