Cette page a été traduite par l'API Cloud Translation.

RSA NetWitness Platform

Version de l'intégration : 11.0

Configurer l'intégration de RSA NetWitness Platform dans Google Security Operations

Pour obtenir des instructions détaillées sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
Nom de l'instance	Chaîne	N/A	Non	Nom de l'instance pour laquelle vous souhaitez configurer l'intégration.
Description	Chaîne	N/A	Non	Description de l'instance.
Racine de l'API du courtier	Chaîne	http://x.x.x.x:50103	Non	Racine de l'API Broker.
Nom d'utilisateur de l'API Broker	Chaîne	N/A	Non	Nom d'utilisateur pour l'API Broker.
Mot de passe de l'API du courtier	Mot de passe	N/A	Non	Mot de passe pour l'API Broker.
Racine de l'API du concentrateur	Chaîne	http://x.x.x.x:50105	Non	Racine de l'API Concentrator.
Nom d'utilisateur de l'API du concentrateur	Chaîne	N/A	Non	Nom d'utilisateur pour l'API Concentrator.
Mot de passe de l'API du concentrateur	Mot de passe	N/A	Non	Mot de passe pour l'API Concentrator.
Racine de l'API Web	Chaîne	https://{ip}/rest/api/	Non	Racine de l'API de l'instance Netwitness Platform.
Nom d'utilisateur Web	Chaîne	N/A	Non	Nom d'utilisateur de l'instance Netwitness Platform.
Mot de passe Web	Mot de passe	N/A	Non	Mot de passe pour l'instance Netwitness Platform.
Vérifier le protocole SSL	Case à cocher	Décochée	Non	Si cette option est activée, elle vérifie que le certificat SSL pour la connexion au serveur RSA NetWitness Platform est valide.
Exécuter à distance	Case à cocher	Décochée	Non	Cochez le champ pour exécuter l'intégration configurée à distance. Une fois la case cochée, l'option permettant de sélectionner l'utilisateur distant (agent) s'affiche.

Actions

Ping

Description

Testez la connectivité à RSA NetWitness Platform.

Paramètres

N/A

Cas d'utilisation

N/A

Exécuter sur

Cette action ne s'exécute pas sur les entités et ne comporte pas de paramètres d'entrée obligatoires.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Point de terminaison Enrich

Description

Récupérez les informations système du point de terminaison par son nom d'hôte ou son adresse IP. Nécessite une licence RSA Netwitness Respond, un service de serveur de point de terminaison s'exécutant en arrière-plan, un nom d'utilisateur Web et un mot de passe Web configurés dans la configuration de l'intégration.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Mandatory	Description
Seuil du score de risque	Integer	50	Faux	Spécifiez le seuil de risque pour le point de terminaison. Si le point de terminaison dépasse le seuil, l'entité associée est marquée comme suspecte. Si rien n'est spécifié, l'action ne vérifie pas le score de risque.

Exécuter sur

Cette action s'applique aux entités suivantes :

Adresse IP
Hôte

Résultats de l'action

Enrichissement d'entités

Nom du champ d'enrichissement	Source (clé JSON)	Logique : quand les utiliser ?
RSA_NTW_agentId	agentId	Lorsqu'il est disponible au format JSON
RSA_NTW_hostName	hostName	Lorsqu'il est disponible au format JSON
RSA_NTW_riskScore	riskScore	Lorsqu'il est disponible au format JSON
RSA_NTW_networkInterfaces_{id}_name	networkInterfaces/name	Lorsqu'il est disponible au format JSON
RSA_NTW_networkInterfaces_{id}_macAddress	networkInterfaces/macAddress	Lorsqu'il est disponible au format JSON
RSA_NTW_networkInterfaces_{id}_ipv4	Liste des interfaces réseau/ipv4 séparées par des espaces	Lorsqu'il est disponible au format JSON
RSA_NTW_networkInterfaces_{id}_ipv6	Liste des interfaces réseau/ipv6 séparées par des espaces	Lorsqu'il est disponible au format JSON
RSA_NTW_networkInterfaces_{id}_networkIdv6	Liste des interfaces réseau/networkIdv6 séparées par des espaces	Lorsqu'il est disponible au format JSON
RSA_NTW_networkInterfaces_{id}_gateway	Liste des interfaces réseau/passerelles séparées par des espaces	Lorsqu'il est disponible au format JSON
RSA_NTW_networkInterfaces_{id}_dns	Liste des interfaces réseau/DNS séparées par des espaces	Lorsqu'il est disponible au format JSON
RSA_NTW_networkInterfaces_{id}_promiscuous	networkInterfaces/promiscuous	Lorsqu'il est disponible au format JSON
RSA_NTW_lastSeenTime	lastSeenTime	Lorsqu'il est disponible au format JSON

