Splunk in Google SecOps einbinden

In diesem Dokument finden Sie eine Anleitung zur Integration von Splunk in Google SecOps.

Hinweis

Bevor Sie Splunk in Google SecOps einbinden, müssen Sie die geeignete Erfassungsmethode für Ihre Bereitstellungsarchitektur ermitteln und prüfen, ob Ihre Umgebung alle erforderlichen Abhängigkeiten, Netzwerkpfade und Zugriffsberechtigungen erfüllt.

Google SecOps unterstützt zwei Aufnahmemethoden:

  • Push-basierte Aufnahme: Splunk wertet Benachrichtigungen lokal aus und sendet Ereignisse mithilfe des TA-Siemplify-Add-ons und von Benachrichtigungs-Triggeraktionen direkt an Google SecOps. In Google SecOps ist keine Connector-Konfiguration erforderlich.

  • Pull-basierte Aufnahme: Google SecOps-Connectors fragen regelmäßig Splunk REST API-Endpunkte ab, um Benachrichtigungen, SPL-Suchergebnisse oder wichtige Splunk ES-Ereignisse abzurufen.

Push-basierte Aufnahme

Für die pushbasierte Aufnahme ist eine direkte ausgehende HTTPS-Verbindung von Splunk zu Google SecOps sowie bestimmte Add-on-Konfigurationen auf Ihren Splunk-Suchköpfen erforderlich.

Prüfen Sie vor der Konfiguration der Push-basierten Erfassung, ob die folgenden Anforderungen erfüllt sind:

  1. Laden Sie das TA-Siemplify-Paket von Splunkbase herunter und installieren Sie es auf allen Splunk-Suchheadern. Stellen Sie das Add-on in verteilten Umgebungen mit dem Splunk Deployer oder Deployment Server in Ihrem Search Head-Cluster bereit.

  2. Prüfen Sie, ob eine kompatible Version des Splunk Common Information Model (Splunk_SA_CIM) auf dem Suchheader installiert ist, um modulare Benachrichtigungen und Logging zu unterstützen.

  3. Ihre Splunk-Suchköpfe müssen über HTTPS (TCP-Port 443) ausgehenden Netzwerkzugriff auf die URL Ihrer Google SecOps-Instanz haben.

  4. Prüfen Sie, ob Sie ein Konto in Google SecOps mit Administratorberechtigungen zum Generieren von API-Schlüsseln haben (Einstellungen> Erweitert> API). Achten Sie darauf, dass dem generierten API-Schlüssel eine Rolle mit Berechtigungen zum Erstellen von Benachrichtigungen und Anfragen zugewiesen ist.

  5. Wenn Sie Rohevents aus transformierenden Suchvorgängen (z. B. Suchvorgänge mit stats, chart oder timechart) aufnehmen möchten, muss dispatch.buckets = 1 in savedsearches.conf auf Ihren Search Heads konfiguriert sein.

Pull-basierte Aufnahme

Für die pullbasierte Aufnahme, Playbook-Aktionen und Synchronisierungsjobs muss Google SecOps (oder ein Remote-Agent) eingehende administrative Verbindungen zu Splunk herstellen.

Prüfen Sie die folgenden Anforderungen, bevor Sie Pull-Connectors, Aktionen oder Jobs konfigurieren:

  1. Netzwerkverbindung: Prüfen Sie die Netzwerkverbindung von Google SecOps (oder Ihrem Remote-Agenten) zum REST API-Port der Splunk-Verwaltung (Standard: 8089/TCP).

  2. Benutzerdefiniertes CA-Zertifikat: Wenn Ihre Splunk-Instanz ein privates oder internes CA-Zertifikat verwendet, prüfen Sie, ob Sie die Splunk-Integration Version 26.0 oder höher in Google SecOps ausführen.

  3. Authentifizierung: Rufen Sie gültige Splunk-Nutzeranmeldedaten (Nutzername und Passwort) ab oder generieren Sie ein Splunk-Inhabertoken (um diese Authentifizierungsmethode auf der Splunk-Plattform zu aktivieren, ist eine Token-Authentifizierung erforderlich).

