Splunk

Integrationsversion: 50.0

Die Splunk-App bereitet Fälle mit allen relevanten Warnungen und Ereignissen aus Splunk vor. Es gibt zwei Möglichkeiten, diese Fälle in Google Security Operations aufzunehmen: Pull- und Push-Methoden.

Die erste Methode wird als pull-basiert bezeichnet. Wenn Sie diese Methode verwenden, müssen Sie den Splunk Pull Connector konfigurieren, um Fälle in Google SecOps aufzunehmen. Dieser Connector ruft Fälle aus der Splunk-App ab. Für diese Methode ist keine zusätzliche Konfiguration in der Splunk-App erforderlich.

Die zweite Methode wird als push-basiert bezeichnet. Bei dieser Methode führt die Splunk-App API-Aufrufe an Google SecOps aus, um einen neuen Fall hinzuzufügen. Damit Sie diese Methode verwenden können, müssen Sie einen Google SecOps-API-Schlüssel generieren und der Konfiguration der App einen Google SecOps-URI hinzufügen.

Erstellen Sie einen API-Schlüssel:

  1. Gehen Sie zu Einstellungen > „Erweitert“ > „API“.

  2. Klicken Sie rechts oben auf das Pluszeichen, um einen neuen API-Schlüssel hinzuzufügen.

  3. Geben Sie den Namen des API-Schlüssels ein und klicken Sie auf Erstellen.

  4. Kopieren Sie den API-Schlüssel.

Splunk für die Verwendung mit Google SecOps konfigurieren

Voraussetzungen für das Aktivieren oder Deaktivieren der Token-Authentifizierung

Bevor Sie die Token-Authentifizierung aktivieren können, müssen Sie die folgenden Voraussetzungen erfüllen:

  • Die Splunk-Plattforminstanz, in der Sie die Tokenauthentifizierung aktivieren möchten, darf nicht im Legacy-Modus betrieben werden, in dem Splunk Web als separater Prozess ausgeführt wird. Wenn sich die Splunk-Plattform im Legacy-Modus befindet, wird die Token-Authentifizierung nicht ausgeführt. Weitere Informationen zum Legacy-Modus finden Sie im Splunk Enterprise-Administratorhandbuch im Dokument Start and Stop Splunk Enterprise.

  • Das Konto, mit dem Sie sich in der Splunk-Plattform anmelden, muss eine Rolle mit der Splunk-Plattformfunktion „edit_tokens_settings“ haben, bevor Sie die Token-Authentifizierung aktivieren oder deaktivieren können.

Tokenauthentifizierung über Splunk Web aktivieren

Wenn die Tokenauthentifizierung deaktiviert ist, wird in Splunk Web auf der Seite Tokens die folgende Meldung angezeigt:

Token authentication is currently disabled > To enable token authentication, click Enable Token Authentication.

Führen Sie die folgenden Schritte auf der Instanz aus, auf der Sie die Tokenauthentifizierung aktivieren möchten:

  1. Melden Sie sich als Administrator oder als Nutzer mit Berechtigung zum Verwalten von Tokeneinstellungen bei der Splunk-Plattforminstanz an. Sie können sich nicht mit einem Token in Splunk Web anmelden. Sie müssen einen gültigen Nutzernamen und ein gültiges Passwort angeben.

  2. Wählen Sie nach der erfolgreichen Anmeldung in der Systemleiste Einstellungen> „Tokens“ aus.

  3. Klicken Sie auf Enable Token Authentication (Token-Authentifizierung aktivieren). Die Splunk-Plattforminstanz ermöglicht die Token-Authentifizierung sofort. Ein Neustart der Instanz ist nicht erforderlich.

Authentifizierungstokens mit Splunk Web erstellen

  1. Klicken Sie in der Systemleiste auf Einstellungen > Tokens.

  2. Klicken Sie auf Neues Token.

  3. Geben Sie im Dialogfeld New Token (Neues Token) im Feld User (Nutzer) den Splunk-Plattformnutzer ein, für den Sie das Token erstellen möchten.

  4. Geben Sie im Feld Zielgruppe eine kurze Beschreibung des Tokenzwecks ein.

  5. Optional: Wählen Sie in der Liste Ablauf die Option Absolute Zeit oder Relative Zeit aus. Diese Auswahl bestimmt, was Sie in das Textfeld unter der Liste eingeben müssen.

    • Wenn Sie Absolute Zeit ausgewählt haben, werden unter der Liste zwei Textfelder angezeigt.

      1. Geben Sie in das erste Feld ein gültiges Datum ein. Sie können auch auf das Feld klicken, um ein Datum aus einem Pop-up-Kalender auszuwählen.

      2. Geben Sie im zweiten Feld eine gültige 24‑Stunden-Zeit ein.

    • Andernfalls wird unter der Drop-down-Liste ein Textfeld angezeigt.

      1. Geben Sie einen String ein, der angibt, wie lange das Token nach der aktuellen Zeit gültig bleiben soll. Wenn das Token beispielsweise in 10 Tagen ablaufen soll, geben Sie +10d in dieses Feld ein.

  6. Optional: Wählen Sie in der Liste Nicht vor die Option Absolute Zeit oder Relative Zeit aus.

    Wiederholen Sie den Schritt, den Sie für das Ablaufsteuerelement verwendet haben. Die „Not before“-Zeit darf weder in der Vergangenheit liegen noch später als die „Expiration“-Zeit sein.

  7. Klicken Sie auf Erstellen. Im Fenster Neues Token wird das Feld Token aktualisiert und zeigt das generierte Token an.

  8. Wählen Sie den gesamten Token-Text im Feld aus. Je nach Betriebssystem und Browser können Sie auf das Feld Token klicken und dann entweder dreimal klicken oder die Tastenkombination Strg+A bzw. Befehlstaste+A drücken. Prüfen Sie, ob Sie den gesamten Token-Text ausgewählt haben. Nach dem Schließen des Fensters gibt es keine weiteren Möglichkeiten, das vollständige Token zu sehen.

  9. Kopieren Sie den Text aus dem Feld Token.

  10. Fügen Sie das Token in eine Textdatei, E‑Mail oder andere Form der Kommunikation ein, die Sie an die Person senden, die Sie zur Verwendung des Tokens autorisiert haben. Bestätigen Sie, dass Sie das Token nur mit Personen teilen, die Sie zur Verwendung autorisiert haben. Jeder, der das vollständige Token hat, kann es zur Authentifizierung verwenden.

  11. Klicken Sie auf Schließen.

  12. Verwenden Sie ein Token, um die Google SecOps Splunk-Integration zu konfigurieren.

Installation

Einzelner Suchkopf

  1. Laden Sie das TA-Siemplify-Paket auf Ihren lokalen Computer herunter: https://splunkbase.splunk.com/app/5010/.

  2. Installieren Sie die App auf dem Suchkopf.

    Wählen Sie App: Search & Reporting aus. Das Dialogfeld App hochladen wird angezeigt.

  3. Klicken Sie auf Datei auswählen und wählen Sie die App-Datei aus.

  4. Klicken Sie auf Hochladen. Warten Sie, bis die Datei hochgeladen wurde.

  5. Starten Sie Splunk neu.

TA-Siemplify konfigurieren

  1. Rufen Sie in Splunk Enterprise die Seite Apps auf.

  2. Wählen Sie Siemplify aus.

  3. Fügen Sie auf dem Tab Add-on-Einstellungen Folgendes hinzu:

    Für die Push-Methode:

    • Legen Sie den Siemplify API-URI auf den URI Ihres Google SecOps-Servers fest.
    • Stellen Sie Modus auf Push-Modus ein.
    • Geben Sie im Feld API-Schlüssel den Tokenwert ein, der im Abschnitt „API-Schlüssel“ generiert wurde.

    Für die Pull-Methode:

    • Setzen Sie den Modus auf Pull-Modus.

  4. Klicken Sie auf Speichern.

Benachrichtigungskonfiguration

Damit Benachrichtigungs- und Ereignisdaten an Google SecOps gesendet werden, muss einem vorhandenen Splunk-Hinweis eine Triggeraktion hinzugefügt werden.

Die Felder „Umgebung“, „Geräteanbieter“, „Geräteprodukt“ und „Ereignistyp“ unterstützen Ereignisvorlagen. Durch die Ereignisvorlagen können die spezifischen Felder in Google SecOps dynamisch auf Grundlage von Werten in der Benachrichtigung festgelegt werden. Wenn Sie Ereignisvorlagen verwenden möchten, setzen Sie einen Feldnamen in eckige Klammern: „[ ]“. Das erste Ereignis in der Benachrichtigung wird verwendet, um diese Felder auszufüllen.

Beispiel: Wenn Sie eine Benachrichtigung mit dem Feld „device_vendor“ und dem Wert Microsoft haben, können Sie [device_vendor] in den Konfigurationsparameter „Device Vendor“ (Geräteanbieter) einfügen. Wenn die Benachrichtigung an Google SecOps gesendet wird, wird der Anbieter auf Microsoft festgelegt.

  1. Rufen Sie in Splunk Alerts auf.

  2. Wählen Sie in der Liste Bearbeiten die Option Benachrichtigung bearbeiten aus.

  3. Gehen Sie im Abschnitt Trigger Actions (Trigger-Aktionen) zu Add Actions (Aktionen hinzufügen) > Send Alert to Siemplify (Benachrichtigung an Siemplify senden).

  4. Konfigurieren Sie die Benachrichtigung so:

    • Name:Der hier festgelegte Wert wirkt sich auf den Namen der Benachrichtigung aus.
    • Priorität:Der hier festgelegte Wert wirkt sich auf die Priorität des Google SecOps-Falls aus.
    • Kategorie:Wird verwendet, um die visuelle Familie zu definieren.
    • Umgebung:Entspricht der Umgebung in Google SecOps. Lassen Sie das Feld leer, wenn keine Umgebung verwendet werden soll. Die Vorlagenfunktion mit eckigen Klammern wird unterstützt.
    • Geräteanbieter:Wird verwendet, um den Anbieter des Systems zu definieren, das das Ereignis an Google SecOps sendet. Wenn die Benachrichtigungen von Microsoft Sysmon generiert wurden, verwenden Sie Microsoft oder einen Wert aus der Benachrichtigung/dem Ereignis mithilfe von Vorlagen.
    • Geräteprodukt:Wird verwendet, um das Produkt des Systems zu definieren, das das Ereignis an Google SecOps sendet. Wenn die Benachrichtigungen von Microsoft Sysmon generiert wurden, sollte dieser Wert „Sysmon“ oder ein Wert aus der Benachrichtigung/dem Ereignis sein, der mithilfe von Vorlagen erstellt wurde.
    • Ereignistyp:Wird verwendet, um den Ereignistyp im Abschnitt „Google SecOps-Ereigniskonfiguration“ zu definieren. Wenn im Rahmen der Benachrichtigung nach schädlichen Prozessen gesucht wurde, sollte der Ereignistyp etwa „Prozess gefunden“ lauten oder aus einem Wert innerhalb der Benachrichtigung/des Ereignisses mithilfe von Vorlagen stammen.
    • Zeitfeld:Wird verwendet, um die StartTime und EndTime des Google SecOps-Falls zu definieren. Wenn dies nicht angegeben ist, wird das Feld „_indextime“ geprüft. Wenn „_indextime“ nicht gefunden werden kann, wird die Zeit verwendet, zu der die Benachrichtigung generiert wurde. Vorlagen werden nicht unterstützt.
    • Mehrwertige Felder erweitern:Wenn Sie diesen Wert auf 1 setzen, sucht das System nach mehrwertigen Feldern und erstellt zusätzliche Felder, die jedem Wert im mehrwertigen Feld zugeordnet werden. Wenn beispielsweise das Feld „src_hosts“ mit mehreren Werten die Werte „Server1“, „Server2“ und „Server3“ enthält, Das System erstellt neue Felder: src_hosts_0: Server1, src_hosts_1: Server2, src_hosts_2: Server3. Diese Option wird nur unterstützt, wenn „Alle Ereignisdaten abrufen“ deaktiviert ist.
    • Alle Ereignisdaten abrufen:Bei dieser Einstellung wird versucht, die Rohereignisse abzurufen, aus denen eine Benachrichtigung mit einem Transformationsbefehl (chart, timechart, stats, top, rare, contingency, highlight) besteht. Dazu ist eine Änderung am Splunk-Suchheader erforderlich.

  5. So aktivieren Sie Rohereignisse aus Transformationssuchen: Kopieren Sie $SPLUNK_HOME/etc/apps/TA-siemplify/default/savedsearches.conf nach $SPLUNK_HOME/etc/apps/TA-siemplify/local/savedsearches.conf. Bearbeiten Sie $SPLUNK_HOME/etc/apps/TA-siemplify/local/savedsearches.conf und entfernen Sie die Kommentarzeichen aus #dispatch.buckets =1.

  6. Speichern Sie die Datei und starten Sie Splunk neu, damit die Einstellungen wirksam werden.

Fehlerbehebung

So ändern Sie die Protokollebene in DEBUG:

  1. Wählen Sie in Splunk Web Ihre Anwendung aus.

  2. Gehen Sie zu Einstellungen > Servereinstellungen > Serverprotokollierung.

  3. Wählen Sie für den Parameter Logebene die Option DEBUG aus.

  4. Klicken Sie auf Speichern.

Das Abfragen von Logdaten aus Google SecOps TA hängt von Ihrer Splunk-Implementierung ab. Wenn Sie Splunk CIM installiert haben, befinden sich die Logs im Index cim_modactions. Andernfalls befinden sich die Logs im Index _internal.

Netzwerk

Netzwerkzugriff auf Splunk API-Zugriff von Google SecOps auf Splunk: Traffic über Port 8089 zulassen.

Google SecOps-Add-on in einer Clusterumgebung bereitstellen

Führen Sie die folgenden Schritte aus, um einen Deployment-Server und Suchköpfe zu erstellen:

  1. Melden Sie sich über SSH auf dem Bereitstellungsserver an.

  2. Prüfen Sie, ob die Datei /opt/splunk/etc/system/local/serverclass.conf vorhanden ist. Falls nicht, führen Sie Folgendes aus:

    vi /opt/splunk/etc/system/local/serverclass.conf

    Hier ein Beispiel für die Konfiguration:

    [global] # whitelist matches all clients.
[serverClass:AllApps] [serverClass:AllApps:app:*] [serverClass:
Google Security OperationsAPP]

  3. Laden Sie die App-Datei in das Verzeichnis /opt/splunk/etc/deployment-apps hoch und extrahieren Sie sie.

  4. Splunk-Nutzer erstellen, falls er nicht vorhanden ist:

    useradd splunk

  5. Die Splunk-Gruppe „create“ ist nicht vorhanden:

    groupadd splunk

  6. Fügen Sie Splunk-Nutzerberechtigungen für die App hinzu:

    chown splunk:splunk {app path}

  7. Melden Sie sich mit SSH bei Suchköpfen an.

  8. Fügen Sie Suchköpfe als Clients zum Bereitstellungsserver hinzu:

    /opt/splunk/bin/splunk set deploy-poll IP_ADDRESS:8089 #(deployment server ip address)

  9. Starten Sie alle Suchköpfe neu.

  10. Melden Sie sich in der Benutzeroberfläche des Bereitstellungsservers an.

  11. Rufen Sie die Einstellungen > „Verteilte Umgebung“ > „Forwarder Manager“ auf.

  12. Rufen Sie den Tab Serverklassen auf und klicken Sie auf Neue Serverklasse.

  13. Geben Sie einen Namen für die Serverklasse an.

  14. Fügen Sie das Google SecOps-Add-on als App und die Suchheader als Clients hinzu.

  15. Starten Sie alle Search Heads neu.

  16. Achten Sie darauf, dass die App auf allen Suchköpfen richtig konfiguriert ist. Splunk synchronisiert die Apps nicht konsistent im Cluster.

Bekannte Probleme

Wenn Sie den Fehler int() argument must be a string, a bytes-like object or a number, not 'NoneType'. Please double check spelling and also verify that a compatible version of Splunk_SA_CIM is installed in den Logs erhalten, prüfen Sie, ob die Parameter „API-Stamm“ und „API-Schlüssel“ in der Konfiguration einen Wert haben, auch wenn Sie im Pull-Modus arbeiten.

Splunk-Integration in Google SecOps konfigurieren

Mit der Splunk-Integration können Sie die Verbindung mithilfe einer CA-Zertifikatsdatei überprüfen. Dies ist eine zusätzliche Methode zur Bestätigung der Verbindung.

Für diese Methode benötigen Sie Folgendes:*

  • CA-Zertifikatsdatei
  • Splunk-Integration Version 26.0 oder höher

Integration in Google SecOps konfigurieren:

  1. Parsen Sie Ihre CA-Zertifikatsdatei in einen Base64-String.

  2. Öffnen Sie die Seite mit der Integrationskonfiguration.

  3. Geben Sie im Feld CA Certificate File (CA-Zertifikatsdatei) den CA-Zertifikatsstring ein.

  4. Wenn Sie die Verbindung testen möchten, klicken Sie das Kästchen SSL prüfen an und klicken Sie auf Testen.

Eine detaillierte Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Instanzname String – Nein Name der Instanz, für die Sie die Integration konfigurieren möchten.
Beschreibung String – Nein Beschreibung der Instanz.
Serveradresse String {SCHEMA}://{IP}:{PORT} Ja Adresse des Splunk-Servers.
Nutzername String – Nein Die E-Mail-Adresse des Nutzers, die für die Verbindung zu Splunk verwendet werden soll.
Passwort Passwort – Nein Das Passwort des entsprechenden Nutzers.
API-Token Passwort – Nein Splunk-API-Token. Das API-Token hat Vorrang vor anderen Authentifizierungsmethoden, wenn dieses Feld nicht leer ist.
SSL überprüfen Kästchen Deaktiviert Nein Aktivieren Sie dieses Kästchen, wenn für Ihre Splunk-Verbindung eine SSL-Überprüfung erforderlich ist (standardmäßig deaktiviert).
CA-Zertifikatsdatei String – Nein Base64-codierte CA-Zertifikatsdatei.
Remote ausführen Kästchen Deaktiviert Nein Aktivieren Sie das Feld, um die konfigurierte Integration remote auszuführen. Nachdem Sie das Kästchen angekreuzt haben, wird die Option zum Auswählen des Remote-Nutzers (Kundenservicemitarbeiters) angezeigt.

Aktionen

Hostereignisse abrufen

Beschreibung

Ereignisse im Zusammenhang mit Hosts in Splunk abrufen

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Beschränkung der Ereignisse pro Host Ganzzahl 100 Ja Geben Sie an, wie viele Ereignisse pro Host zurückgegeben werden sollen.
Ergebnisse aus String –24 Stunden Ja Geben Sie die Startzeit für die Ereignisse an.
Ergebnisse für String jetzt Ja Geben Sie die Endzeit für die Ereignisse an.
Ergebnisfelder CSV – Nein Geben Sie eine durch Kommas getrennte Liste der Felder an, die zurückgegeben werden müssen.
Index String – Nein Geben Sie an, welcher Index verwendet werden soll, wenn nach Ereignissen im Zusammenhang mit dem Host gesucht wird. Wenn nichts angegeben ist, wird kein Index verwendet.
Hostschlüssel String Host Nein Geben Sie an, welcher Schlüssel verwendet werden soll, um Informationen zu Hostereignissen abzurufen. Standard: host.

Ausführen am

Diese Aktion wird für die Hostname-Entität ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
Erfolgreich Wahr/falsch success:False
JSON-Ergebnis
[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabemeldung*

Die Aktion darf nicht fehlschlagen und darf die Ausführung eines Playbooks nicht stoppen.

Bei Erfolg und wenn Ergebnisse verfügbar sind: „Successfully returned events for the following hosts in Splunk: \n {0}“.format(entity.identifier)

Wenn der Befehl erfolgreich ausgeführt wurde und für einige keine Ergebnisse verfügbar sind: „No events were found for the following hosts in Splunk:\n {0}“.format(entity.identifier)

Wenn der Vorgang erfolgreich war und die Ergebnisse nicht für alle verfügbar sind: „No events were found for the provided hosts in Splunk“ (Für die angegebenen Hosts wurden in Splunk keine Ereignisse gefunden)

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Bei schwerwiegenden Fehlern wie falschen Anmeldedaten, fehlender Verbindung zum Server usw.: „Fehler beim Ausführen der Aktion ‚Get Host Events‘. Grund: {0}''.format(error.Stacktrace)

Bei 400: „Fehler beim Ausführen der Aktion ‚Hostereignisse abrufen‘. Grund: {0}''.format(messages/text)

 Allgemein
Tabelle „Fall-Repository“

Name: {Entity.identifier}-Ereignisse

Spalten:Basierend auf den Ergebnissen.

Ping

Beschreibung

Testen Sie die Verbindung zu Splunk mit den Parametern, die auf der Seite für die Integrationskonfiguration auf dem Tab „Google Security Operations Marketplace“ angegeben sind.

Parameter

–

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt und hat keine obligatorischen Eingabeparameter.

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabemeldung*

Die Aktion darf nicht fehlschlagen und die Ausführung eines Playbooks nicht stoppen.
Bei Erfolg: „Successfully connected to the Splunk server with the provided connection parameters!“ (Erfolgreiche Verbindung zum Splunk-Server mit den angegebenen Verbindungsparametern)

Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden:
if not successful: „Failed to connect to the Splunk server! Fehler: {0}".format(exception.stacktrace)

 Allgemein

Splunk Csv Viewer

Beschreibung

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Ergebnisse String – Ja Rohdaten.

Ausführen am

Diese Aktion wird für alle Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_succeed Wahr/falsch is_succeed:False

SplunkQuery

Beschreibung

Führen Sie eine Abfrage in Splunk aus.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Suchmodus DDL

Intelligent

Mögliche Werte:

  • Ausführlich
  • Intelligent
  • Schnell

 Nein Gibt den Modus für die Ausführung der Suche an.
Abfrage String Ja Geben Sie die Abfrage an, die ausgeführt werden muss. Beispiel: index="_internal"
Limit für die Anzahl der Ergebnisse Ganzzahl 100 Nein

Geben Sie an, wie viele Ergebnisse zurückgegeben werden sollen.
Hinweis: Mit diesem Parameter wird der bereitgestellten Abfrage das Schlüsselwort „head“ angehängt. Der Standardwert ist 100.
Ergebnisse von String –24 Stunden Nein Geben Sie die Startzeit für die Abfrage an. Standard: -24 h
Ergebnisse für String jetzt Nein Geben Sie die Endzeit für die Abfrage an. Standard: jetzt.
Ergebnisfelder CSV Nein

Geben Sie eine durch Kommas getrennte Liste der Felder an, die zurückgegeben werden müssen.
Hinweis: Mit diesem Parameter wird der bereitgestellten Abfrage das Schlüsselwort „fields“ angehängt.

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_succeed Wahr/falsch is_succeed:False
JSON-Ergebnis
[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabemeldung*

Die Aktion darf nicht fehlschlagen und darf die Ausführung eines Playbooks nicht stoppen.

Bei Erfolg und wenn Ergebnisse verfügbar sind: „Successfully returned results for the query "{0}" in Splunk“.format(query)

Bei Erfolg und wenn keine Ergebnisse verfügbar sind: „No results were found for the query "{0}" in Splunk“.format(query)

Asynchrone Nachricht: „Warte darauf, dass die Ausführung der Abfrage {0} abgeschlossen wird.“format(query name)

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚SplunkQuery‘. Grund: {0}''.format(error.Stacktrace)

Bei 400: „Fehler beim Ausführen der Aktion ‚SplunkQuery‘. Grund: {0}''.format(messages/text)

 Allgemein
Tabelle „Fall-Repository“

Name:Splunk Query Results

Spalten: Basierend auf den Ergebnissen.

 Allgemein

Ereignis einreichen

Beschreibung

Ereignis an Splunk senden.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Index String main Ja Geben Sie den Index an, in dem das Ereignis erstellt werden soll.
Ereignis String – Ja Geben Sie das Rohereignis an, das gesendet werden muss.
Host String – Nein Geben Sie den Host an, der mit dem Ereignis verknüpft ist.
Quelle String – Nein Geben Sie die Quelle des Ereignisses an. Beispiel: www.
Sourcetype String – Nein Geben Sie den Quelltyp des Ereignisses an. Beispiel: web_event

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
Erfolgreich Wahr/falsch success:False
JSON-Ergebnis
{
    "index": "default",
    "bytes": 70,
    "host": "dogo",
    "source": "www",
    "sourcetype": "web_event"
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabemeldung*

Die Aktion darf nicht fehlschlagen und darf die Ausführung eines Playbooks nicht stoppen.

Bei Erfolg: „Successfully added a new event to index "{0}" in Splunk.“ (Dem Index „{0}“ in Splunk wurde ein neues Ereignis hinzugefügt.)

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Bei schwerwiegenden Fehlern wie falschen Anmeldedaten, fehlender Verbindung zum Server usw.: „Fehler beim Ausführen der Aktion ‚Ereignis senden‘. Grund: {0}''.format(error.Stacktrace)

Bei 400: „Fehler beim Ausführen der Aktion ‚Ereignis senden‘. Grund: {0}''.format(messages/text)

 Allgemein

Wichtige Ereignisse aktualisieren

Beschreibung

Aktualisieren Sie wichtige Ereignisse in Splunk ES.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Wichtige Ereignis-IDs CSV – Ja Geben Sie die IDs wichtiger Ereignisse an. Beispiel: 1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7@@notable@@cb87390ae72763679d3f6f8f097ebe2b,1D234D5B-1531-2D2B-BB94-41C439BE12B7@@notable@@cb87390ae72763679d3f6f8f097ebe2b
Status DDL

Wählen Sie eine Option aus.

Mögliche Werte:

Wählen Sie eine Option aus.

Nicht zugewiesen

Neu

In Bearbeitung

Ausstehend

Behoben

Geschlossen

 Ja Geben Sie den neuen Status für wichtige Ereignisse an.
Dringlichkeit DDL

Wählen Sie eine Option aus.

Mögliche Werte:

Wählen Sie eine Option aus.

Kritisch

Hoch

Mittel

Niedrig

Informationell

 Ja Geben Sie die neue Dringlichkeit für das wichtige Ereignis an.
Neuer Eigentümer String – Ja Geben Sie den neuen Inhaber des wichtigen Ereignisses an.
Kommentar String – Ja Geben Sie den Kommentar für das wichtige Ereignis an.

Ausführen am

Diese Aktion wird nicht für Elemente ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_success Wahr/falsch is_success:False
Fall-Repository
Ergebnistyp Wert / Beschreibung Typ
Ausgabemeldung*

Die Aktion darf nicht fehlschlagen und darf die Ausführung eines Playbooks nicht stoppen.

Bei Erfolg und wenn Daten verfügbar sind (is_success=true)

print "Successfully updated {0} notable events in Splunk.".format(count(notable_events))

Wenn die Aktualisierung fehlschlägt (status_code=400, is_success=false):

print "Action wasn't able to update notable events. Reason:{0}".format(string_from_response)

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Bei schwerwiegenden Fehlern wie falschen Anmeldedaten, fehlender Verbindung zum Server oder anderen:

print "Error executing action "Update Notable Events". Grund: {0}''.format(error.Stacktrace)

 Allgemein

Entitätsabfrage ausführen

Beschreibung

Führen Sie eine Entitätsabfrage in Splunk aus.

Wie arbeite ich mit Aktionsparametern?

Mit dieser Aktion können Sie ganz einfach Informationen zu Entitäten abrufen. So lässt sich beispielsweise der Anwendungsfall lösen, in dem Sie die Anzahl der Ereignisse der von den bereitgestellten Hashes betroffenen Endpunkte ohne komplizierte Abfrageerstellung sehen möchten. Um dieses Problem in Splunk zu beheben, müssen Sie die folgende Abfrage vorbereiten: index="main" | where (device_ip="10.0.0.1" or device_ip="10.12.12.12") and (hash="bad_hash_1" or hash="bad_hash_2") Um dieselbe Abfrage mit der Aktion „Execute Entity Query“ (Entitätsabfrage ausführen) zu erstellen, müssen Sie die Aktionsparameter so ausfüllen:

Abfrage index="main"
IP-Entitätsschlüssel device_ip
Entitätsschlüssel für Datei-Hash Hash
Cross-Entity-Operator UND

Alle anderen Felder können leer gelassen werden.

Wenn Sie sehen möchten, wie viele Endpunkte von den angegebenen Hashes betroffen waren, sieht die Konfiguration von „Execute Entity Query“ so aus:

Abfrage index="main"
Entitätsschlüssel für Datei-Hash Hash

„Cross Entity Operator“ hat in dieser Situation keine Auswirkungen, da er sich nur auf die Abfrage auswirkt, wenn mehrere „Entity Keys“ angegeben werden.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Suchmodus DDL

Intelligent

Mögliche Werte:

  • Ausführlich
  • Intelligent
  • Schnell

 Nein Gibt den Modus für die Ausführung der Suche an.
Abfrage String Ja Geben Sie die Abfrage an, die ohne die WHERE-Klausel ausgeführt werden muss. Beispiel: index="_internal"
Limit für die Anzahl der Ergebnisse Ganzzahl 100 Nein Geben Sie an, wie viele Ergebnisse zurückgegeben werden sollen. Hinweis: Mit diesem Parameter wird der bereitgestellten Anfrage das Schlüsselwort „head“ angehängt. Der Standardwert ist 100.
Ergebnisse von String –24 Stunden Nein Geben Sie die Startzeit für die Abfrage an. Standard: -24 h
Ergebnisse für String jetzt Nein Geben Sie die Endzeit für die Abfrage an. Standard: jetzt.
Ergebnisfelder CSV – Nein

Geben Sie eine durch Kommas getrennte Liste der Felder an, die zurückgegeben werden müssen.
Hinweis: Mit diesem Parameter wird der bereitgestellten Abfrage das Schlüsselwort „fields“ angehängt.
IP-Entitätsschlüssel String – Nein Geben Sie an, welcher Schlüssel für IP-Entitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Entitätsschlüssel für Hostname String – Nein Geben Sie an, welcher Schlüssel für Hostname-Entitäten verwendet werden soll, wenn Sie die Datei vorbereiten . Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Entitätsschlüssel für Datei-Hash String – Nein Geben Sie an, welcher Schlüssel für File Hash-Entitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Schlüssel der Nutzerentität String – Nein Geben Sie an, welcher Schlüssel für Nutzerentitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
URL-Entitätsschlüssel String – Nein Geben Sie an, welcher Schlüssel für URL-Entitäten verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Entitätsschlüssel für E-Mail-Adresse String – Nein Geben Sie an, welcher Schlüssel für E-Mail-Adressen verwendet werden soll. Weitere Informationen finden Sie in der Dokumentation zur Aktion.
Stoppen, wenn nicht genügend Einheiten vorhanden sind Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird die Ausführung der Aktion erst gestartet, wenn alle Entitätstypen für die angegebenen „.. Entity Keys“ verfügbar sind. Beispiel: Wenn „IP Entity Key“ und „File Hash Entity Key“ angegeben sind, im Bereich aber keine Dateihashes vorhanden sind, wird die Abfrage nicht ausgeführt, wenn dieser Parameter aktiviert ist.
Cross-Entity-Operator DDL

ODER

Mögliche Werte:

ODER

UND

 Ja Geben Sie an, welcher logische Operator zwischen verschiedenen Entitätstypen verwendet werden soll.

Ausführen am

Diese Aktion wird für die folgenden Einheiten ausgeführt:

  • IP-Adresse
  • Host
  • Nutzer
  • Hash
  • URL

Aktionsergebnisse

Scriptergebnis
Name des Scriptergebnisses Wertoptionen Beispiel
is_succeed Wahr/falsch is_succeed:False
JSON-Ergebnis
[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabemeldung*

Die Aktion darf nicht fehlschlagen und darf die Ausführung eines Playbooks nicht stoppen.

Bei Erfolg und wenn Ergebnisse verfügbar sind: „Successfully returned results for the query "{0}" in Splunk“.format(query)

Bei Erfolg und wenn keine Ergebnisse verfügbar sind: „No results were found for the query "{0}" in Splunk“.format(query)

Asynchrone Nachricht: „Warte darauf, dass die Ausführung der Abfrage {0} abgeschlossen wird.“format(query name)

Wenn „Stop If Not Enough Entities“ aktiviert ist und nicht genügend Entitätstypen für die angegebenen „Entity Keys“ verfügbar sind (is_success=false): Die Abfrage konnte nicht erstellt werden, da nicht genügend Entitätstypen für die angegebenen „Entity Keys“ bereitgestellt wurden. Deaktivieren Sie den Parameter „Stop If Not Enough Entities“ (Anhalten, wenn nicht genügend Entitäten vorhanden sind) oder geben Sie mindestens eine Entität für jeden angegebenen „.. Entity Key“ (.. Entitätsschlüssel) an.

Die Aktion sollte fehlschlagen und die Playbook-Ausführung beenden:

Bei schwerwiegendem Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Entitätsabfrage ausführen‘. Grund: {0}''.format(error.Stacktrace)

Bei 400: „Fehler beim Ausführen der Aktion ‚Entitätsabfrage ausführen‘. Grund: {0}''.format(messages/text)

 Allgemein
Tabelle „Fall-Repository“

Name:Splunk Query Results

Spalten:Basierend auf den Ergebnissen.

 Allgemein

Connectors

Eine ausführliche Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Verwenden Sie die connectorspezifischen Parameter in den folgenden Tabellen, um den ausgewählten Connector zu konfigurieren:

Splunk Query Connector

Der Connector sendet Abfragen, die Teil der dynamischen Liste (whitelist) sind, ruft Ergebnisse ab und erstellt einen Fall basierend auf den abgerufenen Ergebnissen.

Splunk-Beispielabfragen zum Aufrufen der Logs

  1. Abfragen sollten als Regeln für die dynamische Liste (whitelist) eingegeben werden.

  2. Bei Suchanfragen mit mehreren Filtern sollte ein Leerzeichen als Trennzeichen zwischen den Suchfiltern verwendet werden, z. B. index=cim_modactions sourcetype=modular_alerts:risk.

  3. Wenn Sie mehrere Regeln für dynamische Listen (whitelist) verwenden, anstatt mehrere durch Leerzeichen getrennte Suchfilter in dieselbe Regel einzugeben, wird für jede hinzugefügte Regel eine separate Suche ausgeführt.

    • index=cim_modactions
    • sourcetype=modular_alerts:send_data_to_siemplify
    • index=_internal sourcetype=splunkd
    • component=sendmodalert
    • action=send_data_to_siemplify
    • index=_internal source=/opt/splunk/var/log/splunk/send_data_to_siemplify_modalert.log

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Parameter
Product Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Product Field-Namen abzurufen.

Der Standardwert ist device_product.
Event Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Namen Event Field abzurufen.

Der Standardwert ist app.
API Root Erforderlich

API-Stammverzeichnis der Splunk-Instanz.

Der Standardwert ist https://IP:8089.
Username Erforderlich

Nutzername des Splunk-Kontos.
Password Erforderlich

Das Passwort des Splunk-Kontos.
API Token Optional

Splunk-API-Token.

Wenn dieses Feld einen Wert enthält, hat das API-Token Vorrang vor anderen Authentifizierungsmethoden.
Verify SSL Erforderlich

Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum CrowdStrike-Server gültig ist.

Diese Option ist standardmäßig nicht angeklickt.
Environment Field Name Optional

Name des Felds, in dem der Name der Umgebung gespeichert ist.
Rule Generator Field Erforderlich

Der Name des Felds, das zum Zuordnen des Werts des Regelgenerators verwendet wird.
Alert Name Field Name Erforderlich

Name der Benachrichtigung.
Events Count Limit Per Query Optional

Maximale Anzahl der Ereignisse, die pro Abfrage abgerufen werden sollen.
Max Day Backwards Optional

Anzahl der Tage, ab denen Ereignisse abgerufen werden sollen.
Aggregate Events Query Optional

Wenn diese Option aktiviert ist, werden alle Ereignisse des Connectors in einer Benachrichtigung zusammengefasst.

Standardmäßig deaktiviert.
PythonProcessTimeout (Seconds) Erforderlich

Zeitlimit für den Python-Prozess, in dem das aktuelle Skript ausgeführt wird.

Der Standardwert beträgt 60 Sekunden.
Proxy Server Address Optional

Adresse des zu verwendenden Proxyservers.
Proxy Username Optional

Proxy-Nutzername für die Authentifizierung.
Proxy Password Optional

Proxy-Passwort für die Authentifizierung.
Environment Regex Pattern Optional

Ein reguläres Ausdrucksmuster, das auf den Wert im Feld Environment Field Name angewendet wird.

Der Standardwert .* fängt alle ab und gibt den Wert unverändert zurück.

Mit dem Parameter können Sie das Feld „environment“ (Umgebung) mithilfe der Logik für reguläre Ausdrücke bearbeiten.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.

Connector-Regeln

Der Connector unterstützt Proxys.

Splunk Pull Connector

Benachrichtigungen und Ereignisse aus Splunk in Google SecOps abrufen

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Parameter
Product Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Product Field-Namen abzurufen.

Der Standardwert ist device_product.
Event Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Namen Event Field abzurufen.

Der Standardwert ist name.
Environment Field Name Optional

Name des Felds, in dem der Name der Umgebung gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, ist die Ergebnisumgebung "" .

Der Standardwert ist "".
Environment Regex Pattern Optional

Ein reguläres Ausdrucksmuster, das auf den Wert im Feld Environment Field Name angewendet wird.

Der Standardwert .* fängt alle ab und gibt den Wert unverändert zurück.

Mit dem Parameter können Sie das Feld „environment“ (Umgebung) mithilfe der Logik für reguläre Ausdrücke bearbeiten.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis "".
PythonProcessTimeout (Seconds) Erforderlich

Zeitlimit für den Python-Prozess, in dem das aktuelle Skript ausgeführt wird.

Der Standardwert beträgt 60 Sekunden.
Server Address Erforderlich

IP-Adresse des Splunk-API-Servers.
Port Erforderlich

Port der Splunk-Instanz.

Der Standardwert ist 8089.
Username Erforderlich

Nutzername des Splunk-Kontos.
Password Erforderlich

Das Passwort des Splunk-Kontos.
Time Frame Optional

Zeitraum für das Abrufen der Benachrichtigungen.

Der Standardwert ist 1 Stunde.

Beispiele:

Wenn der Wert auf 1 Minute festgelegt ist, ruft der Connector Benachrichtigungen ab, die vor 1 Minute ausgelöst wurden.

Wenn der Wert auf 3 Stunden festgelegt ist, ruft der Connector Benachrichtigungen ab, die vor 3 Stunden begonnen haben.

Wenn der Wert auf „1 Tag“ oder „1 Woche“ festgelegt ist, ruft der Connector Benachrichtigungen ab, die vor einem Tag (24 Stunden) bzw. einer Woche ausgelöst wurden.
Alerts Count Limit Optional

Anzahl der Benachrichtigungen, die vom Connector pro Iteration zurückgegeben werden.

Der Standardwert ist 100.
Use SSL Optional

Klicken Sie hier, um die SSL- oder TLS-Verbindung zu aktivieren.

Diese Option ist standardmäßig nicht angeklickt.
Proxy Server Address Optional

Adresse des zu verwendenden Proxyservers.
Proxy Username Optional

Proxy-Nutzername für die Authentifizierung.
Proxy Password Optional

Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Der Connector unterstützt Proxys.

Splunk ES – Notable Events Connector

Wichtige Ereignisse aus Splunk ES aufnehmen.

Fallpriorität festlegen

Die Fallpriorität wird durch den Parameter Urgency im wichtigen Ereignis definiert. Nur dieser Parameter wird beim Import des wichtigen Ereignisses in Google SecOps berücksichtigt.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Parameter
Product Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Product Field-Namen abzurufen.

Der Standardwert ist Product Name.
Event Field Name Erforderlich

Geben Sie den Namen des Quellfelds ein, um den Namen Event Field abzurufen.

Der Standardwert ist index.
Environment Field Name Optional

Name des Felds, in dem der Name der Umgebung gespeichert ist.

Wenn das Feld „environment“ nicht gefunden wird, wird die Standardumgebung verwendet.

Der Standardwert ist "".
Environment Regex Pattern Optional

Ein reguläres Ausdrucksmuster, das auf den Wert im Feld Environment Field Name angewendet wird.

Der Standardwert .* fängt alle ab und gibt den Wert unverändert zurück.

Mit dem Parameter können Sie das Feld „environment“ (Umgebung) mithilfe der Logik für reguläre Ausdrücke bearbeiten.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Script Timeout (Seconds) Erforderlich

Zeitlimit für den Python-Prozess, in dem das aktuelle Skript ausgeführt wird.

Der Standardwert beträgt 180 Sekunden.
Server Address Erforderlich

Serveradresse der Splunk-Instanz.

Der Standardwert ist https://:8089.
Username Optional

Nutzername des Splunk-Kontos.
Password Optional

Das Passwort des Splunk-Kontos.
API Token Erforderlich

Splunk-API-Token.

Wenn dieses Feld einen Wert enthält, hat das API-Token Vorrang vor anderen Authentifizierungsmethoden.
Lowest Urgency To Fetch Erforderlich

Niedrigste Dringlichkeit, die zum Abrufen wichtiger Ereignisse verwendet wird.

Folgende Werte sind möglich:

  • Informational
  • Low
  • Medium
  • High
  • Critical

Der Standardwert ist Medium.

Fetch Max Hours Backwards Optional

Anzahl der Stunden, ab denen wichtige Ereignisse abgerufen werden sollen.

Der Standardwert ist 1 Stunde.
Only Drilldown Events Optional

Wenn diese Option aktiviert ist, versucht der Connector, Drilldown-Ereignisse abzurufen, ohne Basisereignisse abzurufen. Für diesen Parameter muss die Option Fetch Base Events aktiviert sein.

Standardmäßig deaktiviert.
Padding Time Optional

Anzahl der Stunden, die als Puffer verwendet werden.

Wenn kein Wert angegeben ist, ist dieser Parameter nicht anwendbar.

Der Höchstwert beträgt 12 Stunden.
Max Notable Events To Fetch Optional

Anzahl der wichtigen Ereignisse, die pro Connector-Iteration verarbeitet werden sollen.

Der Standardwert ist 10.
Use whitelist as a blacklist Erforderlich

Wenn diese Option aktiviert ist, wird die dynamische Liste als Blockierliste verwendet.

Standardmäßig deaktiviert.
Verify SSL Erforderlich

Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum CrowdStrike-Server gültig ist.

Diese Option ist standardmäßig nicht angeklickt.
Proxy Server Address Optional

Adresse des zu verwendenden Proxyservers.
Proxy Username Optional

Proxy-Nutzername für die Authentifizierung.
Proxy Password Optional

Proxy-Passwort für die Authentifizierung.
Query Filter Optional

Zusätzlicher Abfragefilter, der an Splunk gesendet wird, um wichtige Ereignisse abzurufen.

Der hier angegebene Wert wird an die WHERE-Abfrageklausel angehängt.
Extract Base Events Optional

Wenn diese Option aktiviert ist, werden mit dem Connector mithilfe von Informationen zum Job Basisereignisse im Zusammenhang mit dem wichtigen Ereignis extrahiert. Andernfalls erstellt der Connector ein Google SecOps-Ereignis basierend auf dem wichtigen Ereignis.

Wenn dieser Parameter auf True festgelegt ist, der Connector aber nicht mit Jobs arbeiten kann, verwendet er Informationen zu wichtigen Ereignissen als Fallback-Mechanismus.

Standardmäßig aktiviert.
Multivalue Fields Optional

Eine durch Kommas getrennte Liste von Feldern, die mehrere Einheiten enthalten.

Wenn ein Feld beispielsweise zwei Hostnamen enthält, wird das wichtige Ereignis in zwei Google SecOps-Ereignisse aufgeteilt, um Entitäten korrekt zuzuordnen.

Notable Event Data Along Base Event Optional

Wenn diese Option aktiviert ist, fügt der Connector zusätzlich zu den Basisereignissen Google SecOps-Ereignisse basierend auf dem wichtigen Ereignis hinzu.

Standardmäßig deaktiviert.

Rule Generator Field Name Optional

Der Name des Felds, das zum Zuordnen des Werts des Regelgenerators verwendet wird.

Für die Zuordnung werden nur Informationen zum wichtigen Ereignis selbst verwendet. Andere Ereignisse werden ignoriert. Wenn ein ungültiger Wert angegeben wird, setzt der Connector das Feld auf den Wert rule_name.
Alert Name Source Optional

Quelle für den Namen der Benachrichtigung.

Folgende Werte sind möglich:

  • Search Name
  • Rule Name

Der Standardwert ist Search Name.

Query Filter-Parameter verwenden

Wenn Sie wichtige Ereignisse anhand bestimmter Parameter eingrenzen müssen, verwenden Sie den Parameter Query Filter. Der in diesem Parameter angegebene Wert wird an die WHERE-Klausel der Anfrage angehängt, die zum Abrufen wichtiger Ereignisse gesendet wird.

Die gesendete Beispielabfrage sieht so aus: 

(`get_notable_index` OR `get_sequenced_index`) | eval `get_event_id_meval`,
rule_id=event_id | tags outputfield=tag | `mvappend_field(tag,orig_tag)` |
`notable_xref_lookup` | `get_correlations` | `get_current_status` | `get_owner`
| `get_urgency` | typer | where (urgency="medium" AND urgency="low") AND
(status_label="Unassigned" OR status_label="New")  | tail 50 | fields *

Wenn Query Filter = isTesting = True, sieht die Abfrage beispielsweise so aus:

search (`get_notable_index` OR `get_sequenced_index`) | eval epoch=_time | eval
`get_event_id_meval`,rule_id=event_id | tags outputfield=tag |
`mvappend_field(tag,orig_tag)` | `notable_xref_lookup` | `get_correlations` |
`get_current_status` | `get_owner` | `get_urgency` | typer | where
(urgency!="informational" AND urgency!="low" **AND isTesting = "True"**) |
fields *

Connector-Regeln

Der Splunk ES-Connector verwendet eine dynamische Liste und eine Sperrliste (whitelist und blacklist). Der Connector verwendet das Feld search_name aus dem Ereignis, um es mit der dynamischen Liste zu vergleichen.

Connector-Ereignis

[{
    "indicator": "2012/06/29_21:50", 
    "tlp": "TLP:RED", 
    "itype": "mal_url", 
    "severity": "very-high", 
    "classification": "public", 
    "detail": "", 
    "confidence": 50, 
    "actor": "", 
    "feed_name": "import", 
    "source": "admin", 
    "feed_site_netloc": "localhost", 
    "campaign": "", 
    "type": "url", 
    "id": "anomali:indicator-578a9be5-0e03-4ec0-940d-4b1842f40fd0", 
    "date_last": "2020-07-15 08:12:07 AM",
"Url": "indicator"
  },{
    "indicator": "2010/12/19_16:35", 
    "tlp": "TLP:RED", 
    "itype": "mal_url", 
    "severity": "very-high", 
    "classification": "public", 
    "detail": "", 
    "confidence": 50, 
    "actor": "", 
    "feed_name": "import", 
    "source": "admin", 
    "feed_site_netloc": "localhost", 
    "campaign": "", 
    "type": "url", 
    "id": "anomali:indicator-52cadd07-330a-45fd-962f-32e22d36a89a", 
    "date_last": "2020-07-15 08:12:07 AM"
  }]

Jobs

Splunk ES-Schließungsereignisse synchronisieren

Beschreibung

Synchronisiert geschlossene wichtige Ereignisse in Splunk ES und Google SecOps-Benachrichtigungen.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Serveradresse String https://IP:8089 Ja Serveradresse der Splunk-Instanz.
Nutzername String – Nein Nutzername des Splunk-Kontos.
Passwort Passwort – Nein Das Passwort des Splunk-Kontos.
API-Token Passwort – Ja Splunk-API-Token. Das API-Token hat Vorrang vor anderen Authentifizierungsmethoden, wenn dieses Feld nicht leer ist.
Maximale Stunden zurück Ganzzahl 24 Ja Geben Sie an, wie viele Stunden in der Vergangenheit Status synchronisiert werden sollen. Standard: 24 Stunden
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird das SSL-Zertifikat für die Verbindung zum Splunk-Server geprüft.

Splunk ES-Kommentare synchronisieren

Beschreibung

Mit diesem Job werden Kommentare in Splunk ES-Ereignissen und Google SecOps-Vorgängen synchronisiert.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Serveradresse String https://IP:8089 Ja Serveradresse der Splunk-Instanz.
Nutzername String – Nein Nutzername des Splunk-Kontos.
Passwort Passwort – Nein Das Passwort des Splunk-Kontos.
API-Token Passwort – Ja Splunk-API-Token. Das API-Token hat Vorrang vor anderen Authentifizierungsmethoden, wenn dieses Feld nicht leer ist.
SSL überprüfen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, wird das SSL-Zertifikat für die Verbindung zum Splunk-Server geprüft.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten