Halaman ini diterjemahkan oleh Cloud Translation API.

RSA NetWitness Platform

Versi integrasi: 11.0

Mengonfigurasi integrasi RSA NetWitness Platform di Google Security Operations

Untuk mendapatkan petunjuk mendetail terkait cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Parameter integrasi

Gunakan parameter berikut untuk mengonfigurasi integrasi:

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib	Deskripsi
Nama Instance	String	T/A	Tidak	Nama Instance yang ingin Anda konfigurasi integrasinya.
Deskripsi	String	T/A	Tidak	Deskripsi Instance.
Root Broker API	String	http://x.x.x.x:50103	Tidak	Root API Broker API.
Nama Pengguna Broker API	String	T/A	Tidak	Nama pengguna untuk Broker API.
Sandi Broker API	Sandi	T/A	Tidak	Sandi untuk Broker API.
Root Concentrator API	String	http://x.x.x.x:50105	Tidak	Root API Concentrator API.
Nama Pengguna Concentrator API	String	T/A	Tidak	Nama pengguna untuk Concentrator API.
Sandi API Concentrator	Sandi	T/A	Tidak	Sandi untuk Concentrator API.
Root Web API	String	https://{ip}/rest/api/	Tidak	Root API Instance Netwitness Platform.
Nama Pengguna Web	String	T/A	Tidak	Nama pengguna untuk Instance Netwitness Platform.
Sandi Web	Sandi	T/A	Tidak	Sandi untuk Instance Netwitness Platform.
Verifikasi SSL	Kotak centang	Tidak dicentang	Tidak	Jika diaktifkan, akan memverifikasi bahwa sertifikat SSL untuk koneksi ke server RSA Netwitness Platform valid.
Menjalankan dari Jarak Jauh	Kotak centang	Tidak dicentang	Tidak	Centang kolom untuk menjalankan integrasi yang dikonfigurasi dari jarak jauh. Setelah dicentang, opsi akan muncul untuk memilih pengguna jarak jauh (agen).

Tindakan

Ping

Deskripsi

Uji konektivitas ke Platform RSA Netwitness.

Parameter

T/A

Kasus penggunaan

T/A

Run On

Tindakan ini tidak berjalan di entity, dan tidak memiliki parameter input wajib.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	Benar/Salah	is_success:False

Endpoint Memperkaya

Deskripsi

Mengambil informasi sistem endpoint berdasarkan nama host atau alamat IP-nya. Memerlukan lisensi RSA Netwitness Respond, layanan server endpoint yang berjalan di latar belakang, Nama Pengguna Web dan Sandi Web yang dikonfigurasi dalam konfigurasi integrasi.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Mengisi	Deskripsi
Batas Skor Risiko	Bilangan bulat	50	Salah	Tentukan batas risiko untuk endpoint. Jika endpoint melebihi nilai minimum, entitas terkait akan ditandai sebagai mencurigakan. Jika tidak ada yang ditentukan, tindakan tidak akan memeriksa skor risiko.

Run On

Tindakan ini berjalan di entity berikut:

Alamat IP
Host

Hasil Tindakan

Pengayaan Entity

Nama Kolom Pengayaan	Sumber (Kunci JSON)	Logika - Kapan harus diterapkan
RSA_NTW_agentId	agentId	Jika tersedia dalam JSON
RSA_NTW_hostName	hostName	Jika tersedia dalam JSON
RSA_NTW_riskScore	riskScore	Jika tersedia dalam JSON
RSA_NTW_networkInterfaces_{id}_name	networkInterfaces/name	Jika tersedia dalam JSON
RSA_NTW_networkInterfaces_{id}_macAddress	networkInterfaces/macAddress	Jika tersedia dalam JSON
RSA_NTW_networkInterfaces_{id}_ipv4	Daftar networkInterfaces/ipv4 yang dipisahkan spasi	Jika tersedia dalam JSON
RSA_NTW_networkInterfaces_{id}_ipv6	Daftar networkInterfaces/ipv6 yang dipisahkan spasi	Jika tersedia dalam JSON
RSA_NTW_networkInterfaces_{id}_networkIdv6	Daftar networkInterfaces/networkIdv6 yang dipisahkan spasi	Jika tersedia dalam JSON
RSA_NTW_networkInterfaces_{id}_gateway	Daftar yang dipisahkan spasi networkInterfaces/gateway	Jika tersedia dalam JSON
RSA_NTW_networkInterfaces_{id}_dns	Daftar networkInterfaces/dns yang dipisahkan spasi	Jika tersedia dalam JSON
RSA_NTW_networkInterfaces_{id}_promiscuous	networkInterfaces/promiscuous	Jika tersedia dalam JSON
RSA_NTW_lastSeenTime	lastSeenTime	Jika tersedia dalam JSON

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	Benar/Salah	is_success:False

Hasil JSON

{
    "items": [
        {
            "agentId": "575EDC44-BDF9-6D00-FFCD-D354FB641E27",
            "hostName": "RSA-HOST-1",
            "riskScore": 100,
            "networkInterfaces": [
                {
                    "name": "Intel(R) 82574L Gigabit Network Connection",
                    "macAddress": "00:50:56:A2:30:03",
                    "ipv4": [
                        "172.30.203.145"
                    ],
                    "ipv6": [
                        "fe80::dce6:5825:454a:968d"
                    ],
                    "networkIdv6": [
                        "fe80::"
                    ],
                    "gateway": [
                        "172.30.203.1"
                    ],
                    "dns": [
                        "8.8.8.8"
                    ],
                    "promiscuous": false
                }
            ],
            "lastSeenTime": "2020-08-23T12:32:33.107Z"
        }
    ],
    "pageNumber": 0,
    "pageSize": 100,
    "totalPages": 1,
    "totalItems": 1,
    "hasNext": false,
    "hasPrevious": false
}

Repositori Kasus

Jenis Hasil	Nilai / Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika berhasil dan setidaknya salah satu entitas yang diberikan telah dipertkaya (is_success = true): Mencetak "Successfully enriched the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list) Jika gagal memperkaya entitas tertentu(is_success = true): Mencetak "Action was not able to enrich the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier]) Jika gagal memperkaya semua entitas (is_success = false): Print: "No entities were enriched." (Tidak ada entitas yang di-enrich.) Tindakan harus gagal dan menghentikan eksekusi playbook: Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau lainnya: Mencetak "Error saat menjalankan tindakan "Enrich Endpoint". Alasan: {0}''.format(error.Stacktrace) Jika layanan endpoint tidak ditemukan: Mencetak "Error saat menjalankan tindakan "Enrich Endpoint". Alasan: Server endpoint tidak ditemukan."	Umum

Jenis Hasil

Nilai / Deskripsi

Jenis

Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:

Jika berhasil dan setidaknya salah satu entitas yang diberikan telah dipertkaya (is_success = true):

Mencetak "Successfully enriched the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list)

Jika gagal memperkaya entitas tertentu(is_success = true):

Mencetak "Action was not able to enrich the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier])

Jika gagal memperkaya semua entitas (is_success = false):

Print: "No entities were enriched." (Tidak ada entitas yang di-enrich.)

Tindakan harus gagal dan menghentikan eksekusi playbook:
Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau lainnya:

Mencetak "Error saat menjalankan tindakan "Enrich Endpoint". Alasan: {0}''.format(error.Stacktrace)

Jika layanan endpoint tidak ditemukan:

Mencetak "Error saat menjalankan tindakan "Enrich Endpoint". Alasan: Server endpoint tidak ditemukan."

Umum

Memperkaya File

Deskripsi

Mengambil informasi tentang file menggunakan hash atau nama file. Hanya MD5 dan SHA256 yang didukung. Memerlukan lisensi RSA Netwitness Respond, layanan server endpoint yang berjalan di latar belakang, Nama Pengguna Web dan Sandi Web yang dikonfigurasi dalam konfigurasi integrasi.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib Mengisi	Deskripsi
Batas Skor Risiko	Bilangan bulat	50	Tidak	Tentukan batas risiko untuk file. Jika file melebihi batas, entitas terkait akan ditandai sebagai mencurigakan. Jika tidak ada yang ditentukan, tindakan tidak akan memeriksa skor risiko.

Run On

Tindakan ini dijalankan di semua entity.

Hasil Tindakan

Pengayaan Entity

Nama Kolom Pengayaan	Sumber (Kunci JSON)	Logika - Kapan harus diterapkan
RSA_NTW_filename	firstFileName	Jika tersedia dalam JSON
RSA_NTW_reputationStatus	reputationStatus	Jika tersedia dalam JSON
RSA_NTW_globalRiskScore	globalRiskScore	Jika tersedia dalam JSON
RSA_NTW_machineOsType	machineOsType	Jika tersedia dalam JSON
RSA_NTW_size	ukuran	Jika tersedia dalam JSON
RSA_NTW_checksumMd5	checksumMd5	Jika tersedia dalam JSON
RSA_NTW_checksumSha1	checksumSha1	Jika tersedia dalam JSON
RSA_NTW_checksumSha256	checksumSha256	Jika tersedia dalam JSON
RSA_NTW_entropy	entropi	Jika tersedia dalam JSON
RSA_NTW_format	pe	Jika tersedia dalam JSON
RSA_NTW_fileStatus	Netral	Jika tersedia dalam JSON
RSA_NTW_remediationAction	Berhenti memblokir	Jika tersedia dalam JSON

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	Benar/Salah	is_success:False

Hasil JSON

{
    "items": [
        {
            "firstFileName": "AM_Delta_Patch_1.321.1947.0.exe",
            "reputationStatus": "Known Good",
            "globalRiskScore": 0,
            "firstSeenTime": "2020-08-23T00:46:25.288Z",
            "machineOsType": "windows",
            "signature": {
                "timeStamp": "2020-08-22T21:01:55.552Z",
                "thumbprint": "c6573d9ba5efc55b1ad1c59b9cafc33d232b13cc",
                "context": [
                    "microsoft",
                    "signed",
                    "valid"
                ],
                "signer": "Microsoft Corporation"
            },
            "size": 441280,
            "checksumMd5": "40d93a5ed9d2d55e35857c1f1de162db",
            "checksumSha1": "3096e9e4ac4cc46dcfa11a053583c2d3e14b14b8",
            "checksumSha256": "34261adf58ac3c8e38724d5fbfba21037d868a2c0b6291e2a61e5a023b55c3f9",
            "pe": {
                "timeStamp": "2020-08-22T20:57:28.000Z",
                "imageSize": 454656,
                "numberOfExportedFunctions": 0,
                "numberOfNamesExported": 0,
                "numberOfExecuteWriteSections": 0,
                "context": [
                    "file.exe",
                    "file.arch64",
                    "file.versionInfoPresent",
                    "file.resourceDirectoryPresent",
                    "file.relocationDirectoryPresent",
                    "file.debugDirectoryPresent",
                    "file.tlsDirectoryPresent",
                    "file.richSignaturePresent",
                    "file.companyNameContainsText",
                    "file.descriptionContainsText",
                    "file.versionContainsText",
                    "file.internalNameContainsText",
                    "file.legalCopyrightContainsText",
                    "file.originalFilenameContainsText",
                    "file.productNameContainsText",
                    "file.productVersionContainsText",
                    "file.standardVersionMetaPresent"
                ],
                "resources": {
                    "originalFileName": "AM_Delta_Patch_1.321.1947.0.exe",
                    "company": "Microsoft Corporation",
                    "description": "Microsoft Antimalware WU Stub",
                    "version": null
                },
                "sectionNames": [
                    ".text",
                    ".rdata",
                    ".data",
                    ".pdata",
                    ".rsrc",
                    ".reloc"
                ],
                "importedLibraries": [
                    "ADVAPI32.dll",
                    "KERNEL32.dll",
                    "RPCRT4.dll",
                    "ntdll.dll"
                ]
            },
            "elf": null,
            "macho": null,
            "entropy": 7.378079119412321,
            "format": "pe",
            "fileStatus": "Neutral",
            "remediationAction": "Unblock"
        }
    ],
    "pageNumber": 0,
    "pageSize": 100,
    "totalPages": 1,
    "totalItems": 1,
    "hasNext": false,
    "hasPrevious": false
}

Repositori Kasus

Jenis Hasil	Nilai / Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika berhasil dan setidaknya salah satu entitas yang diberikan telah di-enrich (is_success = true): Mencetak "Successfully enriched the following files from RSA Netwitness: \n {0}".format(entity.identifier list) Jika gagal memperkaya entitas tertentu(is_success = true): Cetak "Action was not able to enrich the following files from RSA Netwitness \n: {0}".format([entity.identifier]) Jika gagal memperkaya semua entitas (is_success = false): Cetak: "Tidak ada entitas yang diperkaya." Tindakan akan gagal dan menghentikan eksekusi playbook: Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, lainnya: Mencetak "Error saat menjalankan tindakan "Perkaya File". Alasan: {0}''.format(error.Stacktrace) Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, lainnya: Mencetak "Error saat menjalankan tindakan "Perkaya File". Alasan: Server endpoint tidak ditemukan."	Umum

Jenis Hasil

Nilai / Deskripsi

Jenis

Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
Jika berhasil dan setidaknya salah satu entitas yang diberikan telah di-enrich (is_success = true):
Mencetak "Successfully enriched the following files from RSA Netwitness: \n {0}".format(entity.identifier list)

Jika gagal memperkaya entitas tertentu(is_success = true):
Cetak "Action was not able to enrich the following files from RSA Netwitness \n: {0}".format([entity.identifier])

Jika gagal memperkaya semua entitas (is_success = false):
Cetak: "Tidak ada entitas yang diperkaya."

Tindakan akan gagal dan menghentikan eksekusi playbook:

Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, lainnya:

Mencetak "Error saat menjalankan tindakan "Perkaya File". Alasan: {0}''.format(error.Stacktrace)

Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, lainnya:

Mencetak "Error saat menjalankan tindakan "Perkaya File". Alasan: Server endpoint tidak ditemukan."

Umum

Mengisolasi Endpoint

Deskripsi

Meminta isolasi endpoint di RSA Netwitness. Memerlukan lisensi RSA Netwitness Respond, layanan server endpoint yang berjalan di latar belakang, Nama Pengguna Web dan Sandi Web yang dikonfigurasi dalam konfigurasi integrasi.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib	Deskripsi
Komentar	String	T/A	Ya	Tambahkan komentar yang menjelaskan alasan permintaan isolasi.

Run On

Tindakan ini berjalan di entity berikut:

Alamat IP
Host

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	Benar/Salah	is_success:False

Repositori Kasus

Jenis Hasil	Nilai / Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika berhasil untuk semua entitas yang diberikan(is_success = benar): Cetak "Successfully requested isolation for the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list) Jika gagal mengisolasi setidaknya salah satu entitas yang diberikan(is_success = false): Print "Action was not able to request isolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier]) Tindakan akan gagal dan menghentikan eksekusi playbook: Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, lainnya: Mencetak "Error saat menjalankan tindakan "Isolate Endpoint". Alasan: {0}''.format(error.Stacktrace) Jika layanan endpoint tidak ditemukan: Mencetak "Error saat menjalankan tindakan "Isolate Endpoint". Alasan: Server endpoint tidak ditemukan."	Umum

Jenis Hasil

Nilai / Deskripsi

Jenis

Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
Jika berhasil untuk semua entitas yang diberikan(is_success = benar):
Cetak "Successfully requested isolation for the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list)

Jika gagal mengisolasi setidaknya salah satu entitas yang diberikan(is_success = false):
Print "Action was not able to request isolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier])

Tindakan akan gagal dan menghentikan eksekusi playbook:

Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, lainnya:

Mencetak "Error saat menjalankan tindakan "Isolate Endpoint". Alasan: {0}''.format(error.Stacktrace)

Jika layanan endpoint tidak ditemukan:

Mencetak "Error saat menjalankan tindakan "Isolate Endpoint". Alasan: Server endpoint tidak ditemukan."

Umum

Endpoint Unisolate

Deskripsi

Membatalkan isolasi endpoint permintaan di RSA Netwitness. Memerlukan lisensi RSA Netwitness Respond, layanan server endpoint yang berjalan di latar belakang, Nama Pengguna Web dan Sandi Web yang dikonfigurasi dalam konfigurasi integrasi.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib	Deskripsi
Komentar	String	T/A	Ya	Tambahkan komentar yang menjelaskan alasan permintaan isolasi.

Run On

Tindakan ini berjalan di entity berikut:

Alamat IP
Host

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	Benar/Salah	is_success:False

Repositori Kasus

Jenis Hasil	Nilai / Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika berhasil untuk semua entitas yang diberikan(is_success = true): Print "Successfully requested unisolation for the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list) Jika gagal mengisolasi setidaknya salah satu entitas yang diberikan(is_success = false): Print "Action was not able to request unisolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier]) Tindakan akan gagal dan menghentikan eksekusi playbook: Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, lainnya: Mencetak "Error saat menjalankan tindakan "Unisolate Endpoint". Alasan: {0}''.format(error.Stacktrace) Jika layanan endpoint tidak ditemukan: Mencetak "Error saat menjalankan tindakan "Unisolate Endpoint". Alasan: Server endpoint tidak ditemukan."	Umum

Jenis Hasil

Nilai / Deskripsi

Jenis

Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:
Jika berhasil untuk semua entitas yang diberikan(is_success = true):
Print "Successfully requested unisolation for the following endpoints from RSA Netwitness: \n {0}".format(entity.identifier list)

Jika gagal mengisolasi setidaknya salah satu entitas yang diberikan(is_success = false):
Print "Action was not able to request unisolation for the following endpoints from RSA Netwitness \n: {0}".format([entity.identifier])

Tindakan akan gagal dan menghentikan eksekusi playbook:

Jika error fatal, seperti kredensial salah, tidak ada koneksi ke server, lainnya:

Mencetak "Error saat menjalankan tindakan "Unisolate Endpoint". Alasan: {0}''.format(error.Stacktrace)

Jika layanan endpoint tidak ditemukan:

Mencetak "Error saat menjalankan tindakan "Unisolate Endpoint". Alasan: Server endpoint tidak ditemukan."

Umum

Perbarui Insiden

Deskripsi

Perbarui Insiden di RSA Netwitness. Memerlukan lisensi RSA Netwitness Respond, Nama Pengguna Web dan Sandi Web yang dikonfigurasi dalam konfigurasi integrasi.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib	Deskripsi
ID Insiden	String	T/A	Ya	Tentukan ID insiden yang perlu diperbarui.
Status	DDL	T/A	Tidak	Tentukan status baru untuk insiden.
Penerima tugas	String	T/A	Tidak	Tentukan penerima tugas baru untuk insiden.

Run On

Tindakan ini tidak dijalankan di entity.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	Benar/Salah	is_success:False

Hasil JSON

{
    "id": "INC-128",
    "title": "High Risk Alerts: NetWitness Endpoint for RSA-HOST-1",
    "summary": "",
    "priority": "High",
    "riskScore": 72,
    "status": "RemediationRequested",
    "alertCount": 136,
    "averageAlertRiskScore": 72,
    "sealed": true,
    "totalRemediationTaskCount": 0,
    "openRemediationTaskCount": 0,
    "created": "2020-08-26T12:56:57.867Z",
    "lastUpdated": "2020-08-26T15:31:27.953Z",
    "lastUpdatedBy": null,
    "assignee": "admin",
    "sources": [
        "ECAT"
    ],
    "ruleId": "5ef1b33614c0552a2884c590",
    "firstAlertTime": "2020-08-26T12:56:56.097Z",
    "categories": [],
    "journalEntries": null,
    "createdBy": "High Risk Alerts: NetWitness Endpoint",
    "deletedAlertCount": 0,
    "eventCount": 136,
    "alertMeta": {
        "SourceIp": [
            ""
        ],
        "DestinationIp": [
            ""
        ]
    }
}

Repositori Kasus

Jenis Hasil	Nilai / Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika kode status == 200 (is_success = true): Cetak "Successfully updated incident with ID {0} in RSA Netwitness".format(incident_id). Jika kode status 400 (is_success=false): Mencetak "Tindakan tidak dapat memperbarui insiden dengan ID {0} di RSA Netwitness. Alasan: {1}".format(incident_id, errors/message). Tindakan akan gagal dan menghentikan eksekusi playbook: Jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau lainnya: Mencetak "Error saat menjalankan tindakan "Perbarui Insiden". Alasan: {0}''.format(error.Stacktrace)	Umum

Jenis Hasil

Nilai / Deskripsi

Jenis

Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:

Jika kode status == 200 (is_success = true):

Cetak "Successfully updated incident with ID {0} in RSA Netwitness".format(incident_id).

Jika kode status 400 (is_success=false):

Mencetak "Tindakan tidak dapat memperbarui insiden dengan ID {0} di RSA Netwitness. Alasan: {1}".format(incident_id, errors/message).

Tindakan akan gagal dan menghentikan eksekusi playbook:

Jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau lainnya:

Mencetak "Error saat menjalankan tindakan "Perbarui Insiden". Alasan: {0}''.format(error.Stacktrace)

Umum

Menambahkan Catatan ke Insiden

Deskripsi

Menambahkan Catatan ke Insiden di RSA Netwitness. Memerlukan lisensi RSA Netwitness Respond, Nama Pengguna Web dan Sandi Web yang dikonfigurasi dalam konfigurasi integrasi.

Parameter

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib	Deskripsi
ID Insiden	String	T/A	Ya	Tentukan ID insiden yang perlu diperbarui.
Catatan	String	T/A	Ya	Tentukan catatan mana yang akan ditambahkan.
Penulis	String	T/A	Ya	Tentukan penulis catatan.

Run On

Tindakan ini tidak dijalankan di entity.

Hasil Tindakan

Hasil Skrip

Nama Hasil Skrip	Opsi Nilai	Contoh
is_success	Benar/Salah	is_success:False

Repositori Kasus

Jenis Hasil	Nilai / Deskripsi	Jenis
Pesan output*	Tindakan tidak boleh gagal atau menghentikan eksekusi playbook: Jika kode status == 200 (is_success = true): Mencetak "Successfully added note to incident with ID {0} in RSA Netwitness".format(incident_id). Jika kode status 400 (is_success=false): Mencetak "Action wasn't able to add note to incident with ID {0} in RSA Netwitness. Alasan: {1}".format(incident_id, errors/message). Tindakan akan gagal dan menghentikan eksekusi playbook: Jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau lainnya: Mencetak "Error saat menjalankan tindakan "Tambahkan Catatan ke Insiden". Alasan: {0}''.format(error.Stacktrace)	Umum

Jenis Hasil

Nilai / Deskripsi

Jenis

Pesan output*

Tindakan tidak boleh gagal atau menghentikan eksekusi playbook:

Jika kode status == 200 (is_success = true):

Mencetak "Successfully added note to incident with ID {0} in RSA Netwitness".format(incident_id).

Jika kode status 400 (is_success=false):

Mencetak "Action wasn't able to add note to incident with ID {0} in RSA Netwitness. Alasan: {1}".format(incident_id, errors/message).

Tindakan akan gagal dan menghentikan eksekusi playbook:

Jika terjadi error fatal, seperti kredensial salah, tidak ada koneksi ke server, atau lainnya:

Mencetak "Error saat menjalankan tindakan "Tambahkan Catatan ke Insiden". Alasan: {0}''.format(error.Stacktrace)

Umum

Konektor

RSA Netwitness Platform - Incidents Connector

Deskripsi

Tarik insiden dari RSA Netwitness Platform.

Cara bekerja dengan Objek JSON Kredensial

Objek JSON kredensial memberikan cara yang lebih fleksibel untuk melakukan autentikasi ke sumber data. Konfigurasi JSON yang paling dasar akan terlihat seperti ini:

{
    "default_username": "username",
    "default_password": "password"
}

Tanpa "default_username" dan "default_password", konektor akan menampilkan error. Konfigurasi ini cocok untuk lingkungan tempat semua sumber data menggunakan nama pengguna dan sandi yang sama. Jika Anda perlu memberikan kredensial tertentu untuk sumber data, struktur JSON akan terlihat seperti ini:

{
    "default_username": "username",
    "default_password": "password",
    "dataSources": [
        {
            "api_root": "172.30.203.151:50102",
            "username": "username",
            "password": "password"
        },
        {
            "api_root": "172.30.203.151:50105",
            "username": "username",
            "password": "password"
        },
        {
            "api_root": "172.30.203.151:50103",
            "username": "username",
            "password": "password"
        }
    ]
}

Konektor akan memindai peristiwa untuk root API sumber, lalu membandingkannya dengan yang tersedia di Objek JSON Kredensial. Jika kecocokan ditemukan, konektor akan mengambil nama pengguna + sandi dari daftar "dataSources". Jika tidak ada kecocokan, konektor akan menggunakan "default_username" dan default_password. Selain itu, Anda tidak perlu memberikan nama pengguna dan sandi dalam daftar "dataSources". Misalnya, jika hanya nama pengguna yang diberikan, konektor akan mengambil nama pengguna dari daftar "dataSource" dan sandi dari "default_password".

Mengonfigurasi RSA Netwitness Platform - Incidents Connector di Google SecOps

Untuk mendapatkan petunjuk mendetail tentang cara mengonfigurasi konektor di Google SecOps, lihat Mengonfigurasi konektor.

Parameter konektor

Gunakan parameter berikut untuk mengonfigurasi konektor:

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib	Deskripsi
Nama Kolom Produk	String	Nama Produk	Ya	Masukkan nama kolom sumber untuk mengambil nama Kolom Produk.
Nama Kolom Peristiwa	String	jenis	Ya	Masukkan nama kolom sumber untuk mengambil nama Kolom Peristiwa.
Nama Kolom Lingkungan	String	""	Tidak	Mendeskripsikan nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ditemukan, lingkungan yang digunakan adalah lingkungan default.
Pola Regex Lingkungan	String	.*	Tidak	Pola regex untuk dijalankan pada nilai yang ditemukan di kolom "Nama Kolom Lingkungan". Defaultnya adalah .* untuk mencakup semua dan menampilkan nilai tanpa perubahan. Digunakan untuk mengizinkan pengguna memanipulasi kolom lingkungan melalui logika regex. Jika pola regex adalah null atau kosong, atau nilai lingkungan adalah null, hasil lingkungan akhir adalah lingkungan default.
Waktu Tunggu Skrip (Detik)	Bilangan bulat	180	Ya	Batas waktu untuk proses python yang menjalankan skrip saat ini.
Root Web API	String	https://{ip}/rest/api/	Ya	Root Web API instance Platform RSA Netwitness.
Nama Pengguna Web	String	T/A	Ya	Nama pengguna akun RSA Netwitness Platform.
Sandi Web	Sandi	T/A	Ya	Sandi akun RSA Netwitness Platform.
Mengambil Mundur Jam Maksimum	Bilangan bulat	1	Tidak	Jumlah jam dari tempat pengambilan insiden. Catatan: konektor akan menunggu waktu yang diberikan untuk pembaruan pada insiden.
Skor Risiko Terendah yang Akan Diambil	Bilangan bulat	T/A	Tidak	Skor risiko terendah dari insiden yang akan diambil. Secara default, konektor akan menyerap semua insiden.Maksimumnya adalah 100.
Penggantian Tingkat Keparahan	String	Informatif	Ya	Tentukan tingkat keparahan penggantian untuk pemberitahuan Google SecOps, jika skor risiko tidak tersedia. Kemungkinan Nilai: Informasi, Rendah, Sedang, Tinggi, Kritis.
Jumlah Maksimum Insiden yang Akan Diambil	Bilangan bulat	10	Tidak	Jumlah insiden yang akan diproses per satu iterasi konektor. Maksimum adalah 100.
Menggunakan daftar yang diizinkan sebagai daftar blokir	Kotak centang	Tidak dicentang	Ya	Jika diaktifkan, daftar yang diizinkan akan digunakan sebagai daftar yang diblokir.
Verifikasi SSL	Kotak centang	Tidak dicentang	Ya	Jika diaktifkan, verifikasi sertifikat SSL untuk koneksi ke server RSA Netwitness Platform valid.
Alamat Server Proxy	String		Tidak	Alamat server proxy yang akan digunakan.
Nama Pengguna Proxy	String		Tidak	Nama pengguna proxy untuk melakukan autentikasi.
Sandi Proxy	Sandi		Tidak	Sandi proxy untuk mengautentikasi.
Objek JSON Kredensial	Sandi	T/A	Tidak	Parameter ini diperlukan untuk menyimpan kredensial sumber data. Parameter ini memiliki prioritas lebih tinggi daripada "Broker API Root", "Broker API Username", "Broker API Password", "Concentrator API Root", "Concentrator API Username", "Concentrator API Password". Lihat portal dokumentasi untuk mengetahui detail selengkapnya.

Aturan konektor

Dukungan proxy

Konektor mendukung proxy.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.