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

{
    "items": [
        {
            "agentId": "575EDC44-BDF9-6D00-FFCD-D354FB641E27",
            "hostName": "RSA-HOST-1",
            "riskScore": 100,
            "networkInterfaces": [
                {
                    "name": "Intel(R) 82574L Gigabit Network Connection",
                    "macAddress": "00:50:56:A2:30:03",
                    "ipv4": [
                        "172.30.203.145"
                    ],
                    "ipv6": [
                        "fe80::dce6:5825:454a:968d"
                    ],
                    "networkIdv6": [
                        "fe80::"
                    ],
                    "gateway": [
                        "172.30.203.1"
                    ],
                    "dns": [
                        "8.8.8.8"
                    ],
                    "promiscuous": false
                }
            ],
            "lastSeenTime": "2020-08-23T12:32:33.107Z"
        }
    ],
    "pageNumber": 0,
    "pageSize": 100,
    "totalPages": 1,
    "totalItems": 1,
    "hasNext": false,
    "hasPrevious": false
}

Mur des cas

Type de résultat	Valeur / Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si l'opération réussit et qu'au moins l'une des entités fournies a été enrichie (is_success = true) : Imprime "Successfully enriched the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list) Si l'enrichissement de certaines entités échoue(is_success = true) : Imprimer "L'action n'a pas pu enrichir les points de terminaison suivants à partir de RSA Netwitness \n: {0}".format([entity.identifier]) Si l'enrichissement échoue pour toutes les entités (is_success = false) : Afficher "Aucune entité n'a été enrichie" L'action doit échouer et arrêter l'exécution d'un playbook : En cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc. Imprimez "Erreur lors de l'exécution de l'action "Enrich Endpoint". Raison : {0}''.format(error.Stacktrace) Si le service de point de terminaison est introuvable : Imprimez "Erreur lors de l'exécution de l'action "Enrich Endpoint". Motif : Le serveur du point de terminaison est introuvable."	Général

Type de résultat

Valeur / Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si l'opération réussit et qu'au moins l'une des entités fournies a été enrichie (is_success = true) :

Imprime "Successfully enriched the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list)

Si l'enrichissement de certaines entités échoue(is_success = true) :

Imprimer "L'action n'a pas pu enrichir les points de terminaison suivants à partir de RSA Netwitness \n: {0}".format([entity.identifier])

Si l'enrichissement échoue pour toutes les entités (is_success = false) :

Afficher "Aucune entité n'a été enrichie"

L'action doit échouer et arrêter l'exécution d'un playbook :
En cas d'erreur fatale, comme des identifiants incorrects, l'absence de connexion au serveur, etc.

Imprimez "Erreur lors de l'exécution de l'action "Enrich Endpoint". Raison : {0}''.format(error.Stacktrace)

Si le service de point de terminaison est introuvable :

Imprimez "Erreur lors de l'exécution de l'action "Enrich Endpoint". Motif : Le serveur du point de terminaison est introuvable."

Général

Enrichir un fichier

Description

Récupérez des informations sur le fichier à l'aide de hachages ou de noms de fichiers. Seuls les algorithmes MD5 et SHA256 sont acceptés. Nécessite une licence RSA Netwitness Respond, un service de serveur de point de terminaison s'exécutant en arrière-plan, un nom d'utilisateur Web et un mot de passe Web configurés dans la configuration de l'intégration.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Mandatory	Description
Seuil du score de risque	Integer	50	Non	Spécifiez le seuil de risque pour le fichier. Si le fichier dépasse le seuil, l'entité associée sera marquée comme suspecte. Si rien n'est spécifié, l'action ne vérifie pas le score de risque.

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Enrichissement d'entités

Nom du champ d'enrichissement	Source (clé JSON)	Logique : quand les utiliser ?
RSA_NTW_filename	firstFileName	Lorsqu'il est disponible au format JSON
RSA_NTW_reputationStatus	reputationStatus	Lorsqu'il est disponible au format JSON
RSA_NTW_globalRiskScore	globalRiskScore	Lorsqu'il est disponible au format JSON
RSA_NTW_machineOsType	machineOsType	Lorsqu'il est disponible au format JSON
RSA_NTW_size	taille	Lorsqu'il est disponible au format JSON
RSA_NTW_checksumMd5	checksumMd5	Lorsqu'il est disponible au format JSON
RSA_NTW_checksumSha1	checksumSha1	Lorsqu'il est disponible au format JSON
RSA_NTW_checksumSha256	checksumSha256	Lorsqu'il est disponible au format JSON
RSA_NTW_entropy	entropie	Lorsqu'il est disponible au format JSON
RSA_NTW_format	pe	Lorsqu'il est disponible au format JSON
RSA_NTW_fileStatus	Neutre	Lorsqu'il est disponible au format JSON
RSA_NTW_remediationAction	Débloquer	Lorsqu'il est disponible au format JSON

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

{
    "items": [
        {
            "firstFileName": "AM_Delta_Patch_1.321.1947.0.exe",
            "reputationStatus": "Known Good",
            "globalRiskScore": 0,
            "firstSeenTime": "2020-08-23T00:46:25.288Z",
            "machineOsType": "windows",
            "signature": {
                "timeStamp": "2020-08-22T21:01:55.552Z",
                "thumbprint": "c6573d9ba5efc55b1ad1c59b9cafc33d232b13cc",
                "context": [
                    "microsoft",
                    "signed",
                    "valid"
                ],
                "signer": "Microsoft Corporation"
            },
            "size": 441280,
            "checksumMd5": "40d93a5ed9d2d55e35857c1f1de162db",
            "checksumSha1": "3096e9e4ac4cc46dcfa11a053583c2d3e14b14b8",
            "checksumSha256": "34261adf58ac3c8e38724d5fbfba21037d868a2c0b6291e2a61e5a023b55c3f9",
            "pe": {
                "timeStamp": "2020-08-22T20:57:28.000Z",
                "imageSize": 454656,
                "numberOfExportedFunctions": 0,
                "numberOfNamesExported": 0,
                "numberOfExecuteWriteSections": 0,
                "context": [
                    "file.exe",
                    "file.arch64",
                    "file.versionInfoPresent",
                    "file.resourceDirectoryPresent",
                    "file.relocationDirectoryPresent",
                    "file.debugDirectoryPresent",
                    "file.tlsDirectoryPresent",
                    "file.richSignaturePresent",
                    "file.companyNameContainsText",
                    "file.descriptionContainsText",
                    "file.versionContainsText",
                    "file.internalNameContainsText",
                    "file.legalCopyrightContainsText",
                    "file.originalFilenameContainsText",
                    "file.productNameContainsText",
                    "file.productVersionContainsText",
                    "file.standardVersionMetaPresent"
                ],
                "resources": {
                    "originalFileName": "AM_Delta_Patch_1.321.1947.0.exe",
                    "company": "Microsoft Corporation",
                    "description": "Microsoft Antimalware WU Stub",
                    "version": null
                },
                "sectionNames": [
                    ".text",
                    ".rdata",
                    ".data",
                    ".pdata",
                    ".rsrc",
                    ".reloc"
                ],
                "importedLibraries": [
                    "ADVAPI32.dll",
                    "KERNEL32.dll",
                    "RPCRT4.dll",
                    "ntdll.dll"
                ]
            },
            "elf": null,
            "macho": null,
            "entropy": 7.378079119412321,
            "format": "pe",
            "fileStatus": "Neutral",
            "remediationAction": "Unblock"
        }
    ],
    "pageNumber": 0,
    "pageSize": 100,
    "totalPages": 1,
    "totalItems": 1,
    "hasNext": false,
    "hasPrevious": false
}

Mur des cas

Type de résultat	Valeur / Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si l'opération réussit et qu'au moins l'une des entités fournies a été enrichie (is_success = true) : Imprimer "Les fichiers suivants de RSA Netwitness ont été enrichis : \n {0}".format(liste des identifiants d'entité) If fail to enrich specific entities(is_success = true): Print "Action was not able to enrich the following files from RSA Netwitness \n: {0}".format([entity.identifier]) Si l'enrichissement échoue pour toutes les entités (is_success = false) : Imprimer : "Aucune entité n'a été enrichie." L'action doit échouer et arrêter l'exécution d'un playbook : Si erreur fatale, comme des identifiants incorrects, aucune connexion au serveur, autre : Imprimez "Erreur lors de l'exécution de l'action "Enrichir le fichier". Raison : {0}''.format(error.Stacktrace) Si erreur fatale, comme des identifiants incorrects, une absence de connexion au serveur, etc. : Imprimez "Erreur lors de l'exécution de l'action "Enrichir le fichier". Motif : Le serveur du point de terminaison est introuvable."	Général

Type de résultat

Valeur / Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
Si l'opération réussit et qu'au moins l'une des entités fournies a été enrichie (is_success = true) :
Imprimer "Les fichiers suivants de RSA Netwitness ont été enrichis : \n {0}".format(liste des identifiants d'entité)

If fail to enrich specific entities(is_success = true):
Print "Action was not able to enrich the following files from RSA Netwitness \n: {0}".format([entity.identifier])

Si l'enrichissement échoue pour toutes les entités (is_success = false) :
Imprimer : "Aucune entité n'a été enrichie."

L'action doit échouer et arrêter l'exécution d'un playbook :

Si erreur fatale, comme des identifiants incorrects, aucune connexion au serveur, autre :

Imprimez "Erreur lors de l'exécution de l'action "Enrichir le fichier". Raison : {0}''.format(error.Stacktrace)

Si erreur fatale, comme des identifiants incorrects, une absence de connexion au serveur, etc. :

Imprimez "Erreur lors de l'exécution de l'action "Enrichir le fichier". Motif : Le serveur du point de terminaison est introuvable."

Général

Isoler un point de terminaison

Description

Demandez l'isolation des points de terminaison de requête dans RSA Netwitness. Nécessite une licence RSA Netwitness Respond, un service de serveur de point de terminaison s'exécutant en arrière-plan, un nom d'utilisateur Web et un mot de passe Web configurés dans la configuration de l'intégration.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
Commentaire	Chaîne	N/A	Oui	Ajoutez un commentaire décrivant la raison de la demande d'isolement.

Exécuter sur

Cette action s'applique aux entités suivantes :

Adresse IP
Hôte

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Mur des cas

Type de résultat	Valeur / Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si l'opération réussit pour toutes les entités fournies(is_success = true) : Imprimer "Successfully requested isolation for the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list) Si l'isolement d'au moins une des entités fournies échoue(is_success = false) : Imprimez "Action was not able to request isolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier]) L'action doit échouer et arrêter l'exécution d'un playbook : Si erreur fatale, comme des identifiants incorrects, une absence de connexion au serveur, etc. : Imprimez "Erreur lors de l'exécution de l'action "Isoler le point de terminaison". Raison : {0}''.format(error.Stacktrace) Si le service de point de terminaison est introuvable : Imprimez "Erreur lors de l'exécution de l'action "Isoler le point de terminaison". Motif : Le serveur du point de terminaison est introuvable."	Général

Type de résultat

Valeur / Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
Si l'opération réussit pour toutes les entités fournies(is_success = true) :
Imprimer "Successfully requested isolation for the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list)

Si l'isolement d'au moins une des entités fournies échoue(is_success = false) :
Imprimez "Action was not able to request isolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier])

L'action doit échouer et arrêter l'exécution d'un playbook :

Si erreur fatale, comme des identifiants incorrects, une absence de connexion au serveur, etc. :

Imprimez "Erreur lors de l'exécution de l'action "Isoler le point de terminaison". Raison : {0}''.format(error.Stacktrace)

Si le service de point de terminaison est introuvable :

Imprimez "Erreur lors de l'exécution de l'action "Isoler le point de terminaison". Motif : Le serveur du point de terminaison est introuvable."

Général

Point de terminaison Unisolate

Description

Désisolez le point de terminaison de la requête dans RSA Netwitness. Nécessite une licence RSA Netwitness Respond, un service de serveur de point de terminaison s'exécutant en arrière-plan, un nom d'utilisateur Web et un mot de passe Web configurés dans la configuration de l'intégration.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
Commentaire	Chaîne	N/A	Oui	Ajoutez un commentaire décrivant la raison de la demande d'isolement.

Exécuter sur

Cette action s'applique aux entités suivantes :

Adresse IP
Hôte

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Mur des cas

Type de résultat	Valeur / Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si l'opération réussit pour toutes les entités fournies(is_success = true) : Imprimez "Successfully requested unisolation for the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list) Si l'isolement d'au moins une des entités fournies échoue(is_success = false) : Imprimez "Action was not able to request unisolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier]) L'action doit échouer et arrêter l'exécution d'un playbook : Si erreur fatale, comme des identifiants incorrects, aucune connexion au serveur, autre : Imprimez "Erreur lors de l'exécution de l'action "Unisolate Endpoint". Raison : {0}''.format(error.Stacktrace) Si le service de point de terminaison est introuvable : Imprimez "Erreur lors de l'exécution de l'action "Unisolate Endpoint". Motif : Le serveur du point de terminaison est introuvable."	Général

Type de résultat

Valeur / Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :
Si l'opération réussit pour toutes les entités fournies(is_success = true) :
Imprimez "Successfully requested unisolation for the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list)

Si l'isolement d'au moins une des entités fournies échoue(is_success = false) :
Imprimez "Action was not able to request unisolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier])

L'action doit échouer et arrêter l'exécution d'un playbook :

Si erreur fatale, comme des identifiants incorrects, aucune connexion au serveur, autre :

Imprimez "Erreur lors de l'exécution de l'action "Unisolate Endpoint". Raison : {0}''.format(error.Stacktrace)

Si le service de point de terminaison est introuvable :

Imprimez "Erreur lors de l'exécution de l'action "Unisolate Endpoint". Motif : Le serveur du point de terminaison est introuvable."

Général

Mettre à jour un incident

Description

Mettez à jour l'incident dans RSA Netwitness. Nécessite une licence RSA Netwitness Respond, un nom d'utilisateur Web et un mot de passe Web configurés dans la configuration de l'intégration.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
ID de l'incident	Chaîne	N/A	Oui	Spécifiez l'ID de l'incident à mettre à jour.
État	LDD	N/A	Non	Spécifiez le nouvel état de l'incident.
Personne responsable	Chaîne	N/A	Non	Indiquez un nouveau responsable pour l'incident.

Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Résultat JSON

{
    "id": "INC-128",
    "title": "High Risk Alerts: NetWitness Endpoint for RSA-HOST-1",
    "summary": "",
    "priority": "High",
    "riskScore": 72,
    "status": "RemediationRequested",
    "alertCount": 136,
    "averageAlertRiskScore": 72,
    "sealed": true,
    "totalRemediationTaskCount": 0,
    "openRemediationTaskCount": 0,
    "created": "2020-08-26T12:56:57.867Z",
    "lastUpdated": "2020-08-26T15:31:27.953Z",
    "lastUpdatedBy": null,
    "assignee": "admin",
    "sources": [
        "ECAT"
    ],
    "ruleId": "5ef1b33614c0552a2884c590",
    "firstAlertTime": "2020-08-26T12:56:56.097Z",
    "categories": [],
    "journalEntries": null,
    "createdBy": "High Risk Alerts: NetWitness Endpoint",
    "deletedAlertCount": 0,
    "eventCount": 136,
    "alertMeta": {
        "SourceIp": [
            ""
        ],
        "DestinationIp": [
            ""
        ]
    }
}

Mur des cas

Type de résultat	Valeur / Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si le code d'état est égal à 200 (is_success = true) : Imprimez "Successfully updated incident with ID {0} in RSA Netwitness".format(incident_id). Si le code d'état est 400 (is_success=false) : Imprime "L'action n'a pas pu mettre à jour l'incident avec l'ID {0} dans RSA Netwitness. Reason: {1}".format(incident_id, errors/message). L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur fatale s'est produite (par exemple, des identifiants incorrects, aucune connexion au serveur, etc.) : Imprimez "Erreur lors de l'exécution de l'action "Mettre à jour l'incident". Raison : {0}''.format(error.Stacktrace)	Général

Type de résultat

Valeur / Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si le code d'état est égal à 200 (is_success = true) :

Imprimez "Successfully updated incident with ID {0} in RSA Netwitness".format(incident_id).

Si le code d'état est 400 (is_success=false) :

Imprime "L'action n'a pas pu mettre à jour l'incident avec l'ID {0} dans RSA Netwitness. Reason: {1}".format(incident_id, errors/message).

L'action doit échouer et arrêter l'exécution d'un playbook :

Si une erreur fatale s'est produite (par exemple, des identifiants incorrects, aucune connexion au serveur, etc.) :

Imprimez "Erreur lors de l'exécution de l'action "Mettre à jour l'incident". Raison : {0}''.format(error.Stacktrace)

Général

Ajouter une note à un incident

Description

Ajoutez une note à l'incident dans RSA Netwitness. Nécessite une licence RSA Netwitness Respond, un nom d'utilisateur Web et un mot de passe Web configurés dans la configuration de l'intégration.

Paramètres

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
ID de l'incident	Chaîne	N/A	Oui	Spécifiez l'ID de l'incident à mettre à jour.
Remarque	Chaîne	N/A	Oui	Spécifiez la note à laquelle ajouter le texte.
Auteur	Chaîne	N/A	Oui	Spécifiez l'auteur de la note.

Exécuter sur

Cette action ne s'applique pas aux entités.

Résultats de l'action

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_success	Vrai/Faux	is_success:False

Mur des cas

Type de résultat	Valeur / Description	Type
Message de sortie*	L'action ne doit pas échouer ni arrêter l'exécution d'un playbook : Si le code d'état est égal à 200 (is_success = true) : Imprimez "Note ajoutée à l'incident {0} dans RSA Netwitness".format(incident_id). Si le code d'état est 400 (is_success=false) : L'action n'a pas pu ajouter de note à l'incident portant l'ID {0} dans RSA Netwitness. Reason: {1}".format(incident_id, errors/message). L'action doit échouer et arrêter l'exécution d'un playbook : Si une erreur fatale s'est produite (par exemple, des identifiants incorrects, aucune connexion au serveur, etc.) : Imprimer "Erreur lors de l'exécution de l'action "Ajouter une note à l'incident". Raison : {0}''.format(error.Stacktrace)	Général

Type de résultat

Valeur / Description

Type

Message de sortie*

L'action ne doit pas échouer ni arrêter l'exécution d'un playbook :

Si le code d'état est égal à 200 (is_success = true) :

Imprimez "Note ajoutée à l'incident {0} dans RSA Netwitness".format(incident_id).

Si le code d'état est 400 (is_success=false) :

L'action n'a pas pu ajouter de note à l'incident portant l'ID {0} dans RSA Netwitness. Reason: {1}".format(incident_id, errors/message).

L'action doit échouer et arrêter l'exécution d'un playbook :

Si une erreur fatale s'est produite (par exemple, des identifiants incorrects, aucune connexion au serveur, etc.) :

Imprimer "Erreur lors de l'exécution de l'action "Ajouter une note à l'incident". Raison : {0}''.format(error.Stacktrace)

Général

Connecteur

Connecteur RSA Netwitness Platform - Incidents

Description

Extrayez les incidents de la plate-forme RSA NetWitness.

Utiliser un objet JSON d'identifiants

L'objet JSON d'identifiants offre un moyen plus flexible de s'authentifier auprès des sources de données. La configuration la plus élémentaire du fichier JSON se présente comme suit :

{
    "default_username": "username",
    "default_password": "password"
}

Sans "default_username" et "default_password", le connecteur générera une erreur. Cette configuration convient aux environnements dans lesquels toutes les sources de données partagent le même nom d'utilisateur et le même mot de passe. Si vous devez fournir des identifiants spécifiques pour les sources de données, la structure du fichier JSON se présentera comme suit :

{
    "default_username": "username",
    "default_password": "password",
    "dataSources": [
        {
            "api_root": "172.30.203.151:50102",
            "username": "username",
            "password": "password"
        },
        {
            "api_root": "172.30.203.151:50105",
            "username": "username",
            "password": "password"
        },
        {
            "api_root": "172.30.203.151:50103",
            "username": "username",
            "password": "password"
        }
    ]
}

Le connecteur analysera les événements pour la racine de l'API source, puis les comparera à ce qui est disponible dans l'objet JSON des identifiants. Si une correspondance est trouvée, le connecteur récupère le nom d'utilisateur et le mot de passe de la liste "dataSources". S'il n'y a pas de correspondance, il utilise "default_username" et default_password. De plus, vous n'avez pas besoin de fournir à la fois le nom d'utilisateur et le mot de passe dans la liste "dataSources". Si, par exemple, seul le nom d'utilisateur est fourni, le connecteur prendra le nom d'utilisateur dans la liste "dataSource" et le mot de passe dans "default_password".

Configurer le connecteur RSA Netwitness Platform - Incidents dans Google SecOps

Pour obtenir des instructions détaillées sur la configuration d'un connecteur dans Google SecOps, consultez Configurer le connecteur.

Paramètres du connecteur

Utilisez les paramètres suivants pour configurer le connecteur :

Nom à afficher du paramètre	Type	Valeur par défaut	Obligatoire	Description
Nom du champ de produit	Chaîne	Nom du produit	Oui	Saisissez le nom du champ source pour récupérer le nom du champ produit.
Nom du champ d'événement	Chaîne	type	Oui	Saisissez le nom du champ source pour récupérer le nom du champ d'événement.
Nom du champ "Environnement"	Chaîne	""	Non	Décrit le nom du champ dans lequel le nom de l'environnement est stocké. Si le champ "environment" (environnement) est introuvable, l'environnement est celui par défaut.
Modèle d'expression régulière de l'environnement	Chaîne	.*	Non	Expression régulière à exécuter sur la valeur trouvée dans le champ "Nom du champ d'environnement". La valeur par défaut est ".*" pour tout capturer et renvoyer la valeur inchangée. Permet à l'utilisateur de manipuler le champ "environnement" à l'aide de la logique des expressions régulières. Si le modèle d'expression régulière est nul ou vide, ou si la valeur d'environnement est nulle, l'environnement par défaut est utilisé comme résultat final.
Délai avant expiration du script (en secondes)	Integer	180	Oui	Délai avant expiration du processus Python exécutant le script actuel.
Racine de l'API Web	Chaîne	https://{ip}/rest/api/	Oui	Racine de l'API Web de l'instance RSA NetWitness Platform.
Nom d'utilisateur Web	Chaîne	N/A	Oui	Nom d'utilisateur du compte RSA NetWitness Platform.
Mot de passe Web	Mot de passe	N/A	Oui	Mot de passe du compte RSA NetWitness Platform.
Récupérer les heures Max en arrière	Integer	1	Non	Nombre d'heures à partir desquelles récupérer les incidents. Remarque : Le connecteur attend le délai indiqué pour mettre à jour les incidents.
Score de risque le plus faible à récupérer	Integer	N/A	Non	Score de risque le plus faible des incidents à extraire. Par défaut, le connecteur ingère tous les incidents (100 maximum).
Gravité de l'action de remplacement	Chaîne	Information	Oui	Spécifiez la gravité de secours de l'alerte Google SecOps lorsque le score de risque n'est pas disponible. Valeurs possibles : "Informational", "Low", "Medium", "High", "Critical".
Nombre maximal d'incidents à extraire	Integer	10	Non	Nombre d'incidents à traiter par itération de connecteur. La valeur maximale est de 100.
Utiliser la liste blanche comme liste noire	Case à cocher	Décochée	Oui	Si cette option est activée, la liste blanche sera utilisée comme liste noire.
Vérifier le protocole SSL	Case à cocher	Décochée	Oui	Si cette option est activée, vérifiez que le certificat SSL pour la connexion au serveur RSA Netwitness Platform est valide.
Adresse du serveur proxy	Chaîne		Non	Adresse du serveur proxy à utiliser.
Nom d'utilisateur du proxy	Chaîne		Non	Nom d'utilisateur du proxy pour l'authentification.
Mot de passe du proxy	Mot de passe		Non	Mot de passe du proxy pour l'authentification.
Objet JSON des identifiants	Mot de passe	N/A	Non	Ce paramètre est nécessaire pour stocker les identifiants de la source de données. Ce paramètre est prioritaire sur "Racine de l'API du courtier", "Nom d'utilisateur de l'API du courtier", "Mot de passe de l'API du courtier", "Racine de l'API du concentrateur", "Nom d'utilisateur de l'API du concentrateur" et "Mot de passe de l'API du concentrateur". Pour en savoir plus, veuillez consulter le portail de documentation.

Règles du connecteur

Assistance de proxy

Le connecteur est compatible avec le proxy.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.