  4. Splunk-Rollenberechtigungen: Das authentifizierende Splunk-Konto muss eine Rolle mit den folgenden Berechtigungen haben:

    • search
    • schedule_search
    • edit_tcp (nur erforderlich, wenn die Aktion Ereignis senden verwendet wird)
    • edit_notable_events (Nur erforderlich, wenn die Aktion Wichtige Ereignisse aktualisieren oder Splunk ES-Synchronisierungsjobs verwendet werden)

  5. Berechtigungen für Datenspeicher und Suchvorgänge: Prüfen Sie, ob das authentifizierende Konto Zugriff auf die relevanten Splunk-Datenspeicher für die ausgewählten Komponenten hat:

    • Splunk-Pull-Connector: Leseberechtigungen für die siemplify_alerts-Suchtabelle (wird im Pull-Modus ausgefüllt, wenn TA-Siemplify installiert und konfiguriert ist).
    • Splunk-Abfrage-Connector und -Aktionen:
      • Suchberechtigungen für Zielereignisindexe (TA-Siemplify ist nicht erforderlich).
      • Schreib- und Eingabeberechtigungen für den Zielindex, wenn Sie die Aktion Ereignis senden verwenden.
    • Splunk ES – Connector und Jobs für relevante Ereignisse: Eine aktive Splunk Enterprise Security (ES)-Installation, Leseberechtigungen für den Index notable und Zugriff auf das Makro get_notable_index (TA-Siemplify ist nicht erforderlich).

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Serveradresse String {SCHEMA}://{IP}:{PORT} Ja Adresse des Splunk-Servers.
Nutzername String – Nein Die E-Mail-Adresse des Nutzers, die für die Verbindung zu Splunk verwendet werden soll.
Passwort Passwort – Nein Das Passwort des entsprechenden Nutzers.
API-Token Passwort – Nein Splunk-API-Token. Das API-Token hat Vorrang vor anderen Authentifizierungsmethoden, wenn dieses Feld nicht leer ist.
SSL überprüfen Kästchen Deaktiviert Nein Aktivieren Sie dieses Kästchen, wenn für Ihre Splunk-Verbindung eine SSL-Überprüfung erforderlich ist (standardmäßig deaktiviert).
CA-Zertifikatsdatei String – Nein Base64-codierte CA-Zertifikatsdatei.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können bei Bedarf später Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen in „Mein Arbeitsbereich“ reagieren und Manuelle Aktion ausführen.

Hostereignisse abrufen

Ereignisse im Zusammenhang mit Hosts in Splunk abrufen.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Beschränkung der Ereignisse pro Host Ganzzahl 100 Ja Geben Sie an, wie viele Ereignisse pro Host zurückgegeben werden sollen.
Ergebnisse aus String -24 Std. Ja Geben Sie die Startzeit für die Ereignisse an.
Ergebnisse an String jetzt Ja Geben Sie die Endzeit für die Ereignisse an.
Ergebnisfelder CSV – Nein Geben Sie eine durch Kommas getrennte Liste der Felder an, die zurückgegeben werden sollen.
Index String – Nein Geben Sie an, welcher Index verwendet werden soll, wenn nach Ereignissen im Zusammenhang mit dem Host gesucht wird. Wenn nichts angegeben ist, wird für die Aktion kein Index verwendet.
Hostschlüssel String Host Nein Geben Sie an, welcher Schlüssel verwendet werden soll, um Informationen zu Hostereignissen abzurufen. Standardeinstellung: host.

Ausführen am

Diese Aktion wird für die Hostname-Entität ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Erfolgreich Wahr/falsch success:False
JSON-Ergebnis
[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Bei Erfolg und wenn Ergebnisse verfügbar sind: „Successfully returned events for the following hosts in Splunk: \n {0}“.format(entity.identifier)

Wenn der Befehl erfolgreich ausgeführt wurde und für einige keine Ergebnisse verfügbar sind: „No events were found for the following hosts in Splunk:\n {0}“.format(entity.identifier)

Wenn der Vorgang erfolgreich war und nicht für alle Ergebnisse verfügbar sind: „In Splunk wurden keine Ereignisse für die angegebenen Hosts gefunden.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegenden Fehlern wie falschen Anmeldedaten, fehlender Verbindung zum Server usw.: „Fehler beim Ausführen der Aktion ‚Get Host Events‘. Grund: {0}''.format(error.Stacktrace)

Bei 400: „Fehler beim Ausführen der Aktion ‚Hostereignisse abrufen‘. Reason: {0}''.format(messages/text)

 Allgemein
Tabelle mit Fall-Repository

Name: {Entity.identifier} Events

Spalten:Basierend auf den Ergebnissen.

Ping

Testen Sie die Verbindung zu Splunk mit den Parametern, die auf der Konfigurationsseite für die Integration auf dem Tab „Google Security Operations Marketplace“ angegeben sind.

