Integra SentinelOne Singularity Operations Center con Google SecOps

En este documento, se explica cómo configurar e integrar SentinelOne Singularity Operations Center con Google Security Operations.

Casos de uso

La integración de SentinelOne Singularity Operations Center te ayuda a realizar las siguientes acciones:

  • Centraliza la clasificación y la investigación: Accede a alertas, activos, indicadores y observables unificados desde el Centro de operaciones de Singularity de SentinelOne para optimizar los flujos de trabajo de los analistas.
  • Actualiza los estados y los veredictos de las alertas: Actualiza de forma programática los detalles, los responsables y los veredictos de las alertas directamente desde Google SecOps.
  • Agregar notas del analista: Sincroniza los comentarios y las notas del caso con las alertas del Centro de operaciones de Singularity de SentinelOne.

Antes de comenzar

Para autenticar la conexión entre Google SecOps y tu instancia de SentinelOne Singularity Operations Center, debes proporcionar un token de API válido.

Puedes generar un token de API personal en tu consola de administración de SentinelOne.

Para obtener instrucciones detalladas sobre cómo generar y administrar tokens, visita el Portal del cliente de SentinelOne.

Parámetros de integración

La integración de SentinelOne Singularity Operations Center requiere los siguientes parámetros:

Parámetros
API Root Obligatorio

Es la raíz de la API para la instancia de SentinelOne Singularity Operations Center.
API Token Obligatorio

Es el token de API para la instancia de SentinelOne Singularity Operations Center.
Verify SSL Obligatorio

Si se selecciona, la integración valida el certificado SSL cuando se conecta al Centro de operaciones de SentinelOne Singularity. Esta opción se selecciona de forma predeterminada.

Si quieres obtener instrucciones para configurar una integración en Google SecOps, consulta Configura integraciones.

Acciones

Para obtener más información sobre las acciones, consulta Cómo responder a las acciones pendientes desde Tu escritorio y Cómo realizar una acción manual.

Agregar comentario de alerta

Usa la acción Add Alert Comment para agregar un comentario a una alerta en el Centro de operaciones de SentinelOne Singularity.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Add Alert Comment requiere los siguientes parámetros:

Parámetros
Alert ID Obligatorio

Especifique el ID de la alerta que necesita actualizarse.
Comment Obligatorio

Especifica el comentario de la alerta.

Resultados de la acción

La acción Add Alert Comment proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON No disponible
Resultado de secuencia de comandos Disponible
Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado del script cuando se usa la acción Add Alert Comment:

Nombre del resultado de la secuencia de comandos Valor
is_success true o false
Mensajes de salida de la acción

La acción Agregar comentario de alerta proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje
Successfully added comment to the alert with ID ALERT_ID in SentinelOne Singularity Operations Center. La acción se completó correctamente.
Error executing action "Add Alert Comment". Reason: ERROR_REASON No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Error executing action "Add Alert Comment". Reason: alert with ID ALERT_ID wasn't found in SentinelOne Singularity Operations Center. Please check the spelling. No se pudo realizar la acción. Verifique la ortografía del ID de la alerta.

Ping

Utilice la acción Ping para probar la conectividad con SentinelOne Singularity Operations Center.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

Esta acción no tiene parámetros de entrada.

Resultados de la acción

La acción Ping proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON No disponible
Resultado de secuencia de comandos Disponible
Resultado de secuencia de comandos

En la siguiente tabla, se indica el valor del resultado de la secuencia de comandos cuando se usa la acción Ping:

Nombre del resultado de la secuencia de comandos Valor
is_success true o false
Mensajes de salida de la acción

La acción Ping proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje
Successfully connected to SentinelOne Singularity Operations Center. La acción se completó correctamente.
Error executing action "Ping". Reason: ERROR_REASON No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.

Actualizar alerta

Utilice la acción Actualizar alerta para actualizar el estado, el veredicto o el responsable de una alerta en SentinelOne Singularity Operations Center.

Esta acción no se ejecuta en las entidades de Google SecOps.

Entradas de acción

La acción Update Alert requiere los siguientes parámetros:

Parámetros
Alert ID Obligatorio

Especifique el ID de la alerta que necesita actualizarse.
Status Optional

Especifique el estado de la alerta. Valores posibles: New, In Progress, Resolved.
Verdict Optional

Especifique el veredicto para la alerta. Valores posibles:

  • True positive/Malware
  • True positive/Unauthorized access
  • True positive/Data exfiltration
  • True positive/Insider threat
  • True positive/Phishing attack
  • True positive/Advanced persistent threat
  • True positive/Denial of service
  • True positive/Ransomware
  • True positive/Policy violation
  • True positive/Benign but suspicious
  • True positive/Benign
  • True positive/Undefined
  • True positive/Exploitation tools
  • True positive/PUA Adware
  • False positive/Benign
  • False positive/Benign but suspicious
  • False positive/System error
  • False positive/User error
  • False positive/Undefined
Assignee Optional

Especifique el nombre del analista al que se debe asignar la alerta. Si se proporciona Unassign, la acción elimina la asignación de la alerta.

Resultados de la acción

La acción Update Alert proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del muro de casos No disponible
Vínculo al muro de casos No disponible
Tabla del muro de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Resultado de secuencia de comandos Disponible
Resultado de secuencia de comandos

La siguiente tabla muestra el valor del resultado del script al usar la acción Actualizar alerta:

Nombre del resultado de la secuencia de comandos Valor
is_success true o false
Mensajes de salida de la acción

La acción Actualizar alerta proporciona los siguientes mensajes de salida:

Mensaje de salida Descripción del mensaje
Successfully updated alert with ID ALERT_ID in SentinelOne Singularity Operations Center. La acción se completó correctamente.
Error executing action "Update Alert". Reason: ERROR_REASON No se pudo realizar la acción. Verifica la conexión al servidor, los parámetros de entrada o las credenciales.
Error executing action "Update Alert". Reason: alert with ID ALERT_ID wasn't found in SentinelOne Singularity Operations Center. Please check the spelling. No se pudo realizar la acción. Verifica la ortografía del ID de alerta.

Conectores

Para obtener más información sobre los conectores, consulta Cómo ingerir datos con conectores.

Centro de operaciones de Singularity de SentinelOne: conector de alertas unificadas

Usa el conector de alertas unificadas de SentinelOne Singularity Operations Center para extraer alertas unificadas de SentinelOne Singularity Operations Center.

Parámetros del conector

Usa los siguientes parámetros para configurar el conector:

Parámetros
Product Field Name Obligatorio

Ingresa el nombre del campo de origen para recuperar el nombre del campo del producto. Valor predeterminado: Product Name.
Event Field Name Obligatorio

Ingresa el nombre del campo de origen para recuperar el nombre del campo del evento. Valor predeterminado: event_type.
Environment Field Name Optional

Describe el nombre del campo en el que se almacena el nombre del entorno. Si no se encuentra el campo del entorno, se usa el entorno predeterminado.
Environment Regex Pattern Optional

Es un patrón de regex que se ejecutará en el valor que se encuentra en el campo "Nombre del campo del entorno". El valor predeterminado es .* para capturar todo y devolver el valor sin cambios.
Script Timeout (Seconds) Obligatorio

Es el límite de tiempo de espera en segundos para el proceso de Python que ejecuta la secuencia de comandos actual. Valor predeterminado: 180.
API Root Obligatorio

Es la raíz de la API para la instancia de SentinelOne Singularity Operations Center.
API Token Obligatorio

Token de API para la instancia del Centro de Operaciones de Singularidad de SentinelOne.
Lowest Severity To Fetch Optional

Menor gravedad de los problemas a recuperar. Si no se proporciona ninguna información, el conector procesa los problemas de cualquier gravedad. Valores posibles: Critical, High, Medium, Low, Info.
Max Hours Backwards Obligatorio

Cantidad de horas desde donde se obtienen las alertas. Valor predeterminado: 1.
Max Alerts To Fetch Obligatorio

Cuántas alertas procesar por cada iteración del conector. Valor predeterminado: 10.
Use dynamic list as a blocklist Obligatorio

Si está habilitada, la lista dinámica se utilizará como lista de bloqueo. Esta opción no está marcada de forma predeterminada.
Disable Overflow Optional

Si está habilitado, el conector ignora el mecanismo de desbordamiento. Esta opción no está marcada de forma predeterminada.
Verify SSL Obligatorio

Si se selecciona, verifica que el certificado SSL para la conexión al servidor del Centro de Operaciones de Singularidad de SentinelOne sea válido. Esta opción no está marcada de forma predeterminada.
Proxy Server Address Optional

Es la dirección del servidor proxy que se usará.
Proxy Username Optional

Nombre de usuario del proxy con el que se realizará la autenticación.
Proxy Password Optional

Es la contraseña del proxy con la que se realizará la autenticación.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.