Integrar o SiemplifyUtilities ao Google SecOps

Este documento explica como integrar o SiemplifyUtilities ao Google Security Operations (Google SecOps).

Observação: essa integração usa um ou mais componentes de código aberto. É possível fazer o download de uma cópia do código-fonte completo dessa integração no bucket de armazenamento.

Casos de uso

A integração SiemplifyUtilities pode abordar os seguintes casos de uso:

• Exportação e compartilhamento: use os recursos do Google SecOps com a ação Exportar entidades como arquivo OpenIOC para gerar rapidamente arquivos OpenIOC padronizados de entidades de segurança (como IPs, hashes de arquivos ou URLs) e compartilhá-los com plataformas de inteligência contra ameaças ou outras equipes de segurança.

• Manipulação de listas para lógica: use os recursos do Google SecOps com a ação Operações de lista para realizar operações lógicas complexas (como interseção, união, subtração) em duas listas diferentes de valores em um playbook, fornecendo filtragem avançada ou combinação de fontes de dados.

• Transformação e análise de dados: use os recursos do Google SecOps com a ação Extrair os principais do JSON para processar e priorizar conjuntos de dados JSON grandes e aninhados, classificando-os com base em uma chave aninhada específica (como uma pontuação de gravidade) e retornando apenas os principais resultados relevantes para análise imediata.

• Análise forense de e-mails: use os recursos do Google SecOps com a ação Analisar EML para JSON para converter mensagens de e-mail brutas codificadas em base64 (arquivos EML ou MSG) em um formato JSON estruturado, tornando os cabeçalhos, o corpo, os anexos e os links do e-mail acessíveis para análise e investigação automatizadas.

Antes de começar

Essa integração oferece recursos nativos da plataforma e não exige chaves de API ou credenciais de terceiros para autenticação. Antes de começar, verifique se a integração está instalada no Content Hub na instância do Google SecOps.

Parâmetros de integração

Nenhuma.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.

Contar entidades no escopo

Use Contar entidades no escopo para recuperar o número de entidades em um escopo específico.

Essa ação é executada em todas as entidades do Google SecOps.

Entradas da ação

A ação Contar entidades no escopo requer os seguintes parâmetros:

Parâmetro	Descrição
Entity Type	Obrigatório. O tipo das entidades de destino.

Saídas da ação

A ação Contar entidades no escopo fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Contar entidades no escopo pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
There are NUMBER_OF_ENTITIES entities from ENTITY_TYPE type.	A ação foi concluída.
Error executing action "Count Entities in Scope". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir descreve os valores da saída do resultado do script ao usar a ação Contar entidades no escopo:

Nome do resultado do script	Valor
list_count	NUMBER_OF_ENTITIES

Lista de contagem

Use a ação Contar lista para recuperar o número de itens em uma lista.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Contar lista requer os seguintes parâmetros:

Parâmetro	Descrição
Input String	Opcional. Uma lista de strings separada por vírgulas, como value1,value2,value3.
Delimiter	Opcional. O símbolo usado para separar valores individuais no Input String.

Saídas da ação

A ação Contar lista fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Contar lista pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
List length is: NUMBER_OF_ENTITIES	A ação foi concluída.
Error executing action "Count List". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Contar lista:

Nome do resultado do script	Valor
list_count	NUMBER_OF_ENTITIES

Excluir arquivo

Use a ação Excluir arquivo para excluir um arquivo selecionado do sistema de arquivos.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Excluir arquivo requer os seguintes parâmetros:

Parâmetro	Descrição
File Path	Obrigatório. O caminho absoluto do arquivo a ser excluído.

Saídas da ação

A ação Excluir arquivo fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra as saídas de resultado JSON recebidas ao usar a ação Excluir arquivo:

{
"filepath": ""
"status": "deleted/not found"
}

Mensagens de saída

A ação Excluir arquivo pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully deleted file.	A ação foi concluída.
Error executing action "Delete File". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Excluir arquivo:

Nome do resultado do script	Valor
is_success	true ou false

Exportar entidades como arquivo OpenIOC

Use a ação Exportar entidades como arquivo OpenIOC para empacotar artefatos de segurança compatíveis do caso atual em um formato de arquivo OpenIOC padrão. Esse arquivo pode ser usado para compartilhamento, inteligência contra ameaças ou importação para outras ferramentas de segurança.

Essa ação é executada nas seguintes entidades do Google SecOps:

• Filehash

• IP Address

• URL

• Hostname

• User

Entradas da ação

A ação Exportar entidades como arquivo OpenIOC requer os seguintes parâmetros:

                       

Parâmetro	Descrição
Export Folder Path	Obrigatório.     O caminho local da pasta em que o arquivo OpenIOC gerado será salvo.

Saídas da ação

A ação Exportar entidades como arquivo OpenIOC fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra as saídas de resultado JSON recebidas ao usar a ação Exportar entidades como arquivo OpenIOC:

{
    "absolute_file_path": OpenIOC_{random_guid}.txt
}

Mensagens de saída

A ação Exportar entidades como arquivo OpenIOC pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully created an OpenIOC file based on provided entities. Action wasn't able to create an OpenIOC file, because there are no entities in the action execution scope.	A ação foi concluída.
Error executing action "Export Entities as OpenIOC File". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Extrair o topo do JSON

Use a ação Extrair o topo do JSON para classificar um JSON de entrada por uma chave específica e retornar as ramificações ou os registros mais bem classificados.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Extrair o primeiro do JSON requer os seguintes parâmetros:

                                                                       

Parâmetro	Descrição
JSON Data	Obrigatório.     Os dados JSON a serem processados.
Key To Sort By	Obrigatório.     A chave aninhada usada para classificação, com segmentos separados por pontos. Use * como um caractere curinga. Exemplo, Host.*.wassap_list.Severity
Field Type	Obrigatório.     O tipo de dados da chave especificada para classificação. Os valores possíveis são os seguintes: int string Date
Reverse (DESC -> ASC)	Opcional.     Se selecionada, a ordem de classificação será Decrescente. Se não for selecionada, a ordem de classificação será Crescente.     Ativado por padrão.
Top Rows	Opcional.     O número de registros principais (linhas) a serem recuperados da saída JSON classificada.

Saídas da ação

A ação Extrair o primeiro do JSON fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra as saídas de resultado JSON recebidas ao usar a ação Extrair o primeiro do JSON:

[
    {
        "HOST": {
            "DETECTION":{
                "QID": "82003",
                "SEVERITY": "1",
                "RESULTS": "Timestamp of host (network byte ordering): 03:40:14 GMT"
            },
            "IP": "1.1.1.1",
            "LAST_SCAN_DATETIME": "2018-08-13T10:24:35Z",
            "OS": "Windows 10"
        },
        "DATETIME": "2018-08-29T14:01:12Z"
    }, {
        "HOST":{
            "DETECTION": {
                "PORT": "443",
                "QID": "11827",
                "PROTOCOL": "tcp",
                "RESULTS": "X-Frame-Options or Content-Security-Policy: frame-ancestors HTTP Headers missing on port 443.",
                "SEVERITY": "2"
            },
            "IP": "1.1.1.1",
            "LAST_SCAN_DATETIME": "2018-08-13T08:31:58Z",
            "OS": "Linux 3.13"
        },
        "DATETIME": "2018-08-29T14:01:12Z"
    }, {
        "HOST": {
            "DETECTION": {
                "PORT": "53",
                "QID": "15033",
                "PROTOCOL": "udp",
                "RESULTS": "--- IPv4 --- ",
                "SEVERITY": "4"
            },
            "IP": "1.1.1.1",
            "LAST_SCAN_DATETIME": "2018-08-13T08:31:58Z",
            "OS": "Linux 3.13"
        },
        "DATETIME": "2018-08-29T14:01:12Z"
    }
]

Mensagens de saída

A ação Extrair o primeiro do JSON pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Results: RESULTS. No branches were found.	A ação foi concluída.
Error executing action "Extract top From JSON". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Extrair o nível superior do JSON:

Nome do resultado do script	Valor
result	RESULTS

Filtrar JSON

Use a ação Filtrar JSON para filtrar um objeto JSON com base em uma condição especificada e extrair resultados específicos.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Filtrar JSON requer os seguintes parâmetros:

                                                                                               

Parâmetro	Descrição
JSON Data	Obrigatório.     Os dados do dicionário JSON aos quais o filtro será aplicado.
Root Key Path	Opcional.     O caminho inicial separado por pontos para a pesquisa JSON.
Condition Path	Obrigatório.     O caminho separado por pontos para o campo cujo valor é avaliado em relação à condição filter.
Condition Operator	Obrigatório.     O operador de comparação a ser usado na condição.     Os valores possíveis são os seguintes: = != > < >= <= in not in
Condition Value	Obrigatório.     O valor específico a ser usado na condição filter.
Output Path	Opcional.     O caminho separado por pontos para os elementos de dados específicos a serem retornados do JSON filtrado.
Delimiter	Opcional.     O caractere usado para unir os valores de saída se vários elementos forem retornados.     O valor padrão é ,.

Saídas da ação

A ação Filtrar JSON fornece as seguintes saídas:

                                                                                                                                                       

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Filtrar JSON:

{
    "a": {
        "HOST": [
            {
                "DETECTION": {
                    "QID": "82003",
                    "SEVERITY": "1",
                    "RESULTS": "Timestamp of host (network byte ordering): 03:40:14 GMT"
                },
                "IP": "1.1.1.1",
                "LAST_SCAN_DATETIME": "2018-08-13T10:24:35Z",
                "OS": "Windows 10"
            }
        ],
        "DATETIME": "2018-08-29T14:01:12Z"
    }
}

Mensagens de saída

A ação Filtrar JSON pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully filtered JSON.	A ação foi concluída.
Error executing action "Filter JSON". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Filtrar JSON:

Nome do resultado do script	Valor
is_success	true ou false

Acessar o URL de implantação

Use a ação Get Deployment URL para recuperar o URL de implantação da sua instância atual do Google SecOps.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Get Deployment URL fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra as saídas de resultado JSON recebidas ao usar a ação Get Deployment URL:

{
"url": ""
}

Mensagens de saída

A ação Get Deployment URL pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully retrieved deployment URL.	A ação foi concluída.
Error executing action "Get Deployment URL". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Get Deployment URL:

Nome do resultado do script	Valor
is_success	true ou false

Listar operações

Use a ação Listar operações para realizar operações de conjunto entre duas listas separadas por vírgulas.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Listar operações requer os seguintes parâmetros:

                                                           

Parâmetro	Descrição
First List	Obrigatório.     A primeira lista de valores separados por vírgulas para a operação set.
Second List	Obrigatório.     A segunda lista de valores separados por vírgulas para a operação set.
Delimiter	Opcional.     O símbolo ou caractere usado para separar valores em First List e Second List.     O valor padrão é ,.
Operator	Obrigatório.     O tipo de operação set a ser realizada.     Os valores possíveis são os seguintes: intersection union subtract xor (OR exclusivo).

Saídas da ação

A ação Listar operações fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra as saídas de resultado JSON recebidas ao usar a ação Listar operações:

{
    "results": {
        "count": 6,
        "data": [
            "item",
            "item1",
            "item2"
        ]
    }
}​​

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Listar operações:

Nome do resultado do script	Valor
result_list	RESULTS

Analisar EML para JSON

Use a ação Analisar EML para JSON para converter o conteúdo de um arquivo de e-mail EML ou MSG em um objeto JSON estruturado no Google SecOps.

Observação: essa ação é compatível com a análise de tipos de arquivo EML e MSG. Se o arquivo tiver anexos, a ação só vai aceitar anexos em arquivos EML.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Analisar EML para JSON requer os seguintes parâmetros:

                                               

Parâmetro	Descrição
EML Content	Obrigatório.     O conteúdo codificado em base64 do arquivo EML ou MSG.
Blacklisted Headers	Opcional.     Uma lista separada por vírgulas de cabeçalhos a serem excluídos da saída JSON final.
Use Blacklist As Whitelist	Opcional.     Se selecionada, a lista fornecida em Blacklisted Headers funciona como uma lista de permissões, incluindo apenas os cabeçalhos listados na saída JSON.

Saídas da ação

A ação Analisar EML para JSON fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Disponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Resultado JSON

O exemplo a seguir mostra as saídas de resultado JSON recebidas ao usar a ação Analisar EML para JSON:

{
    "HTML Body": "<div><br></div>",
    "Attachments": {},
    "Recipients": "[e-mail]",
    "CC": "",
    "Links": {
        "urls_1": "https://lh4.googleusercontent.com/rE6-WYjfFuiHbHUV33G31NCtUeBl9YGnw4bvlorqMeNaC60qWagqtohFwCpq2eJxlMYMJPPDAqqXRZW6Oja8GqOjt3jB3aB6tzJP-jdtbCBoj-m3vu49tttHmWpXGJUSI6UuTUYS",
        "urls_2": "https://lh4.googleusercontent.com/Uih5TalWnJjBbG_QaRICp8emX5wIakbCmstEDP3YHT7l45qdjIllcxg_Ddapvrh5DqGKszK3KKM5M0kEoC1YX6TgbWKJKPX0OxD5BeWr3uu6SRAHs7lwP20khjHSlxsIM46egQ-M"
    },
    "BCC": "",
    "To": "[e-mail]",
    "Date": "Mon, 13 Aug 2018 13:20:34 +0300",
    "From": "[e-mail]",
    "Subject": "TEST6:::Test:::ADVANCE NOTICE: 07.08.2018-Disable Accounts-user\\\r\\\\n Office Il Office"
}

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Analisar EML para JSON:

Nome do resultado do script	Valor
parsed_eml	RESULTS

A saída JSON da ação para o campo with é reestruturada para separar o valor do ID em um campo dedicado. Essa mudança se aplica à versão 10 e posteriores da integração, conforme descrito na tabela a seguir:

                                               

Versão da integração	Estrutura e descrição do campo	Exemplo de JSON
Versão 9 e anteriores	O ID e o protocolo são combinados no campo with.	{"with": "smtp id ID"}
Versão 10 e mais recentes	O ID é armazenado no novo campo id, e o campo with contém apenas o protocolo.	{"id": "ID", "with": "SMTP"}

Observação: se os playbooks atuais usarem a saída da ação Parse EML to JSON, será necessário atualizar a lógica do playbook. Faça referência ao novo campo id em vez de analisar o ID do campo with

Ping

Use a ação Ping para testar a conectividade com o SiemplifyUtilities.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

Nenhuma.

Saídas da ação

A ação Ping fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Ping fornece as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Connection Established.	A ação foi concluída.
Failed to connect to SiemplifyUtilities. Error is ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir descreve os valores para a saída do resultado do script ao usar a ação Ping:

Nome do resultado do script	Valor
is_success	True ou False

Joiner de consulta

Use a ação Query Joiner para criar dinamicamente uma string de consulta estruturada combinando uma lista de valores de pesquisa, um campo de destino e um operador lógico.

Essa ação não é executada em entidades do Google SecOps.

Entradas da ação

A ação Query Joiner requer os seguintes parâmetros:

Parâmetro	Descrição
Values	Obrigatório. Uma lista separada por vírgulas de valores a serem pesquisados, como value1,value2,value3.
Query Field	Obrigatório. O nome do campo de destino em que a pesquisa será feita, como SrcIP, DestHost ou UserName.
Query Operator	Obrigatório. O operador lógico que combina os valores, como AND ou OR.
Add Quotes	Opcional. Se selecionada, a ação adiciona aspas simples (') ao redor de cada item em Values.
Add Double Quotes	Opcional. Se selecionada, a ação adiciona aspas duplas (") ao redor de cada item em Values.
Add Backticks	Opcional. Se selecionada, a ação adiciona crases (`) ao redor de cada item em Values. Isso é útil para escapar strings complexas ou caracteres especiais (como URLs longos) e evitar erros de compilação de consulta.
Delimiter	Opcional. O caractere que separa os itens em Values. Se nenhum valor for fornecido, o delimitador padrão será uma vírgula (,).

Saídas da ação

A ação Query Joiner fornece as seguintes saídas:

Tipo de saída da ação	Disponibilidade
Anexo do Painel de Casos	Indisponível
Link do Painel de Casos	Indisponível
Tabela do painel de casos	Indisponível
Tabela de enriquecimento	Indisponível
Resultado JSON	Indisponível
Mensagens de saída	Disponível
Resultado do script	Disponível

Mensagens de saída

A ação Query Joiner pode retornar as seguintes mensagens de saída:

Mensagem de resposta	Descrição da mensagem
Successfully formed query: QUERY_FIELD= VALUE_1 OPERATOR QUERY_FIELD= VALUE_2 OPERATOR QUERY_FIELD= VALUE_3	A ação foi concluída.
Error executing action "Query Joiner". Reason: ERROR_REASON	A ação falhou. Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.

Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Query Joiner:

Nome do resultado do script	Valor
query	QUERY_FIELD= VALUE_1 OPERATOR QUERY_FIELD= VALUE_2 OPERATOR QUERY_FIELD= VALUE_3

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.