Parameter

–

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung des Playbooks nicht beenden:
Bei Erfolg: „Successfully connected to the Splunk server with the provided connection parameters!“

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:
if not successful: „Failed to connect to the Splunk server! Error is {0}".format(exception.stacktrace)

 Allgemein

Splunk-CSV-Betrachter

Mit dieser Aktion wird eine CSV-Tabelle auf Grundlage der Rohdaten erstellt.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Ergebnisse String – Ja Rohergebnisse.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_succeed Wahr/falsch is_succeed:False

SplunkQuery

Führen Sie eine Abfrage in Splunk aus.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Suchmodus DDL

Intelligent

Mögliche Werte:

  • Ausführlich
  • Intelligent
  • Schnell
 Nein Gibt den Modus für die Ausführung der Suche an.
Abfrage String Ja Geben Sie die Abfrage an, die ausgeführt werden soll. Beispiel: index="_internal"
Limit für die Anzahl der Ergebnisse Ganzzahl 100 Nein

Geben Sie an, wie viele Ergebnisse zurückgegeben werden sollen.
Hinweis: Mit diesem Parameter wird der bereitgestellten Anfrage das Schlüsselwort „head“ angehängt. Der Standardwert ist 100.
Ergebnisse aus String -24 Std. Nein Geben Sie den Beginn für die Abfrage an. Standard: -24h
Ergebnisse für String jetzt Nein Geben Sie die Endzeit für die Abfrage an. Standardwert: now.
Ergebnisfelder CSV Nein

Geben Sie eine durch Kommas getrennte Liste der Felder an, die zurückgegeben werden sollen.
Hinweis: Mit diesem Parameter wird das Schlüsselwort „fields“ an die angegebene Abfrage angehängt.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_succeed Wahr/falsch is_succeed:False
JSON-Ergebnis
[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn erfolgreich und Ergebnisse verfügbar sind: „Successfully returned results for the query „{0}“ in Splunk“.format(query)

Wenn erfolgreich und keine Ergebnisse verfügbar sind: „No results were found for the query "{0}" in Splunk“.format(query)

Asynchrone Nachricht: „Waiting for query {0} to finish execution.“ .format(query name)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚SplunkQuery‘. Reason: {0}''.format(error.Stacktrace)

Bei 400: „Fehler beim Ausführen der Aktion ‚SplunkQuery‘. Reason: {0}''.format(messages/text)

 Allgemein
Tabelle mit Fall-Repository

Name: Splunk-Abfrageergebnisse

Spalten: Basierend auf den Ergebnissen.

 Allgemein

Ereignis einreichen

Ereignis an Splunk senden.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Index String main Ja Geben Sie den Index an, in dem das Ereignis erstellt werden soll.
Ereignis String – Ja Geben Sie das Rohereignis an, das gesendet werden muss.
Host String – Nein Geben Sie den Host an, der mit dem Ereignis verknüpft ist.
Quelle String – Nein Geben Sie die Quelle des Ereignisses an. Beispiel: www.
Sourcetype String – Nein Geben Sie den Quelltyp des Ereignisses an. Beispiel: web_event

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Erfolgreich Wahr/falsch success:False
JSON-Ergebnis
{
    "index": "default",
    "bytes": 70,
    "host": "dogo",
    "source": "www",
    "sourcetype": "web_event"
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Bei Erfolg: „Successfully added a new event to index "{0}" in Splunk.“ .format(index)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Ereignis senden‘. Grund: {0}''.format(error.Stacktrace)

Bei 400: „Fehler beim Ausführen der Aktion ‚Ereignis senden‘. Grund: {0}''.format(messages/text)

 Allgemein

Wichtige Ereignisse aktualisieren

Aktualisieren Sie wichtige Ereignisse in Splunk ES.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Wichtige Ereignis-IDs CSV – Ja Geben Sie die IDs wichtiger Ereignisse an. Beispiel: 1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7@@notable@@cb87390ae72763679d3f6f8f097ebe2b,1D234D5B-1531-2D2B-BB94-41C439BE12B7@@notable@@cb87390ae72763679d3f6f8f097ebe2b
Status DDL

Wählen Sie eine Option aus.

Mögliche Werte:

Wählen Sie eine Option aus.

Nicht zugewiesen

Neu

In Bearbeitung

Ausstehend

Behoben

Geschlossen

 Ja Geben Sie den neuen Status für wichtige Ereignisse an.
Dringlichkeit DDL

Wählen Sie eine Option aus.

Mögliche Werte:

Wählen Sie eine Option aus.

Kritisch

Hoch

Mittel

Niedrig

Informationell

 Ja Geben Sie die neue Dringlichkeit für das auffällige Ereignis an.
Neuer Eigentümer String – Ja Geben Sie den neuen Inhaber des wichtigen Ereignisses an.
Kommentar String – Ja Geben Sie den Kommentar für das wichtige Ereignis an.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabenachricht*

Die Aktion darf nicht fehlschlagen oder die Ausführung eines Playbooks stoppen.

Bei Erfolg und wenn Daten verfügbar sind (is_success=true)

print "Successfully updated {0} notable events in Splunk.".format(count(notable_events))

Wenn die Aktualisierung fehlschlägt (status_code=400, is_success=false):

print "Action wasn't able to update notable events. Reason:{0}".format(string_from_response)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegenden Fehlern wie falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen:

print "Error executing action "Update Notable Events". Grund: {0}''.format(error.Stacktrace)

 Allgemein

Entitätsabfrage ausführen

Führen Sie eine Entitätsabfrage in Splunk aus.

Mit Aktionsparametern arbeiten

Mit dieser Aktion können Sie schnell Informationen zu Entitäten abrufen. So lässt sich beispielsweise der Anwendungsfall lösen, in dem Sie die Anzahl der Ereignisse der von den bereitgestellten Hashes betroffenen Endpunkte ohne komplizierte Abfrageerstellung sehen möchten. Um dieses Problem in Splunk zu lösen, müssen Sie die folgende Abfrage vorbereiten: index="main" | where (device_ip="10.0.0.1" or device_ip="10.12.12.12") and (hash="bad_hash_1" or hash="bad_hash_2") Um dieselbe Abfrage mit der Aktion „Entitätsabfrage ausführen“ zu erstellen, müssen Sie die Aktionsparameter so ausfüllen:

Abfrage index="main"
IP-Entitätsschlüssel device_ip
Entitätsschlüssel für Datei-Hash Hash
Entitätsübergreifender Operator UND

Alle anderen Felder können leer gelassen werden.

Wenn Sie wissen möchten, wie viele Endpunkte von den angegebenen Hashes betroffen waren, sieht die Konfiguration von „Execute Entity Query“ so aus:

Abfrage index="main"
Entitätsschlüssel für Datei-Hash Hash

„Entitätsübergreifender Operator“ hat in dieser Situation keine Auswirkungen, da er sich nur auf die Abfrage auswirkt, wenn mehrere „Entitätsschlüssel“ angegeben sind.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Suchmodus DDL

Intelligent

    Mögliche Werte:
  • Ausführlich
  • Intelligent
  • Schnell
 Nein Gibt den Modus für die Ausführung der Suche an.
Abfrage String Ja Geben Sie die Abfrage an, die ausgeführt werden soll, ohne die „Where“-Klausel. Beispiel: index="_internal"
Limit für die Anzahl der Ergebnisse Ganzzahl 100 Nein Geben Sie an, wie viele Ergebnisse zurückgegeben werden sollen. Hinweis: Mit diesem Parameter wird der bereitgestellten Anfrage das Schlüsselwort „head“ angehängt. Der Standardwert ist 100.
Ergebnisse aus String -24 Std. Nein Geben Sie den Beginn für die Abfrage an. Standard: -24h
Ergebnisse für String jetzt Nein Geben Sie die Endzeit für die Abfrage an. Standardwert: now.
Ergebnisfelder CSV – Nein

Geben Sie eine durch Kommas getrennte Liste der Felder an, die zurückgegeben werden sollen.
Hinweis: Mit diesem Parameter wird das Schlüsselwort „fields“ an die angegebene Abfrage angehängt.
IP-Entitätsschlüssel String – Nein Geben Sie an, welcher Schlüssel für IP-Entitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Hostname-Entitätsschlüssel String – Nein Geben Sie an, welcher Schlüssel für Hostnamen-Entitäten verwendet werden soll, wenn Sie die vorbereiten . Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Entitätsschlüssel für Datei-Hash String – Nein Geben Sie an, welcher Schlüssel für Datei-Hash-Entitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Schlüssel der Nutzerentität String – Nein Geben Sie an, welcher Schlüssel für Nutzerentitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
URL-Entitätsschlüssel String – Nein Geben Sie an, welcher Schlüssel mit URL-Entitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Entitätsschlüssel für E‑Mail-Adresse String – Nein Geben Sie an, welcher Schlüssel für Entitäten vom Typ „E-Mail-Adresse“ verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Beenden, wenn nicht genügend Entitäten vorhanden sind Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird die Aktion erst ausgeführt, wenn alle Entitätstypen für die angegebenen „.. Entitätsschlüssel“ verfügbar sind. Beispiel: Wenn „IP Entity Key“ (IP-Entitätsschlüssel) und „File Hash Entity Key“ (Datei-Hash-Entitätsschlüssel) angegeben sind, im Bereich jedoch keine Datei-Hashes vorhanden sind, wird die Abfrage nicht ausgeführt, wenn dieser Parameter aktiviert ist.
Entitätsübergreifender Operator DDL

ODER

Mögliche Werte:

ODER

UND

 Ja Geben Sie an, welcher logische Operator zwischen verschiedenen Entitätstypen verwendet werden soll.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • IP-Adresse
  • Host
  • Nutzer
  • Hash
  • URL

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_succeed Wahr/falsch is_succeed:False
JSON-Ergebnis
[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte die Ausführung eines Playbooks weder fehlschlagen lassen noch stoppen:

Wenn erfolgreich und Ergebnisse verfügbar sind: „Successfully returned results for the query „{0}“ in Splunk“.format(query)

Wenn erfolgreich und keine Ergebnisse verfügbar sind: „No results were found for the query "{0}" in Splunk“.format(query)

Asynchrone Nachricht: „Waiting for query {0} to finish execution.“ .format(query name)

Wenn „Stop If Not Enough Entities“ aktiviert ist und nicht genügend Entitätstypen für die angegebenen „Entity Keys“ verfügbar sind (is_success=false): Die Abfrage konnte nicht erstellt werden, da nicht genügend Entitätstypen für die angegebenen „.. Entity Keys“ bereitgestellt wurden. Deaktivieren Sie den Parameter „Anhalten, wenn nicht genügend Entitäten vorhanden sind“ oder geben Sie für jeden angegebenen „.. Entitätsschlüssel“ mindestens eine Entität an.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Entitätsabfrage ausführen‘. Reason: {0}''.format(error.Stacktrace)

Bei 400: „Fehler beim Ausführen der Aktion ‚Entitätsabfrage ausführen‘. Reason: {0}''.format(messages/text)

 Allgemein
Tabelle mit Fall-Repository

Name: Splunk Query Results

Spalten:Basierend auf den Ergebnissen.

 Allgemein

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Splunk Query-Connector

Der Connector sendet Abfragen, die Teil der dynamischen Liste (whitelist) sind, ruft Ergebnisse ab und erstellt einen Fall basierend auf den abgerufenen Ergebnissen.

Splunk-Beispielabfragen zum Aufrufen der Logs

  1. Abfragen sollten als Regeln für die dynamische Liste (whitelist) eingegeben werden.

  2. Bei Suchanfragen mit mehreren Filtern sollte ein Leerzeichen als Trennzeichen zwischen den Suchfiltern verwendet werden, z. B. index=cim_modactions sourcetype=modular_alerts:risk.

  3. Wenn Sie mehrere Regeln für dynamische Listen (whitelist) verwenden, anstatt mehrere durch Leerzeichen getrennte Suchfilter in dieselbe Regel einzugeben, wird für jede hinzugefügte Regel eine separate Suche ausgeführt.

    • index=cim_modactions
    • sourcetype=modular_alerts:send_data_to_siemplify
    • index=_internal sourcetype=splunkd
    • component=sendmodalert
    • action=send_data_to_siemplify
    • index=_internal source=/opt/splunk/var/log/splunk/send_data_to_siemplify_modalert.log

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Parameter
Product Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Product Field-Namen abzurufen.

Der Standardwert ist device_product.
Event Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Event Field-Namen abzurufen.

Der Standardwert ist app.
API Root Erforderlich

API-Stamm der Splunk-Instanz.

Der Standardwert ist https://IP:8089.
Username Erforderlich

Nutzername des Splunk-Kontos.
Password Erforderlich

Passwort des Splunk-Kontos.
API Token Optional

Splunk-API-Token.

Wenn dieses Feld einen Wert enthält, hat das API-Token Vorrang vor anderen Authentifizierungsmethoden.
Verify SSL Erforderlich

Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum CrowdStrike-Server gültig ist.

Standardmäßig deaktiviert.
Environment Field Name Optional

Name des Felds, in dem der Name der Umgebung gespeichert ist.
Rule Generator Field Erforderlich

Der Name des Felds, das zum Zuordnen des Regelgeneratorwerts verwendet wird.
Alert Name Field Name Erforderlich

Name der Benachrichtigung.
Events Count Limit Per Query Optional

Maximale Anzahl von Ereignissen, die pro Abfrage abgerufen werden sollen.
Max Day Backwards Optional

Anzahl der Tage, für die Ereignisse abgerufen werden sollen.
Aggregate Events Query Optional

Wenn diese Option aktiviert ist, werden alle Ereignisse im Connector in einer Benachrichtigung zusammengefasst.

Standardmäßig deaktiviert.
PythonProcessTimeout (Seconds) Erforderlich

Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.

Der Standardwert beträgt 60 Sekunden.
Proxy Server Address Optional

Adresse des zu verwendenden Proxyservers.
Proxy Username Optional

Proxy-Nutzername für die Authentifizierung.
Proxy Password Optional

Proxy-Passwort für die Authentifizierung.
Environment Regex Pattern Optional

Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll.

Der Standardwert .* fängt alle ab und gibt den Wert unverändert zurück.

Mit dem Parameter können Sie das Feld „environment“ mithilfe der Logik für reguläre Ausdrücke bearbeiten.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.

Connector-Regeln

Der Connector unterstützt Proxys.

Splunk Pull Connector

Benachrichtigungen und Ereignisse aus Splunk in Google SecOps abrufen.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Parameter
Product Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Product Field-Namen abzurufen.

Der Standardwert ist device_product.
Event Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Event Field-Namen abzurufen.

Der Standardwert ist name.
Environment Field Name Optional

Name des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Umgebungsfeld nicht gefunden wird, ist die Ergebnisumgebung "" .

Der Standardwert ist "".
Environment Regex Pattern Optional

Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll.

Der Standardwert .* fängt alle ab und gibt den Wert unverändert zurück.

Mit dem Parameter können Sie das Feld „environment“ mithilfe der Logik für reguläre Ausdrücke bearbeiten.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis "".
PythonProcessTimeout (Seconds) Erforderlich

Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.

Der Standardwert beträgt 60 Sekunden.
Server Address Erforderlich

IP-Adresse des Splunk-API-Servers.
Port Erforderlich

Port der Splunk-Instanz.

Der Standardwert ist 8089.
Username Erforderlich

Nutzername des Splunk-Kontos.
Password Erforderlich

Passwort des Splunk-Kontos.
Time Frame Optional

Zeitraum für das Abrufen der Benachrichtigungen.

Der Standardwert ist 1 Stunde.

Beispiele:

Wenn der Wert auf 1 Minute festgelegt ist, ruft der Connector Benachrichtigungen ab, die vor 1 Minute erstellt wurden.

Wenn der Wert auf 3 Stunden festgelegt ist, ruft der Connector Benachrichtigungen ab, die vor 3 Stunden oder später ausgelöst wurden.

Wenn der Wert auf 1 Tag oder 1 Woche festgelegt ist, ruft der Connector Benachrichtigungen ab, die vor 1 Tag (24 Stunden) bzw. 1 Woche ausgelöst wurden.
Alerts Count Limit Optional

Anzahl der Benachrichtigungen, die vom Connector pro Iteration zurückgegeben werden.

Der Standardwert ist 100.
Use SSL Optional

Klicken Sie hier, um die SSL- oder TLS-Verbindung zu aktivieren.

Standardmäßig deaktiviert.
Proxy Server Address Optional

Adresse des zu verwendenden Proxyservers.
Proxy Username Optional

Proxy-Nutzername für die Authentifizierung.
Proxy Password Optional

Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Der Connector unterstützt Proxys.

Splunk ES – Notable Events Connector

Wichtige Ereignisse aus Splunk ES aufnehmen.

Fallpriorität definieren

Die Fallpriorität wird durch den Parameter Urgency im wichtigen Ereignis definiert. Nur dieser Parameter wird berücksichtigt, wenn das wichtige Ereignis in Google SecOps aufgenommen wird.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Parameter
Product Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Product Field-Namen abzurufen.

Der Standardwert ist Product Name.
Event Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Namen Event Field abzurufen.

Der Standardwert ist index.
Environment Field Name Optional

Name des Felds, in dem der Name der Umgebung gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, wird die Standardumgebung verwendet.

Der Standardwert ist "".
Environment Regex Pattern Optional

Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll.

Der Standardwert .* fängt alle ab und gibt den Wert unverändert zurück.

Mit dem Parameter können Sie das Feld „environment“ mithilfe der Logik für reguläre Ausdrücke bearbeiten.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout (Seconds) Erforderlich

Zeitlimit für den Python-Prozess, in dem das aktuelle Script ausgeführt wird.

Der Standardwert beträgt 180 Sekunden.
Server Address Erforderlich

Serveradresse der Splunk-Instanz.

Der Standardwert ist https://:8089.
Username Optional

Nutzername des Splunk-Kontos.
Password Optional

Passwort des Splunk-Kontos.
API Token Erforderlich

Splunk-API-Token.

Wenn dieses Feld einen Wert enthält, hat das API-Token Vorrang vor anderen Authentifizierungsmethoden.
Lowest Urgency To Fetch Erforderlich

Niedrigste Dringlichkeit, die zum Abrufen wichtiger Ereignisse verwendet wird.

Folgende Werte sind möglich:

  • Informational
  • Low
  • Medium
  • High
  • Critical

Der Standardwert ist Medium.

Fetch Max Hours Backwards Optional

Anzahl der Stunden, ab denen wichtige Ereignisse abgerufen werden sollen.

Der Standardwert ist 1 Stunde.
Only Drilldown Events Optional

Wenn diese Option aktiviert ist, versucht der Connector, Aufschlüsselungsereignisse abzurufen, ohne Basisereignisse abzurufen. Für diesen Parameter muss die Option Fetch Base Events aktiviert sein.

Standardmäßig deaktiviert.
Padding Time Optional

Anzahl der Stunden, die als Padding verwendet werden.

Wenn kein Wert angegeben ist, ist dieser Parameter nicht anwendbar.

Der Höchstwert beträgt 12 Stunden.
Max Notable Events To Fetch Optional

Anzahl der zu verarbeitenden wichtigen Ereignisse pro Connector-Iteration.

Der Standardwert ist 10.
Use whitelist as a blacklist Erforderlich

Wenn diese Option aktiviert ist, wird die dynamische Liste als Blockierliste verwendet.

Standardmäßig deaktiviert.
Verify SSL Erforderlich

Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum CrowdStrike-Server gültig ist.

Standardmäßig deaktiviert.
Proxy Server Address Optional

Adresse des zu verwendenden Proxyservers.
Proxy Username Optional

Proxy-Nutzername für die Authentifizierung.
Proxy Password Optional

Proxy-Passwort für die Authentifizierung.
Query Filter Optional

Zusätzlicher Abfragefilter, der an Splunk gesendet wird, um wichtige Ereignisse abzurufen.

Der hier angegebene Wert wird an die WHERE-Abfrageklausel angehängt.
Extract Base Events Optional

Wenn diese Option aktiviert ist, extrahiert der Connector mithilfe von Informationen zum Job Basisereignisse, die sich auf das relevante Ereignis beziehen. Andernfalls erstellt der Connector ein Google SecOps-Ereignis basierend auf dem relevanten Ereignis.

Wenn dieser Parameter auf True gesetzt ist, der Connector aber nicht mit Jobs arbeiten kann, verwendet er Informationen zu wichtigen Ereignissen als Fallback-Mechanismus.

Standardmäßig aktiviert.
Multivalue Fields Optional

Eine durch Kommas getrennte Liste von Feldern, die mehrere Entitäten enthalten.

Wenn ein Feld beispielsweise zwei Hostnamen enthält, wird das relevante Ereignis in zwei Google SecOps-Ereignisse aufgeteilt, um Entitäten korrekt zuzuordnen.

Notable Event Data Along Base Event Optional

Wenn diese Option aktiviert ist, fügt der Connector zusätzlich zu den Basisereignissen Google SecOps-Ereignisse basierend auf dem relevanten Ereignis hinzu.

Standardmäßig deaktiviert.

Rule Generator Field Name Optional

Der Name des Felds, das zum Zuordnen des Regelgeneratorwerts verwendet wird.

Für die Zuordnung werden nur Informationen zum bemerkenswerten Ereignis selbst verwendet. Ereignisse werden ignoriert. Wenn ein ungültiger Wert angegeben wird, wird das Feld vom Connector auf den Wert rule_name gesetzt.
Alert Name Source Optional

Quelle für den Namen der Benachrichtigung.

Folgende Werte sind möglich:

  • Search Name
  • Rule Name

Der Standardwert ist Search Name.
Alert Start Time Field Optional

Ein Feld aus dem Splunk Notable Event, das als start_time der Benachrichtigung verwendet werden soll.

Wenn das Feld leer oder ungültig ist oder nicht als Zeitstempel geparst werden kann, greift der Connector auf das Standardverhalten mit dem Feld _time zurück.

Query Filter-Parameter verwenden

Wenn Sie wichtige Ereignisse anhand bestimmter Parameter eingrenzen möchten, verwenden Sie den Parameter Query Filter. Der in diesem Parameter angegebene Wert wird an die WHERE-Klausel der Abfrage angehängt, die zum Abrufen wichtiger Ereignisse gesendet wird.

Die gesendete Beispielanfrage sieht so aus: 

(`get_notable_index` OR `get_sequenced_index`) | eval `get_event_id_meval`,
rule_id=event_id | tags outputfield=tag | `mvappend_field(tag,orig_tag)` |
`notable_xref_lookup` | `get_correlations` | `get_current_status` | `get_owner`
| `get_urgency` | typer | where (urgency="medium" AND urgency="low") AND
(status_label="Unassigned" OR status_label="New")  | tail 50 | fields *

Wenn Query Filter = isTesting = True beispielsweise ist, sieht die Abfrage so aus:

search (`get_notable_index` OR `get_sequenced_index`) | eval epoch=_time | eval
`get_event_id_meval`,rule_id=event_id | tags outputfield=tag |
`mvappend_field(tag,orig_tag)` | `notable_xref_lookup` | `get_correlations` |
`get_current_status` | `get_owner` | `get_urgency` | typer | where
(urgency!="informational" AND urgency!="low" **AND isTesting = "True"**) |
fields *

Connector-Regeln

Der Splunk ES-Connector verwendet eine dynamische Zulassungs- und Sperrliste (whitelist und blacklist). Der Connector verwendet das Feld search_name aus dem Ereignis, um es mit der dynamischen Liste zu vergleichen.

Connector-Ereignis

[{
    "indicator": "2012/06/29_21:50", 
    "tlp": "TLP:RED", 
    "itype": "mal_url", 
    "severity": "very-high", 
    "classification": "public", 
    "detail": "", 
    "confidence": 50, 
    "actor": "", 
    "feed_name": "import", 
    "source": "admin", 
    "feed_site_netloc": "localhost", 
    "campaign": "", 
    "type": "url", 
    "id": "anomali:indicator-578a9be5-0e03-4ec0-940d-4b1842f40fd0", 
    "date_last": "2020-07-15 08:12:07 AM",
"Url": "indicator"
  },{
    "indicator": "2010/12/19_16:35", 
    "tlp": "TLP:RED", 
    "itype": "mal_url", 
    "severity": "very-high", 
    "classification": "public", 
    "detail": "", 
    "confidence": 50, 
    "actor": "", 
    "feed_name": "import", 
    "source": "admin", 
    "feed_site_netloc": "localhost", 
    "campaign": "", 
    "type": "url", 
    "id": "anomali:indicator-52cadd07-330a-45fd-962f-32e22d36a89a", 
    "date_last": "2020-07-15 08:12:07 AM"
  }]

Jobs

Weitere Informationen zu Jobs finden Sie unter Neuen Job konfigurieren und Erweiterte Planung.

Geschlossene Splunk ES-Ereignisse synchronisieren

Synchronisiert geschlossene Splunk ES-Ereignisse und Google SecOps-Benachrichtigungen.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Serveradresse String https://IP:8089 Ja Serveradresse der Splunk-Instanz.
Nutzername String – Nein Nutzername des Splunk-Kontos.
Passwort Passwort – Nein Passwort des Splunk-Kontos.
API-Token Passwort – Ja Splunk-API-Token. Das API-Token hat Vorrang vor anderen Authentifizierungsmethoden, wenn dieses Feld nicht leer ist.
Max. Stunden rückwärts Ganzzahl 24 Ja Geben Sie an, wie viele Stunden zurück Status synchronisiert werden sollen. Der Standardwert ist 24 Stunden.
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Splunk-Server gültig ist.

Splunk ES-Kommentare synchronisieren

Mit diesem Job werden Kommentare in Splunk ES-Ereignissen und Google SecOps-Fällen synchronisiert.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Serveradresse String https://IP:8089 Ja Serveradresse der Splunk-Instanz.
Nutzername String – Nein Nutzername des Splunk-Kontos.
Passwort Passwort – Nein Passwort des Splunk-Kontos.
API-Token Passwort – Ja Splunk-API-Token. Das API-Token hat Vorrang vor anderen Authentifizierungsmethoden, wenn dieses Feld nicht leer ist.
SSL überprüfen Kästchen Aktiviert Ja Wenn aktiviert, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Splunk-Server gültig ist.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten