Splunk in Google SecOps einbinden

In diesem Dokument finden Sie eine Anleitung zum Einbinden von Splunk in Google SecOps.

Hinweis

Bevor Sie Splunk in Google SecOps einbinden, müssen Sie die geeignete Aufnahmemethode für Ihre Bereitstellungsarchitektur bestimmen und prüfen, ob Ihre Umgebung alle erforderlichen Abhängigkeiten, Netzwerkpfade und Zugriffsberechtigungen erfüllt.

Google SecOps unterstützt zwei Aufnahmemethoden:

  • Push-basierte Aufnahme: Splunk wertet Benachrichtigungen lokal aus und sendet Ereignisse mithilfe des TA-Siemplify-Add-ons und der Benachrichtigungstriggeraktionen direkt an Google SecOps. In Google SecOps ist keine Connector-Konfiguration erforderlich.

  • Pull-basierte Aufnahme: Google SecOps-Connectors fragen regelmäßig Splunk REST API-Endpunkte ab, um Benachrichtigungen, SPL-Suchergebnisse oder Splunk ES Notable Events abzurufen.

Push-basierte Aufnahme

Für die Push-basierte Aufnahme ist eine direkte ausgehende HTTPS-Verbindung von Splunk zu Google SecOps sowie bestimmte Add-on-Konfigurationen auf Ihren Splunk-Suchköpfen erforderlich.

Prüfen Sie die folgenden Anforderungen, bevor Sie die Push-basierte Aufnahme konfigurieren:

  1. Laden Sie das Paket TA-Siemplify von Splunkbase herunter und installieren Sie es auf allen Splunk-Suchheadern. In verteilten Umgebungen stellen Sie das Add-on mithilfe des Splunk Deployer oder Deployment Server in Ihrem Search Head-Cluster bereit.

  2. Prüfen Sie, ob eine kompatible Version des Splunk Common Information Model (Splunk_SA_CIM) auf dem Suchheader installiert ist, um modulare Benachrichtigungen und Logging zu unterstützen.

  3. Ihre Splunk-Suchköpfe müssen über HTTPS (TCP-Port 443) ausgehenden Netzwerkzugriff auf die URL Ihrer Google SecOps-Instanz haben.

  4. Prüfen Sie, ob Sie ein Konto in Google SecOps mit Administratorberechtigungen zum Generieren von API-Schlüsseln haben (Einstellungen > Erweitert > API). Achten Sie darauf, dass dem generierten API-Schlüssel eine Rolle mit Berechtigungen zum Erstellen von Benachrichtigungen und Fällen zugewiesen ist.

  5. Wenn Sie Rohevents aus transformierenden Suchvorgängen (z. B. Suchvorgänge mit stats, chart oder timechart) aufnehmen möchten, muss dispatch.buckets = 1 in savedsearches.conf auf Ihren Search Heads konfiguriert sein.

Pull-basierte Aufnahme

Für die Pull-basierte Aufnahme, Playbook-Aktionen und Synchronisierungsjobs muss Google SecOps (oder ein Remote-Agent) eingehende administrative Verbindungen zu Splunk herstellen.

Prüfen Sie die folgenden Anforderungen, bevor Sie Pull-Connectors, Aktionen oder Jobs konfigurieren:

  1. Netzwerkverbindung: Prüfen Sie die Netzwerkverbindung von Google SecOps (oder Ihrem Remote-Agenten) zum REST API-Port der Splunk-Verwaltung (Standard: 8089/TCP).

  2. Benutzerdefiniertes CA-Zertifikat: Wenn Ihre Splunk-Instanz ein privates oder internes CA-Zertifikat verwendet, prüfen Sie, ob Sie die Splunk-Integrationsversion 26.0 oder höher in Google SecOps ausführen.

  3. Authentifizierung: Rufen Sie gültige Splunk-Nutzeranmeldedaten (Nutzername und Passwort) ab oder generieren Sie ein Splunk-Inhabertoken. (Wenn Sie diese Authentifizierungsmethode auf der Splunk-Plattform aktivieren möchten, ist eine Tokenauthentifizierung erforderlich.)

  4. Splunk-Rollenfunktionen: Das authentifizierende Splunk-Konto muss eine Rolle mit den folgenden Funktionen haben:

    • search
    • schedule_search
    • edit_tcp (nur erforderlich, wenn die Aktion Ereignis senden verwendet wird)
    • edit_notable_events (Nur erforderlich, wenn Sie die Aktion Wichtige Ereignisse aktualisieren oder Splunk ES-Synchronisierungsjobs verwenden)

  5. Berechtigungen für Datenspeicher und Suchvorgänge: Prüfen Sie, ob das authentifizierende Konto Zugriff auf die relevanten Splunk-Datenspeicher für die ausgewählten Komponenten hat:

    • Splunk-Pull-Connector: Leseberechtigungen für die Suchtabelle siemplify_alerts (wird ausgefüllt, wenn TA-Siemplify im Pull-Modus installiert und konfiguriert ist).
    • Splunk-Abfrage-Connector und -Aktionen:
      • Suchberechtigungen für Zielereignisindexe (erfordert nicht TA-Siemplify).
      • Schreib- und Eingabeberechtigungen für den Zielindex, wenn Sie die Aktion Ereignis senden verwenden.
    • Splunk ES – Connector und Jobs für relevante Ereignisse: Eine aktive Splunk Enterprise Security (ES)-Installation, Leseberechtigungen für den Index notable und Zugriff auf das Makro get_notable_index (TA-Siemplify ist nicht erforderlich).

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Serveradresse String {SCHEMA}://{IP}:{PORT} Ja Adresse des Splunk-Servers.
Nutzername String – Nein Die E-Mail-Adresse des Nutzers, die für die Verbindung mit Splunk verwendet werden soll.
Passwort Passwort – Nein Das Passwort des entsprechenden Nutzers.
API-Token Passwort – Nein Splunk-API-Token. Das API-Token hat Vorrang vor anderen Authentifizierungsmethoden, wenn dieses Feld nicht leer ist.
SSL überprüfen Kästchen Deaktiviert Nein Aktivieren Sie dieses Kästchen, wenn für Ihre Splunk-Verbindung eine SSL-Überprüfung erforderlich ist (standardmäßig deaktiviert).
CA-Zertifikatsdatei String – Nein Base64-codierte CA-Zertifikatsdatei.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Hostereignisse abrufen

Ereignisse im Zusammenhang mit Hosts in Splunk abrufen.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Beschränkung der Ereignisse pro Host Ganzzahl 100 Ja Geben Sie an, wie viele Ereignisse pro Host zurückgegeben werden sollen.
Ergebnisse von String vor 24 Std. Ja Geben Sie die Startzeit für die Ereignisse an.
Ergebnisse an String jetzt Ja Geben Sie die Endzeit für die Ereignisse an.
Ergebnisfelder CSV – Nein Geben Sie eine durch Kommas getrennte Liste der Felder an, die zurückgegeben werden sollen.
Index String – Nein Geben Sie an, welcher Index bei der Suche nach Ereignissen im Zusammenhang mit dem Host verwendet werden soll. Wenn nichts angegeben ist, wird für die Aktion kein Index verwendet.
Hostschlüssel String Host Nein Geben Sie an, welcher Schlüssel verwendet werden soll, um Informationen zu Hostereignissen abzurufen. Standardeinstellung: host.

Ausführen am

Diese Aktion wird für die Hostname-Entität ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Erfolgreich Wahr/falsch success:False
JSON-Ergebnis
[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn der Vorgang erfolgreich ist und Ergebnisse verfügbar sind: „Successfully returned events for the following hosts in Splunk: \n {0}“.format(entity.identifier)

Wenn der Befehl erfolgreich ausgeführt wurde und für einige keine Ergebnisse verfügbar sind: „No events were found for the following hosts in Splunk:\n {0}“.format(entity.identifier)

Wenn der Vorgang erfolgreich war und nicht für alle Ergebnisse verfügbar sind: „In Splunk wurden keine Ereignisse für die angegebenen Hosts gefunden.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Hostereignisse abrufen‘. Reason: {0}''.format(error.Stacktrace)

Bei 400: „Error executing action ‚Get Host Events‘. Grund: {0}''.format(messages/text)

 Allgemein
Tabelle mit Fall-Repository

Name: {Entity.identifier}-Ereignisse

Spalten: Basierend auf den Ergebnissen.

Ping

Testen Sie die Verbindung zu Splunk mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Parameter

–

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen und die Ausführung eines Playbooks nicht beenden:
Bei Erfolg: „Successfully connected to the Splunk server with the provided connection parameters!“

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:
if not successful: „Failed to connect to the Splunk server! Error is {0}".format(exception.stacktrace)

 Allgemein

Splunk-CSV-Betrachter

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Ergebnisse String – Ja Rohdaten.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_succeed Wahr/falsch is_succeed:False

SplunkQuery

Führen Sie eine Abfrage in Splunk aus.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Suchmodus DDL

Intelligent

Mögliche Werte:

  • Ausführlich
  • Intelligent
  • Schnell
 Nein Geben Sie den Modus für die Ausführung der Suche an.
Abfrage String Ja Geben Sie die Abfrage an, die ausgeführt werden soll. Beispiel: index="_internal"
Limit für die Anzahl der Ergebnisse Ganzzahl 100 Nein

Geben Sie an, wie viele Ergebnisse zurückgegeben werden sollen.
Hinweis: Mit diesem Parameter wird das Schlüsselwort „head“ an die angegebene Abfrage angehängt. Der Standardwert ist 100.
Ergebnisse von String vor 24 Std. Nein Geben Sie den Beginn der Abfrage an. Standard: -24h
Ergebnisse für String jetzt Nein Geben Sie die Endzeit für die Abfrage an. Standardeinstellung: now.
Ergebnisfelder CSV Nein

Geben Sie eine durch Kommas getrennte Liste der Felder an, die zurückgegeben werden sollen.
Hinweis: Mit diesem Parameter wird das Schlüsselwort „fields“ an die angegebene Abfrage angehängt.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_succeed Wahr/falsch is_succeed:False
JSON-Ergebnis
[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn erfolgreich und Ergebnisse verfügbar sind: „Successfully returned results for the query „{0}“ in Splunk“.format(query)

Wenn erfolgreich und keine Ergebnisse verfügbar sind: „No results were found for the query "{0}" in Splunk“.format(query)

Asynchrone Nachricht: „Waiting for query {0} to finish execution.“ .format(query name)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚SplunkQuery‘. Reason: {0}''.format(error.Stacktrace)

Bei 400: „Fehler beim Ausführen der Aktion ‚SplunkQuery‘. Grund: {0}''.format(messages/text)

 Allgemein
Tabelle mit Fall-Repository

Name: Splunk-Abfrageergebnisse

Spalten: Basierend auf den Ergebnissen.

 Allgemein

Ereignis einreichen

Ereignis an Splunk senden.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Index String main Ja Geben Sie den Index an, in dem das Ereignis erstellt werden soll.
Ereignis String – Ja Geben Sie das Rohereignis an, das gesendet werden soll.
Host String – Nein Geben Sie den Host an, der mit dem Ereignis zusammenhängt.
Quelle String – Nein Geben Sie die Quelle des Ereignisses an. Beispiel: www.
Sourcetype String – Nein Geben Sie den Quelltyp des Ereignisses an. Beispiel: web_event

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Erfolgreich Wahr/falsch success:False
JSON-Ergebnis
{
    "index": "default",
    "bytes": 70,
    "host": "dogo",
    "source": "www",
    "sourcetype": "web_event"
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Bei Erfolg: „Successfully added a new event to index "{0}" in Splunk.“ .format(index)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Ereignis senden‘. Reason: {0}''.format(error.Stacktrace)

Bei 400: „Fehler beim Ausführen der Aktion ‚Ereignis einreichen‘. Grund: {0}''.format(messages/text)

 Allgemein

Wichtige Ereignisse aktualisieren

Aktualisieren Sie wichtige Ereignisse in Splunk ES.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Wichtige Ereignis-IDs CSV – Ja Geben Sie die IDs wichtiger Ereignisse an. Beispiel: 1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7@@notable@@cb87390ae72763679d3f6f8f097ebe2b,1D234D5B-1531-2D2B-BB94-41C439BE12B7@@notable@@cb87390ae72763679d3f6f8f097ebe2b
Status DDL

Wählen Sie eine Option aus.

Mögliche Werte:

Wählen Sie eine Option aus.

Nicht zugewiesen

Neu

In Bearbeitung

Ausstehend

Behoben

Geschlossen

 Ja Geben Sie den neuen Status für wichtige Ereignisse an.
Dringlichkeit DDL

Wählen Sie eine Option aus.

Mögliche Werte:

Wählen Sie eine Option aus.

Kritisch

Hoch

Mittel

Niedrig

Informationell

 Ja Geben Sie die neue Dringlichkeit für das auffällige Ereignis an.
Neuer Eigentümer String – Ja Geben Sie den neuen Inhaber des relevanten Ereignisses an.
Kommentar String – Ja Geben Sie den Kommentar für das wichtige Ereignis an.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Bei Erfolg und wenn Daten verfügbar sind (is_success=true)

print "Successfully updated {0} notable events in Splunk.".format(count(notable_events))

Wenn die Aktualisierung fehlschlägt (status_code=400, is_success=false):

print "Action wasn't able to update notable events. Reason:{0}".format(string_from_response)

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegenden Fehlern, z. B. falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen Problemen:

print "Error executing action "Update Notable Events". Reason: {0}''.format(error.Stacktrace)

 Allgemein

Entitätsabfrage ausführen

Entitätsabfrage in Splunk ausführen

Wie arbeite ich mit Aktionsparametern?

Mit dieser Aktion können Sie schnell Informationen zu Entitäten abrufen. So können Sie beispielsweise den Anwendungsfall lösen, bei dem Sie die Anzahl der Ereignisse der Endpunkte sehen möchten, die von den bereitgestellten Hashes betroffen sind, ohne eine komplizierte Abfrage erstellen zu müssen. Um dieses Problem in Splunk zu lösen, müssen Sie die folgende Abfrage vorbereiten: index="main" | where (device_ip="10.0.0.1" or device_ip="10.12.12.12") and (hash="bad_hash_1" or hash="bad_hash_2") Um dieselbe Abfrage mit der Aktion „Entitätsabfrage ausführen“ zu erstellen, müssen Sie die Aktionsparameter so ausfüllen:

Abfrage index="main"
IP-Entitätsschlüssel device_ip
Entitätsschlüssel für Datei-Hash Hash
Entitätsübergreifender Operator UND

Alle anderen Felder können leer bleiben.

Wenn Sie sehen möchten, wie viele Endpunkte von den bereitgestellten Hashes betroffen waren, sieht die Konfiguration von „Entitätsabfrage ausführen“ so aus.

Abfrage index="main"
Entitätsschlüssel für Datei-Hash Hash

„Entitätsübergreifender Operator“ hat in dieser Situation keine Auswirkungen, da er sich nur auf die Abfrage auswirkt, wenn mehrere „Entitätsschlüssel“ angegeben sind.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Suchmodus DDL

Intelligent

    Mögliche Werte:
  • Ausführlich
  • Intelligent
  • Schnell
 Nein Geben Sie den Modus für die Ausführung der Suche an.
Abfrage String Ja Geben Sie die Abfrage an, die ohne die „Where“-Klausel ausgeführt werden soll. Beispiel: index="_internal"
Limit für die Anzahl der Ergebnisse Ganzzahl 100 Nein Geben Sie an, wie viele Ergebnisse zurückgegeben werden sollen. Hinweis: Mit diesem Parameter wird das Schlüsselwort „head“ an die angegebene Abfrage angehängt. Der Standardwert ist 100.
Ergebnisse von String vor 24 Std. Nein Geben Sie den Beginn der Abfrage an. Standard: -24h
Ergebnisse für String jetzt Nein Geben Sie die Endzeit für die Abfrage an. Standardeinstellung: now.
Ergebnisfelder CSV – Nein

Geben Sie eine durch Kommas getrennte Liste der Felder an, die zurückgegeben werden sollen.
Hinweis: Mit diesem Parameter wird das Schlüsselwort „fields“ an die angegebene Abfrage angehängt.
IP-Entitätsschlüssel String – Nein Geben Sie an, welcher Schlüssel für IP-Entitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Entitätsschlüssel für Hostnamen String – Nein Geben Sie an, welcher Schlüssel für Hostnamen-Entitäten verwendet werden soll, wenn Sie die vorbereiten . Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Entitätsschlüssel für Datei-Hash String – Nein Geben Sie an, welcher Schlüssel für Datei-Hash-Entitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Schlüssel für Nutzerentität String – Nein Geben Sie an, welcher Schlüssel für Nutzerentitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
URL-Entitätsschlüssel String – Nein Geben Sie an, welcher Schlüssel für URL-Entitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Entitätsschlüssel für E‑Mail-Adresse String – Nein Geben Sie an, welcher Schlüssel für Entitäten vom Typ „E-Mail-Adresse“ verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Beenden, wenn nicht genügend Entitäten vorhanden sind Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird die Aktion erst ausgeführt, wenn alle Entitätstypen für die angegebenen „.. Entitätsschlüssel“ verfügbar sind. Beispiel: Wenn „IP Entity Key“ und „File Hash Entity Key“ angegeben sind, aber im Bereich keine Dateihashes vorhanden sind, wird die Abfrage nicht ausgeführt, wenn dieser Parameter aktiviert ist.
Entitätsübergreifender Operator DDL

ODER

Mögliche Werte:

ODER

UND

 Ja Geben Sie an, welcher logische Operator zwischen verschiedenen Entitätstypen verwendet werden soll.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

  • IP-Adresse
  • Host
  • Nutzer
  • Hash
  • URL

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_succeed Wahr/falsch is_succeed:False
JSON-Ergebnis
[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

Wenn erfolgreich und Ergebnisse verfügbar sind: „Successfully returned results for the query „{0}“ in Splunk“.format(query)

Wenn erfolgreich und keine Ergebnisse verfügbar sind: „No results were found for the query "{0}" in Splunk“.format(query)

Asynchrone Nachricht: „Waiting for query {0} to finish execution.“ .format(query name)

Wenn „Anhalten, wenn nicht genügend Entitäten vorhanden sind“ aktiviert ist und nicht genügend Entitätstypen für die angegebenen „Entitätsschlüssel“ verfügbar sind (is_success=false): Die Aktion konnte die Abfrage nicht erstellen, da nicht genügend Entitätstypen für die angegebenen „.. Entitätsschlüssel“ bereitgestellt wurden. Deaktivieren Sie den Parameter „Stop If Not Enough Entities“ (Anhalten, wenn nicht genügend Entitäten vorhanden sind) oder geben Sie für jeden angegebenen „.. Entity Key“ (Entitätsschlüssel) mindestens eine Entität an.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Entitätsabfrage ausführen‘. Reason: {0}''.format(error.Stacktrace)

Bei 400: „Fehler beim Ausführen der Aktion ‚Entitätsabfrage ausführen‘. Grund: {0}''.format(messages/text)

 Allgemein
Tabelle mit Fall-Repository

Name: Splunk-Abfrageergebnisse

Spalten: Basierend auf den Ergebnissen.

 Allgemein

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Splunk Query Connector

Der Connector sendet Abfragen, die Teil der dynamischen Liste (whitelist) sind, ruft Ergebnisse ab und erstellt einen Fall basierend auf den abgerufenen Ergebnissen.

Beispiel-Splunk-Abfragen zum Aufrufen der Logs

  1. Abfragen sollten als Regeln für die dynamische Liste (whitelist) eingegeben werden.

  2. Bei Suchanfragen mit mehreren Filtern sollte ein Leerzeichen als Trennzeichen zwischen den Suchfiltern verwendet werden, z. B. index=cim_modactions sourcetype=modular_alerts:risk.

  3. Wenn Sie mehrere Regeln für dynamische Listen (whitelist) verwenden, anstatt mehrere durch Leerzeichen getrennte Suchfilter in dieselbe Regel einzugeben, wird für jede hinzugefügte Regel eine separate Suche ausgeführt.

    • index=cim_modactions
    • sourcetype=modular_alerts:send_data_to_siemplify
    • index=_internal sourcetype=splunkd
    • component=sendmodalert
    • action=send_data_to_siemplify
    • index=_internal source=/opt/splunk/var/log/splunk/send_data_to_siemplify_modalert.log

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Parameter
Product Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Product Field-Namen abzurufen.

Der Standardwert ist device_product.
Event Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Event Field-Namen abzurufen.

Der Standardwert ist app.
API Root Erforderlich

API-Stamm der Splunk-Instanz.

Der Standardwert ist https://IP:8089.
Username Erforderlich

Nutzername des Splunk-Kontos.
Password Erforderlich

Passwort des Splunk-Kontos.
API Token Optional

Splunk-API-Token.

Wenn dieses Feld einen Wert hat, hat das API-Token Vorrang vor anderen Authentifizierungsmethoden.
Verify SSL Erforderlich

Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum CrowdStrike-Server gültig ist.

Standardmäßig deaktiviert.
Environment Field Name Optional

Name des Feldes, in dem der Umgebungsname gespeichert ist.
Rule Generator Field Erforderlich

Der Name des Felds, das zum Zuordnen des Regelgeneratorwerts verwendet wird.
Alert Name Field Name Erforderlich

Name der Benachrichtigung.
Events Count Limit Per Query Optional

Maximale Anzahl von Ereignissen, die pro Abfrage abgerufen werden sollen.
Max Day Backwards Optional

Anzahl der Tage, für die Ereignisse abgerufen werden sollen.
Aggregate Events Query Optional

Wenn diese Option aktiviert ist, werden alle Ereignisse in einer Benachrichtigung zusammengefasst.

Standardmäßig deaktiviert.
PythonProcessTimeout (Seconds) Erforderlich

Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.

Der Standardwert beträgt 60 Sekunden.
Proxy Server Address Optional

Adresse des zu verwendenden Proxyservers.
Proxy Username Optional

Proxy-Nutzername für die Authentifizierung.
Proxy Password Optional

Proxy-Passwort für die Authentifizierung.
Environment Regex Pattern Optional

Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll.

Der Standardwert .* fängt alle ab und gibt den Wert unverändert zurück.

Mit dem Parameter können Sie das Umgebungsfeld mithilfe der Logik für reguläre Ausdrücke bearbeiten.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.

Connector-Regeln

Der Connector unterstützt Proxys.

Splunk Pull Connector

Benachrichtigungen und Ereignisse aus Splunk in Google SecOps abrufen.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Parameter
Product Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Product Field-Namen abzurufen.

Der Standardwert ist device_product.
Event Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Event Field-Namen abzurufen.

Der Standardwert ist name.
Environment Field Name Optional

Name des Feldes, in dem der Umgebungsname gespeichert ist.

Wenn das Umgebungsfeld nicht gefunden wird, ist die Ergebnisumgebung "" .

Der Standardwert ist "".
Environment Regex Pattern Optional

Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll.

Der Standardwert .* fängt alle ab und gibt den Wert unverändert zurück.

Mit dem Parameter können Sie das Umgebungsfeld mithilfe der Logik für reguläre Ausdrücke bearbeiten.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis "".
PythonProcessTimeout (Seconds) Erforderlich

Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.

Der Standardwert beträgt 60 Sekunden.
Server Address Erforderlich

IP-Adresse des Splunk API-Servers.
Port Erforderlich

Port der Splunk-Instanz.

Der Standardwert ist 8089.
Username Erforderlich

Nutzername des Splunk-Kontos.
Password Erforderlich

Passwort des Splunk-Kontos.
Time Frame Optional

Zeitraum für das Abrufen der Benachrichtigungen.

Der Standardwert ist 1 Stunde.

Beispiele:

Wenn der Wert auf 1 Minute festgelegt ist, ruft der Connector Benachrichtigungen ab, die vor 1 Minute erstellt wurden.

Wenn der Wert auf 3 Stunden festgelegt ist, ruft der Connector Benachrichtigungen ab, die vor 3 Stunden erstellt wurden.

Wenn der Wert auf 1 Tag oder 1 Woche festgelegt ist, ruft der Connector Benachrichtigungen ab, die vor 1 Tag (24 Stunden) bzw. 1 Woche erstellt wurden.
Alerts Count Limit Optional

Anzahl der Benachrichtigungen, die der Connector pro Iteration zurückgibt.

Der Standardwert ist 100.
Use SSL Optional

Klicken Sie hier, um die SSL- oder TLS-Verbindung zu aktivieren.

Standardmäßig deaktiviert.
Proxy Server Address Optional

Adresse des zu verwendenden Proxyservers.
Proxy Username Optional

Proxy-Nutzername für die Authentifizierung.
Proxy Password Optional

Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Der Connector unterstützt Proxys.

Splunk ES – Notable Events Connector

Wichtige Ereignisse aus Splunk ES aufnehmen.

Fallpriorität definieren

Die Fallpriorität wird durch den Parameter Urgency im relevanten Ereignis definiert. Nur dieser Parameter wird berücksichtigt, wenn das wichtige Ereignis in Google SecOps aufgenommen wird.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Parameter
Product Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Product Field-Namen abzurufen.

Der Standardwert ist Product Name.
Event Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Event Field-Namen abzurufen.

Der Standardwert ist index.
Environment Field Name Optional

Name des Feldes, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, wird die Standardumgebung verwendet.

Der Standardwert ist "".
Environment Regex Pattern Optional

Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll.

Der Standardwert .* fängt alle ab und gibt den Wert unverändert zurück.

Mit dem Parameter können Sie das Umgebungsfeld mithilfe der Logik für reguläre Ausdrücke bearbeiten.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout (Seconds) Erforderlich

Zeitlimit für den Python-Prozess, der das aktuelle Script ausführt.

Der Standardwert beträgt 180 Sekunden.
Server Address Erforderlich

Serveradresse der Splunk-Instanz.

Der Standardwert ist https://:8089.
Username Optional

Nutzername des Splunk-Kontos.
Password Optional

Passwort des Splunk-Kontos.
API Token Erforderlich

Splunk API-Token.

Wenn dieses Feld einen Wert hat, hat das API-Token Vorrang vor anderen Authentifizierungsmethoden.
Lowest Urgency To Fetch Erforderlich

Niedrigste Dringlichkeit, die zum Abrufen wichtiger Ereignisse verwendet wird.

Folgende Werte sind möglich:

  • Informational
  • Low
  • Medium
  • High
  • Critical

Der Standardwert ist Medium.

Fetch Max Hours Backwards Optional

Anzahl der Stunden, ab denen wichtige Ereignisse abgerufen werden sollen.

Der Standardwert ist 1 Stunde.
Only Drilldown Events Optional

Wenn diese Option aktiviert ist, versucht der Connector, Aufschlüsselungsereignisse abzurufen, ohne Basisereignisse abzurufen. Für diesen Parameter muss die Option Fetch Base Events aktiviert sein.

Standardmäßig deaktiviert.
Padding Time Optional

Anzahl der Stunden, die als Padding verwendet werden.

Wenn kein Wert angegeben ist, ist dieser Parameter nicht anwendbar.

Der Höchstwert beträgt 12 Stunden.
Max Notable Events To Fetch Optional

Anzahl der bemerkenswerten Ereignisse, die pro Connector-Iteration verarbeitet werden sollen.

Der Standardwert ist 10.
Use whitelist as a blacklist Erforderlich

Wenn diese Option aktiviert ist, wird die dynamische Liste als Sperrliste verwendet.

Standardmäßig deaktiviert.
Verify SSL Erforderlich

Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum CrowdStrike-Server gültig ist.

Standardmäßig deaktiviert.
Proxy Server Address Optional

Adresse des zu verwendenden Proxyservers.
Proxy Username Optional

Proxy-Nutzername für die Authentifizierung.
Proxy Password Optional

Proxy-Passwort für die Authentifizierung.
Query Filter Optional

Zusätzlicher Abfragefilter, der an Splunk gesendet wird, um relevante Ereignisse abzurufen.

Der hier angegebene Wert wird an die WHERE-Abfrageklausel angehängt.
Extract Base Events Optional

Wenn diese Option aktiviert ist, extrahiert der Connector mithilfe von Informationen zum Job Basisereignisse, die sich auf das relevante Ereignis beziehen. Andernfalls erstellt der Connector ein Google SecOps-Ereignis basierend auf dem relevanten Ereignis.

Wenn dieser Parameter auf True festgelegt ist, der Connector aber nicht mit Jobs arbeiten kann, verwendet er Informationen zu wichtigen Ereignissen als Fallback-Mechanismus.

Standardmäßig aktiviert.
Multivalue Fields Optional

Eine durch Kommas getrennte Liste von Feldern, die mehrere Entitäten enthalten.

Wenn ein Feld beispielsweise zwei Hostnamen enthält, wird das relevante Ereignis in zwei Google SecOps-Ereignisse aufgeteilt, um Entitäten korrekt zuzuordnen.

Notable Event Data Along Base Event Optional

Wenn diese Option aktiviert ist, fügt der Connector zusätzlich zu den Basisereignissen Google SecOps-Ereignisse basierend auf dem relevanten Ereignis hinzu.

Standardmäßig deaktiviert.

Rule Generator Field Name Optional

Der Name des Felds, das zum Zuordnen des Regelgeneratorwerts verwendet wird.

Für die Zuordnung werden nur Informationen zum wichtigen Ereignis selbst verwendet, Ereignisse werden ignoriert. Wenn ein ungültiger Wert angegeben wird, setzt der Connector das Feld auf den Wert rule_name.
Alert Name Source Optional

Quelle für den Namen der Benachrichtigung.

Folgende Werte sind möglich:

  • Search Name
  • Rule Name

Der Standardwert ist Search Name.
Alert Start Time Field Optional

Ein Feld aus dem Splunk Notable Event, das als start_time der Benachrichtigung verwendet werden soll.

Wenn das Feld leer oder ungültig ist oder nicht als Zeitstempel geparst werden kann, greift der Connector auf das Standardverhalten mit dem Feld _time zurück.

Parameter Query Filter verwenden

Wenn Sie wichtige Ereignisse anhand bestimmter Parameter eingrenzen möchten, verwenden Sie den Parameter Query Filter. Der in diesem Parameter angegebene Wert wird an die WHERE-Klausel der Abfrage angehängt, die zum Abrufen wichtiger Ereignisse gesendet wird.

Hier ein Beispiel für die gesendete Abfrage: 

(`get_notable_index` OR `get_sequenced_index`) | eval `get_event_id_meval`,
rule_id=event_id | tags outputfield=tag | `mvappend_field(tag,orig_tag)` |
`notable_xref_lookup` | `get_correlations` | `get_current_status` | `get_owner`
| `get_urgency` | typer | where (urgency="medium" AND urgency="low") AND
(status_label="Unassigned" OR status_label="New")  | tail 50 | fields *

Wenn Query Filter = isTesting = True, sieht die Abfrage so aus:

search (`get_notable_index` OR `get_sequenced_index`) | eval epoch=_time | eval
`get_event_id_meval`,rule_id=event_id | tags outputfield=tag |
`mvappend_field(tag,orig_tag)` | `notable_xref_lookup` | `get_correlations` |
`get_current_status` | `get_owner` | `get_urgency` | typer | where
(urgency!="informational" AND urgency!="low" **AND isTesting = "True"**) |
fields *

Connector-Regeln

Der Splunk ES-Connector verwendet eine dynamische Zulassungs- und Sperrliste (whitelist und blacklist). Der Connector verwendet das Feld search_name aus dem Ereignis, um es mit der dynamischen Liste zu vergleichen.

Connector-Ereignis

[{
    "indicator": "2012/06/29_21:50", 
    "tlp": "TLP:RED", 
    "itype": "mal_url", 
    "severity": "very-high", 
    "classification": "public", 
    "detail": "", 
    "confidence": 50, 
    "actor": "", 
    "feed_name": "import", 
    "source": "admin", 
    "feed_site_netloc": "localhost", 
    "campaign": "", 
    "type": "url", 
    "id": "anomali:indicator-578a9be5-0e03-4ec0-940d-4b1842f40fd0", 
    "date_last": "2020-07-15 08:12:07 AM",
"Url": "indicator"
  },{
    "indicator": "2010/12/19_16:35", 
    "tlp": "TLP:RED", 
    "itype": "mal_url", 
    "severity": "very-high", 
    "classification": "public", 
    "detail": "", 
    "confidence": 50, 
    "actor": "", 
    "feed_name": "import", 
    "source": "admin", 
    "feed_site_netloc": "localhost", 
    "campaign": "", 
    "type": "url", 
    "id": "anomali:indicator-52cadd07-330a-45fd-962f-32e22d36a89a", 
    "date_last": "2020-07-15 08:12:07 AM"
  }]

Jobs

Weitere Informationen zu Jobs finden Sie unter Neuen Job konfigurieren und Erweiterte Planung.

Geschlossene Splunk ES-Ereignisse synchronisieren

Synchronisiert geschlossene Splunk ES-Ereignisse und Google SecOps-Benachrichtigungen.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Serveradresse String https://IP:8089 Ja Serveradresse der Splunk-Instanz.
Nutzername String – Nein Nutzername des Splunk-Kontos.
Passwort Passwort – Nein Passwort des Splunk-Kontos.
API-Token Passwort – Ja Splunk-API-Token. Das API-Token hat Vorrang vor anderen Authentifizierungsmethoden, wenn dieses Feld nicht leer ist.
Maximale Anzahl von Stunden rückwärts Ganzzahl 24 Ja Geben Sie an, wie viele Stunden rückwirkend Status synchronisiert werden sollen. Der Standardwert ist 24 Stunden.
SSL überprüfen Kästchen Aktiviert Ja Wenn aktiviert, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Splunk-Server gültig ist.

Splunk ES-Kommentare synchronisieren

Mit diesem Job werden Kommentare in Splunk ES-Ereignissen und Google SecOps-Fällen synchronisiert.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Serveradresse String https://IP:8089 Ja Serveradresse der Splunk-Instanz.
Nutzername String – Nein Nutzername des Splunk-Kontos.
Passwort Passwort – Nein Passwort des Splunk-Kontos.
API-Token Passwort – Ja Splunk-API-Token. Das API-Token hat Vorrang vor anderen Authentifizierungsmethoden, wenn dieses Feld nicht leer ist.
SSL überprüfen Kästchen Aktiviert Ja Wenn aktiviert, prüfen Sie, ob das SSL-Zertifikat für die Verbindung zum Splunk-Server gültig ist.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten