שילוב של Splunk עם Google SecOps

במסמך הזה מוסבר איך לשלב את Splunk עם Google SecOps.

לפני שמתחילים

לפני שמשלבים את Splunk עם Google SecOps, צריך לקבוע את שיטת ההטמעה שמתאימה לארכיטקטורת הפריסה, ולוודא שהסביבה עומדת בכל הדרישות של יחסי התלות, נתיבי הרשת והרשאות הגישה.

ב-Google SecOps יש שתי שיטות להטמעת נתונים:

  • הטמעה מבוססת-דחיפה: מערכת Splunk בודקת את ההתראות באופן מקומי ודוחפת את האירועים ישירות ל-Google SecOps באמצעות התוסף TA-Siemplify ופעולות של טריגרים להתראות. לא צריך להגדיר מחבר ב-Google SecOps.

  • הטמעה מבוססת-משיכה: המחברים של Google SecOps שולחים שאילתות לנקודות קצה של API בארכיטקטורת REST של Splunk כדי לאחזר התראות, תוצאות חיפוש SPL או אירועים בולטים של Splunk ES.

הטמעה מבוססת-דחיפה (push)

כדי להטמיע נתונים באמצעות דחיפה, צריך קישוריות HTTPS ישירה יוצאת מ-Splunk אל Google SecOps, וגם הגדרות ספציפיות של תוספים ב-Splunk Search Heads.

לפני שמגדירים הטמעה מבוססת-דחיפה, צריך לוודא שהדרישות הבאות מתקיימות:

  1. מורידים את החבילה TA-Siemplify מ-Splunkbase ומתקינים אותה בכל רכיבי ה-Search Head של Splunk. בסביבות מבוזרות, פורסים את התוסף באשכול Search Head באמצעות Splunk Deployer או Deployment Server.

  2. מוודאים שגרסה תואמת של Splunk Common Information Model (Splunk_SA_CIM)‎ מותקנת ב-Search Head כדי לתמוך בהתראות מודולריות וברישום ביומן.

  3. מוודאים של-Splunk Search Heads יש גישה לרשת יוצאת דרך HTTPS (יציאת TCP‏ 443) לכתובת ה-URL של המכונה של Google SecOps.

  4. מוודאים שיש לכם חשבון ב-Google SecOps עם הרשאות אדמין ליצירת מפתחות API (הגדרות > מתקדם > API). מוודאים שלמפתח ה-API שנוצר מוקצה תפקיד עם הרשאות ליצירת התראות ובקשות תמיכה.

  5. אם אתם מתכננים להטמיע אירועים גולמיים מחיפושים שמשנים את הנתונים (כמו חיפושים באמצעות stats,‏ chart או timechart), ודאו ש-dispatch.buckets = 1 מוגדר ב-savedsearches.conf ב-Search Heads.

הטמעה מבוססת-משיכה (pull)

כדי להשתמש בהעברת נתונים מבוססת-משיכה, בפעולות של פלייבוק ובמשימות סנכרון, צריך להגדיר ב-Google SecOps (או בסוכן מרוחק) חיבורים אדמיניסטרטיביים נכנסים ל-Splunk.

לפני שמגדירים מחברים, פעולות או משימות של משיכה, צריך לוודא שהדרישות הבאות מתקיימות:

  1. קישוריות לרשת: מוודאים שיש קו ראייה ברשת מ-Google SecOps (או מהסוכן המרוחק) ליציאת ה-API בארכיטקטורת REST לניהול Splunk (ברירת המחדל: 8089/TCP).

  2. אישור CA בהתאמה אישית: אם במכונה של Splunk נעשה שימוש באישור CA פרטי או פנימי, ודאו שאתם מריצים את גרסה 26.0 ומעלה של השילוב של Splunk ב-Google SecOps.

  3. אימות: צריך להשיג פרטי כניסה תקינים של משתמש ב-Splunk (שם משתמש וסיסמה) או ליצור טוקן למוכ"ז ב-Splunk (כדי להפעיל את שיטת האימות הזו בפלטפורמת Splunk, נדרש אימות באמצעות טוקן).

  4. יכולות של תפקידים ב-Splunk: ודאו שלחשבון Splunk שמשמש לאימות יש תפקיד עם היכולות הבאות:

    • search
    • schedule_search
    • edit_tcp (חובה רק אם משתמשים בפעולה שליחת אירוע)
    • ‫edit_notable_events (נדרש רק אם משתמשים בפעולה Update Notable Events או במשימות סנכרון של Splunk ES)

  5. הרשאות למאגר הנתונים ולחיפוש: ודאו שלחשבון המאמת יש גישה למאגרי הנתונים הרלוונטיים ב-Splunk בשביל הרכיבים שבחרתם:

    • מחבר משיכה של Splunk: הרשאות קריאה לטבלת החיפוש siemplify_alerts (מאוכלסת כש-TA-Siemplify מותקן ומוגדר במצב משיכה).
    • מחבר ופעולות של שאילתות Splunk:
      • הרשאות חיפוש באינדקסים של אירועי היעד (לא נדרש TA-Siemplify).
      • הרשאות כתיבה וקלט באינדקס היעד, אם משתמשים בפעולה Submit Event.
    • Splunk ES – מחבר ופעולות של אירועים בולטים: התקנה פעילה של Splunk Enterprise Security (ES), הרשאות קריאה לאינדקס notable וגישה לפקודת המאקרו get_notable_index (לא נדרשת TA-Siemplify).

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
כתובת השרת String {SCHEMA}://{IP}:{PORT} כן הכתובת של שרת Splunk.
שם משתמש String לא רלוונטי לא כתובת האימייל של המשתמש שצריך להשתמש בה כדי להתחבר ל-Splunk.
סיסמה סיסמה לא רלוונטי לא הסיסמה של המשתמש הרלוונטי.
טוקן API סיסמה לא רלוונטי לא טוקן API של Splunk. כשהשדה הזה לא ריק, לטוקן ה-API יש עדיפות על פני שיטות אימות אחרות.
אימות SSL תיבת סימון התיבה לא מסומנת לא צריך לסמן את התיבה הזו אם החיבור ל-Splunk דורש אימות SSL (לא מסומנת כברירת מחדל).
קובץ אישור CA String לא רלוונטי לא קובץ אישור CA בקידוד Base64.

איך מגדירים שילובים ב-Google SecOps

אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של אינטגרציה, אפשר להשתמש בו בפלייבוקים. במאמר תמיכה במספר מופעים מוסבר איך להגדיר מספר מופעים ולתמוך בהם.

פעולות

מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.

קבלת אירועים של המארח

קבלת אירועים שקשורים למארחים ב-Splunk.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מגבלת אירועים לכל מארח מספר שלם 100 כן מציינים כמה אירועים להחזיר לכל מארח.
תוצאות מ: String לפני 24 שעות כן מציינים את שעת ההתחלה של האירועים.
תוצאות אל String עכשיו כן מציינים את שעת הסיום של האירועים.
שדות של תוצאות CSV לא רלוונטי לא צריך לציין רשימה מופרדת בפסיקים של שדות שצריך להחזיר.
אינדקס String לא רלוונטי לא מציינים באיזה אינדקס להשתמש כשמחפשים אירועים שקשורים למארח. אם לא צוין אינדקס, הפעולה לא תשתמש באינדקס.
מפתח מארח String מארח לא מציינים באיזה מפתח צריך להשתמש כדי לקבל מידע על אירועים במארח. ברירת המחדל: מארח.

ריצה

הפעולה הזו פועלת על הישות "שם מארח".

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
הפעולה בוצעה נכון/לא נכון success:False
תוצאת JSON
[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה ויש תוצאות: "Successfully returned events for the following hosts in Splunk: \n {0}".format(entity.identifier)

אם הפעולה הצליחה ואין תוצאות זמינות לחלק מהמארחים: "No events were found for the following hosts in Splunk:\n {0}".format(entity.identifier)

אם הפעולה הצליחה ואין תוצאות זמינות לכולם: "לא נמצאו אירועים למארחים שצוינו ב-Splunk"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בביצוע הפעולה 'קבלת אירועים מהמארח'. הסיבה: {0}''.format(error.Stacktrace)

אם השגיאה היא 400: "Error executing action "Get Host Events".‎ הסיבה: {0}''.format(messages/text)

 כללי
שולחן קיר עם ויטרינה

שם: אירועים של {Entity.identifier}

עמודות: בהתאם לתוצאות.

פינג

בודקים את הקישוריות ל-Splunk באמצעות הפרמטרים שצוינו בדף הגדרת השילוב ב-Google SecOps Content Hub.

פרמטרים

לא רלוונטי

ריצה

הפעולה הזו לא פועלת על ישויות, ואין לה פרמטרים של קלט חובה.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של פלייבוק:
אם הפעולה הצליחה: "החיבור לשרת Splunk הצליח עם פרמטרי החיבור שסופקו!"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:
אם הפעולה נכשלה: "החיבור לשרת Splunk נכשל! השגיאה היא {0}".format(exception.stacktrace)

 כללי

Splunk Csv Viewer

פרמטרים

פרמטר סוג ערך ברירת המחדל חובה תיאור
תוצאות מחרוזת לא רלוונטי כן תוצאות גולמיות.

ריצה

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_succeed נכון/לא נכון is_succeed:False

SplunkQuery

מריצים שאילתה ב-Splunk.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מצב חיפוש DDL

Smart

‫ערכים אפשריים:

  • רישום מפורט (verbose)
  • Smart
  • זריז
 לא מציינים את המצב לביצוע החיפוש.
שאילתה String כן מציינים את השאילתה שצריך להריץ. דוגמה: index="_internal"‎
מגבלת מספר התוצאות מספר שלם 100 לא

מציינים כמה תוצאות להחזיר.
הערה: הפרמטר הזה מוסיף את מילת המפתח "head" לשאילתה שצוינה. ברירת המחדל היא 100.
תוצאות מ: String לפני 24 שעות לא מציינים את שעת ההתחלה של השאילתה. ברירת המחדל: ‎-24h
תוצאות עד String עכשיו לא מציינים את שעת הסיום של השאילתה. ברירת המחדל: עכשיו.
שדות של תוצאות CSV לא

צריך לציין רשימה מופרדת בפסיקים של שדות שצריך להחזיר.
הערה: הפרמטר הזה מוסיף את מילת המפתח "fields" לשאילתה שצוינה.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_succeed נכון/לא נכון is_succeed:False
תוצאת JSON
[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]
קיר תיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה ויש תוצאות: "Successfully returned results for the query "{0}" in Splunk".format(query)

אם הפעולה הצליחה ואין תוצאות: "No results were found for the query "{0}" in Splunk".format(query)

הודעה אסינכרונית: "Waiting for query {0} to finish execution.".format(query name)

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בביצוע הפעולה "SplunkQuery". הסיבה: {0}''.format(error.Stacktrace)

אם 400: "Error executing action "SplunkQuery".‎ הסיבה: {0}''.format(messages/text)

 כללי
שולחן קיר עם ויטרינה

שם: תוצאות השאילתה ב-Splunk

עמודות – בהתאם לתוצאות.

 כללי

שליחת האירוע

שליחת האירוע ל-Splunk.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
אינדקס String ראשי כן מציינים את האינדקס שבו רוצים ליצור את האירוע.
אירוע String לא רלוונטי כן מציינים את האירוע הגולמי שצריך לשלוח.
מארח String לא רלוונטי לא צריך לציין את המארח שקשור לאירוע.
מקור String לא רלוונטי לא מציינים את מקור האירוע. לדוגמה: www.‎
Sourcetype String לא רלוונטי לא מציינים את סוג המקור של האירוע. דוגמה: web_event

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
הפעולה בוצעה נכון/לא נכון success:False
תוצאת JSON
{
    "index": "default",
    "bytes": 70,
    "host": "dogo",
    "source": "www",
    "sourcetype": "web_event"
}
קיר תיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה בוצעה: "Successfully added a new event to index "{0}" in Splunk.".format(index)

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בביצוע הפעולה 'שליחת אירוע'. הסיבה: {0}''.format(error.Stacktrace)

אם השגיאה היא 400: "Error executing action "Submit Event".‎ הסיבה: {0}''.format(messages/text)

 כללי

עדכון אירועים בולטים

עדכון אירועים בולטים ב-Splunk ES.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהי אירועים בולטים CSV לא רלוונטי כן צריך לציין את המזהים של האירועים החשובים. דוגמה: 1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7@@notable@@cb87390ae72763679d3f6f8f097ebe2b,1D234D5B-1531-2D2B-BB94-41C439BE12B7@@notable@@cb87390ae72763679d3f6f8f097ebe2b
סטטוס DDL

יש לבחור טווח

ערכים אפשריים:

יש לבחור טווח

לא הוקצה

חדש

בתהליך

בהמתנה

הסתיים

סגור

 כן מציינים את הסטטוס החדש של האירועים החשובים.
דחיפות DDL

יש לבחור טווח

ערכים אפשריים:

יש לבחור טווח

קריטית

גבוהה

בינוני

נמוכה

לצורך מידע

 כן מציינים את רמת הדחיפות החדשה של האירוע החשוב.
הבעלים החדש String לא רלוונטי כן צריך לציין את הבעלים החדשים של האירוע החשוב.
תגובה String לא רלוונטי כן מציינים את ההערה לאירוע החשוב.

ריצה

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
קיר תיקים
סוג התוצאות ערך / תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם התגובה הצליחה ויש נתונים (is_success=true)

print "Successfully updated {0} notable events in Splunk.".format(count(notable_events))‎

אם העדכון נכשל (status_code=400, is_success=false):

print "Action wasn't able to update notable events. Reason:{0}".format(string_from_response)

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או בעיה אחרת:

print "Error executing action "Update Notable Events". הסיבה: {0}''.format(error.Stacktrace)

 כללי

הרצת שאילתת ישות

מריצים שאילתת ישות ב-Splunk.

איך עובדים עם פרמטרים של פעולות?

הפעולה הזו מאפשרת לאחזר במהירות מידע שקשור לישויות. לדוגמה, אפשר לפתור את תרחיש השימוש שבו רוצים לראות את כמות האירועים של נקודות הקצה (endpoint) שמושפעות מהגיבובים שסופקו, בלי לבנות שאילתה מסובכת. כדי לפתור את הבעיה הזו ב-Splunk, צריך להכין את השאילתה הבאה: index="main" | where (device_ip="10.0.0.1" or device_ip="10.12.12.12") and (hash="bad_hash_1" or hash="bad_hash_2") כדי ליצור את אותה שאילתה באמצעות הפעולה Execute Entity Query, צריך למלא את הפרמטרים של הפעולה באופן הבא:

שאילתה index="main"
מפתח ישות של כתובת IP device_ip
מפתח ישות של גיבוב (hash) של קובץ hash
אופרטור חוצה ישויות וגם

אפשר להשאיר את כל שאר השדות ריקים.

אם תרצו לראות כמה נקודות קצה הושפעו מהגיבובים שסופקו, ההגדרה של Execute Entity Query תיראה כך:

שאילתה index="main"
מפתח ישות של גיבוב (hash) של קובץ hash

במצב הזה, ל-Cross Entity Operator לא תהיה השפעה, כי הוא משפיע על השאילתה רק כשמספקים כמה Entity Keys.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
מצב חיפוש DDL

Smart

    ערכים אפשריים:
  • רישום מפורט (verbose)
  • Smart
  • זריז
 לא מציינים את המצב לביצוע החיפוש.
שאילתה String כן ציינו את השאילתה שצריך להריץ בלי הסעיף "Where". דוגמה: index="_internal"‎
מגבלת מספר התוצאות מספר שלם 100 לא מציינים כמה תוצאות להחזיר. הערה: הפרמטר הזה מוסיף את מילת המפתח "head" לשאילתה שצוינה. ברירת המחדל היא 100.
תוצאות מ: String לפני 24 שעות לא מציינים את שעת ההתחלה של השאילתה. ברירת המחדל: ‎-24h
תוצאות עד String עכשיו לא מציינים את שעת הסיום של השאילתה. ברירת המחדל: עכשיו.
שדות של תוצאות CSV לא רלוונטי לא

צריך לציין רשימה מופרדת בפסיקים של שדות שצריך להחזיר.
הערה: הפרמטר הזה מוסיף את מילת המפתח "fields" לשאילתה שצוינה.
מפתח ישות של כתובת IP String לא רלוונטי לא צריך לציין באיזה מפתח להשתמש עם ישויות IP. פרטים נוספים זמינים במסמכי התיעוד של הפעולה.
מפתח הישות של שם המארח String לא רלוונטי לא צריך לציין באיזה מפתח להשתמש עם ישויות של שם מארח, כשמכינים את ה- . פרטים נוספים זמינים במסמכי התיעוד של הפעולה.
מפתח ישות של גיבוב (hash) של קובץ String לא רלוונטי לא צריך לציין באיזה מפתח להשתמש עם ישויות של גיבוב קבצים. פרטים נוספים זמינים במסמכי התיעוד של הפעולה.
מפתח ישות המשתמש String לא רלוונטי לא צריך לציין באיזה מפתח להשתמש עם ישויות של משתמשים. פרטים נוספים זמינים במסמכי התיעוד של הפעולה.
מפתח ישות של כתובת URL String לא רלוונטי לא צריך לציין באיזה מפתח להשתמש עם ישויות של כתובות URL. פרטים נוספים זמינים במסמכי התיעוד של הפעולה.
מפתח ישות של כתובת אימייל String לא רלוונטי לא צריך לציין באיזה מפתח להשתמש עם ישויות של כתובות אימייל. פרטים נוספים זמינים במסמכי התיעוד של הפעולה.
עצירה אם אין מספיק ישויות תיבת סימון סימן אישור כן אם המדיניות מופעלת, הפעולה לא תתחיל לפעול, אלא אם כל סוגי הישויות זמינים עבור ".. מפתחות ישות" שצוינו. דוגמה: אם צוינו "מפתח ישות של כתובת IP" ו "מפתח ישות של גיבוב קובץ", אבל בהיקף אין גיבובי קבצים, והפרמטר הזה מופעל, הפעולה לא תריץ את השאילתה.
אופרטור חוצה ישויות DDL

או

ערכים אפשריים:

או

וגם

 כן צריך לציין מה צריך להיות האופרטור הלוגי שבו משתמשים בין סוגי ישויות שונים.

ריצה

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • מארח
  • משתמש
  • גיבוב (hash)
  • כתובת URL

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות ערך דוגמה
is_succeed נכון/לא נכון is_succeed:False
תוצאת JSON
[{
    "app": "SA-AccessProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087674",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:58.404 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-AccessProtection;Access - Default Account Usage - Rule\", search_type=\"\", user=\"admin\", app=\"SA-AccessProtection\", savedsearch_name=\"Access - Default Account Usage - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=0, dispatch_time=1612179969, run_time=51348.242, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtQWNjZXNzUHJvdGVjdGlvbg__RMD509c859ea7b9951b8_at_1612179932_61.40533\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "0",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".404",
    "_time": "2021-02-02T04:01:58.404+02:00"
},
{
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087731",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "127.0.0.1 - admin [02/Feb/2021:04:01:58.172 +0200] \"POST /servicesNS/nobody/SA-AccessProtection/saved/searches/Access%20-%20Default%20Account%20Usage%20-%20Rule/notify?trigger.condition_state=1 HTTP/1.1\" 200 1985 - - - 3ms",
    "_serial": "1",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "splunkd_access",
    "_subsecond": ".172",
    "_time": "2021-02-02T04:01:58.172+02:00"
},
{
    "app": "SA-EndpointProtection",
    "_bkt": "_internal~425~1A082D7B-D5A1-4A2B-BB94-41C439BE3EB7",
    "_cd": "425:9087653",
    "_indextime": "1612231318",
    "_kv": "1",
    "_raw": "02-02-2021 04:01:57.804 +0200 INFO  SavedSplunker - savedsearch_id=\"nobody;SA-EndpointProtection;Endpoint - Should Timesync Host Not Syncing - Rule\", search_type=\"\", user=\"admin\", app=\"SA-EndpointProtection\", savedsearch_name=\"Endpoint - Should Timesync Host Not Syncing - Rule\", priority=default, status=success, digest_mode=1, scheduled_time=1612179932, window_time=300, dispatch_time=1612179970, run_time=51347.420, result_count=0, alert_actions=\"\", sid=\"rt_scheduler__admin_U0EtRW5kcG9pbnRQcm90ZWN0aW9u__RMD5ef3c08822811b7cd_at_1612179932_62.25751\", suppressed=1, thread_id=\"AlertNotifierWorker-0\", workload_pool=\"\"",
    "_serial": "2",
    "_si": [
        "splunk",
        "_internal"
    ],
    "_sourcetype": "scheduler",
    "_subsecond": ".804",
    "_time": "2021-02-02T04:01:57.804+02:00"
}]
קיר תיקים
סוג התוצאות ערך/תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם הפעולה הצליחה ויש תוצאות: "Successfully returned results for the query "{0}" in Splunk".format(query)

אם הפעולה הצליחה ואין תוצאות: "No results were found for the query "{0}" in Splunk".format(query)

הודעה אסינכרונית: "Waiting for query {0} to finish execution.".format(query name)

אם האפשרות "עצירה אם אין מספיק ישויות" מופעלת ואין מספיק סוגי ישויות זמינים ל"מפתחות הישויות" שצוינו (is_success=false): הפעולה לא הצליחה ליצור את השאילתה, כי לא סופקו מספיק סוגי ישויות ל"מפתחות הישויות" שצוינו. צריך להשבית את הפרמטר "עצירה אם אין מספיק ישויות" או לספק לפחות ישות אחת לכל "מפתח ישות" שצוין.

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם יש שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת, אחר: "שגיאה בביצוע הפעולה 'ביצוע שאילתת ישות'. הסיבה: {0}''.format(error.Stacktrace)

אם 400: "Error executing action "Execute Entity Query".‎ הסיבה: {0}''.format(messages/text)

 כללי
שולחן קיר עם ויטרינה

שם: תוצאות השאילתה ב-Splunk

עמודות: בהתאם לתוצאות.

 כללי

מחברים

איך מגדירים מחברים ב-Google SecOps?

מחבר השאילתות של Splunk

המחבר שולח שאילתות שהן חלק מהרשימה הדינמית (whitelist), מאחזר תוצאות ויוצר אירוע על סמך התוצאות שאוחזרו.

שאילתות לדוגמה ב-Splunk לצפייה ביומנים

  1. צריך להזין את השאילתות בתור הכללים של הרשימה הדינמית (whitelist).

  2. בשאילתות חיפוש עם כמה מסננים, צריך להשתמש ברווח כמפריד בין מסנני החיפוש, לדוגמה, index=cim_modactions sourcetype=modular_alerts:risk.

  3. אם משתמשים בכמה כללים של רשימה דינמית (whitelist) במקום להזין כמה מסנני חיפוש מופרדים ברווחים באותו כלל, מתבצע חיפוש נפרד לכל כלל שנוסף.

    • index=cim_modactions
    • sourcetype=modular_alerts:send_data_to_siemplify
    • index=_internal sourcetype=splunkd
    • component=sendmodalert
    • action=send_data_to_siemplify
    • index=_internal source=/opt/splunk/var/log/splunk/send_data_to_siemplify_modalert.log

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

פרמטרים
Product Field Name חובה

מזינים את שם שדה המקור כדי לאחזר את השם של Product Field.

ערך ברירת המחדל הוא device_product.
Event Field Name חובה

מזינים את שם שדה המקור כדי לאחזר את השם של Event Field.

ערך ברירת המחדל הוא app.
API Root חובה

כתובת ה-URL הבסיסית של ה-API של המכונה של Splunk.

ערך ברירת המחדל הוא https://IP:8089.
Username חובה

שם המשתמש של החשבון ב-Splunk.
Password חובה

הסיסמה של חשבון Splunk.
API Token אופציונלי

טוקן API של Splunk.

אם יש ערך כלשהו בשדה הזה, לאסימון ה-API יש עדיפות על פני שיטות אימות אחרות.
Verify SSL חובה

אם האפשרות מסומנת, המערכת מאמתת שאישור ה-SSL לחיבור לשרת CrowdStrike תקף.

האפשרות הזו לא מסומנת כברירת מחדל.
Environment Field Name אופציונלי

שם השדה שבו מאוחסן שם הסביבה.
Rule Generator Field חובה

שם השדה שמשמש למיפוי הערך של מחולל הכללים.
Alert Name Field Name חובה

שם ההתראה.
Events Count Limit Per Query אופציונלי

המספר המקסימלי של אירועים שאפשר לאחזר בכל שאילתה.
Max Day Backwards אופציונלי

מספר הימים שמהם יאוחזרו אירועים.
Aggregate Events Query אופציונלי

אם ההגדרה מופעלת, המחבר ישלב את כל האירועים בהתראה אחת.

מושבתת כברירת מחדל.
PythonProcessTimeout (Seconds) חובה

מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.

ערך ברירת המחדל הוא 60 שניות.
Proxy Server Address אופציונלי

כתובת שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username אופציונלי

שם המשתמש של שרת ה-Proxy לאימות.
Proxy Password אופציונלי

סיסמת שרת ה-Proxy לאימות.
Environment Regex Pattern אופציונלי

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name.

ערך ברירת המחדל .* כולל את כל הערכים ומחזיר את הערך ללא שינוי.

הפרמטר מאפשר לכם לשנות את השדה של הסביבה באמצעות הלוגיקה של הביטוי הרגולרי.

אם התבנית של הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.

כללי מחברים

המחבר תומך בשרת proxy.

Splunk Pull Connector

אפשר למשוך התראות ואירועים מ-Splunk אל Google SecOps.

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

פרמטרים
Product Field Name חובה

מזינים את שם שדה המקור כדי לאחזר את השם של Product Field.

ערך ברירת המחדל הוא device_product.
Event Field Name חובה

מזינים את שם שדה המקור כדי לאחזר את השם של Event Field.

ערך ברירת המחדל הוא name.
Environment Field Name אופציונלי

שם השדה שבו מאוחסן שם הסביבה.

אם שדה הסביבה לא נמצא, הסביבה שמתקבלת היא "" .

ערך ברירת המחדל הוא "".
Environment Regex Pattern אופציונלי

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name.

ערך ברירת המחדל .* כולל את כל הערכים ומחזיר את הערך ללא שינוי.

הפרמטר מאפשר לכם לשנות את השדה של הסביבה באמצעות הלוגיקה של הביטוי הרגולרי.

אם תבנית הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא "".
PythonProcessTimeout (Seconds) חובה

מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.

ערך ברירת המחדל הוא 60 שניות.
Server Address חובה

כתובת ה-IP של שרת ה-API של Splunk.
Port חובה

היציאה של המכונה ב-Splunk.

ערך ברירת המחדל הוא 8089.
Username חובה

שם המשתמש של החשבון ב-Splunk.
Password חובה

הסיסמה של חשבון Splunk.
Time Frame אופציונלי

מסגרת הזמן לאחזור ההתראות.

ערך ברירת המחדל הוא שעה אחת.

דוגמאות:

אם הערך מוגדר לדקה אחת, המחבר מאחזר התראות החל מדקה אחת לפני כן.

אם הערך מוגדר ל-3 שעות, המחבר מאחזר התראות החל מלפני 3 שעות.

אם הערך מוגדר ליום אחד או לשבוע אחד, המחבר מאחזר התראות החל מיום אחד (24 שעות) או משבוע אחד לפני כן, בהתאמה.
Alerts Count Limit אופציונלי

מספר ההתראות שהמחבר מחזיר בכל איטרציה.

ערך ברירת המחדל הוא 100.
Use SSL אופציונלי

מסמנים את התיבה כדי להפעיל את חיבור ה-SSL או ה-TLS.

האפשרות הזו לא מסומנת כברירת מחדל.
Proxy Server Address אופציונלי

כתובת שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username אופציונלי

שם המשתמש של שרת ה-Proxy לאימות.
Proxy Password אופציונלי

סיסמת שרת ה-Proxy לאימות.

כללי מחברים

המחבר תומך בשרת proxy.

Splunk ES – מחבר אירועים בולטים

הטמעת אירועים משמעותיים מ-Splunk ES.

הגדרת העדיפות של בקשת התמיכה

רמת העדיפות של בקשת התמיכה מוגדרת על ידי הפרמטר Urgency באירוע החשוב. רק הפרמטר הזה נלקח בחשבון כשמטמיעים את האירוע החשוב ב-Google SecOps.

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

פרמטרים
Product Field Name חובה

מזינים את שם שדה המקור כדי לאחזר את השם של Product Field.

ערך ברירת המחדל הוא Product Name.
Event Field Name חובה

מזינים את שם שדה המקור כדי לאחזר את השם של Event Field.

ערך ברירת המחדל הוא index.
Environment Field Name אופציונלי

שם השדה שבו מאוחסן שם הסביבה.

אם שדה הסביבה לא נמצא, המערכת משתמשת בסביבת ברירת המחדל.

ערך ברירת המחדל הוא "".
Environment Regex Pattern אופציונלי

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name.

ערך ברירת המחדל .* כולל את כל הערכים ומחזיר את הערך ללא שינוי.

הפרמטר מאפשר לכם לשנות את השדה של הסביבה באמצעות הלוגיקה של הביטוי הרגולרי.

אם התבנית של הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, תוצאת הסביבה הסופית היא סביבת ברירת המחדל.
Script Timeout (Seconds) חובה

מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.

ערך ברירת המחדל הוא 180 שניות.
Server Address חובה

כתובת השרת של המכונה ב-Splunk.

ערך ברירת המחדל הוא https://:8089.
Username אופציונלי

שם המשתמש של החשבון ב-Splunk.
Password אופציונלי

הסיסמה של חשבון Splunk.
API Token חובה

טוקן API של Splunk.

אם יש ערך כלשהו בשדה הזה, לאסימון ה-API יש עדיפות על פני שיטות אימות אחרות.
Lowest Urgency To Fetch חובה

רמת הדחיפות הנמוכה ביותר שמשמשת לאחזור אירועים חשובים.

הערכים שאפשר לבחור הם:

  • Informational
  • Low
  • Medium
  • High
  • Critical

ערך ברירת המחדל הוא Medium.

Fetch Max Hours Backwards אופציונלי

מספר השעות שמהן צריך לאחזר אירועים בולטים.

ערך ברירת המחדל הוא שעה אחת.
Only Drilldown Events אופציונלי

אם האפשרות הזו מופעלת, המחבר מנסה לאחזר אירועי פירוט בלי לאחזר אירועי בסיס. כדי להשתמש בפרמטר הזה, צריך להפעיל את האפשרות Fetch Base Events .

מושבתת כברירת מחדל.
Padding Time אופציונלי

מספר השעות שישמשו כזמן מנוחה.

אם לא מציינים ערך, הפרמטר הזה לא רלוונטי.

הערך המקסימלי הוא 12 שעות.
Max Notable Events To Fetch אופציונלי

מספר האירועים החשובים לעיבוד בכל איטרציה של מחבר.

ערך ברירת המחדל הוא 10.
Use whitelist as a blacklist חובה

אם המדיניות מופעלת, הרשימה הדינמית משמשת כרשימת חסימה.

מושבתת כברירת מחדל.
Verify SSL חובה

אם האפשרות מסומנת, המערכת מאמתת שאישור ה-SSL לחיבור לשרת CrowdStrike תקף.

האפשרות הזו לא מסומנת כברירת מחדל.
Proxy Server Address אופציונלי

כתובת שרת ה-Proxy שבו רוצים להשתמש.
Proxy Username אופציונלי

שם המשתמש של שרת ה-Proxy לאימות.
Proxy Password אופציונלי

סיסמת שרת ה-Proxy לאימות.
Query Filter אופציונלי

מסנן שאילתות נוסף שנשלח אל Splunk כדי לקבל אירועים בולטים.

הערך שצוין כאן מצורף לסעיף השאילתה WHERE.
Extract Base Events אופציונלי

אם המדיניות מופעלת, המחבר מחלץ אירועי בסיס שקשורים לאירוע החשוב באמצעות מידע על המשימה. במקרים אחרים, המחבר יוצר אירוע ב-Google SecOps על סמך האירוע החשוב.

אם הפרמטר הזה מוגדר לערך True אבל המחבר לא יכול לעבוד עם משימות, המחבר משתמש במידע על אירועים בולטים כמנגנון חלופי.

מופעלת כברירת מחדל.
Multivalue Fields אופציונלי

רשימה מופרדת בפסיקים של שדות שמכילים כמה ישויות.

לדוגמה, אם שדה מכיל שני שמות מארחים, האירוע החשוב מפוצל לשני אירועים ב-Google SecOps כדי למפות ישויות בצורה נכונה.

Notable Event Data Along Base Event אופציונלי

אם האפשרות הזו מופעלת, המחבר מוסיף אירועים של Google SecOps על סמך האירוע החשוב, בנוסף לאירועים הבסיסיים.

מושבתת כברירת מחדל.

Rule Generator Field Name אופציונלי

שם השדה שמשמש למיפוי הערך של מחולל הכללים.

רק המידע על האירוע החשוב עצמו משמש למיפוי, והאירועים לא נכללים. אם מציינים ערך לא חוקי, המחבר מגדיר את השדה לערך rule_name.
Alert Name Source אופציונלי

המקור של שם ההתראה.

הערכים שאפשר לבחור הם:

  • Search Name
  • Rule Name

ערך ברירת המחדל הוא Search Name.
Alert Start Time Field אופציונלי

שדה מהאירוע הבולט ב-Splunk שישמש כ-start_time של ההתראה.

אם השדה ריק, לא תקין או שלא ניתן לנתח אותו כחותמת זמן, המחבר חוזר לפעולת ברירת המחדל באמצעות השדה _time.

איך משתמשים בפרמטר Query Filter

אם צריך לצמצם את האירועים החשובים על סמך פרמטרים ספציפיים, משתמשים בפרמטר Query Filter. הערך שצוין בפרמטר הזה מצורף לסעיף WHERE של השאילתה שנשלחה כדי לקבל אירועים בולטים.

דוגמה לשאילתה שנשלחה: 

(`get_notable_index` OR `get_sequenced_index`) | eval `get_event_id_meval`,
rule_id=event_id | tags outputfield=tag | `mvappend_field(tag,orig_tag)` |
`notable_xref_lookup` | `get_correlations` | `get_current_status` | `get_owner`
| `get_urgency` | typer | where (urgency="medium" AND urgency="low") AND
(status_label="Unassigned" OR status_label="New")  | tail 50 | fields *

לדוגמה, אם Query Filter = isTesting = True, השאילתה תיראה כך:

search (`get_notable_index` OR `get_sequenced_index`) | eval epoch=_time | eval
`get_event_id_meval`,rule_id=event_id | tags outputfield=tag |
`mvappend_field(tag,orig_tag)` | `notable_xref_lookup` | `get_correlations` |
`get_current_status` | `get_owner` | `get_urgency` | typer | where
(urgency!="informational" AND urgency!="low" **AND isTesting = "True"**) |
fields *

כללי מחברים

המחבר של Splunk ES משתמש ברשימה דינמית וברשימת חסימה (whitelist ו-blacklist). המחבר משתמש בשדה search_name מהאירוע כדי להשוות אותו לרשימה הדינמית.

אירוע של מחבר

[{
    "indicator": "2012/06/29_21:50", 
    "tlp": "TLP:RED", 
    "itype": "mal_url", 
    "severity": "very-high", 
    "classification": "public", 
    "detail": "", 
    "confidence": 50, 
    "actor": "", 
    "feed_name": "import", 
    "source": "admin", 
    "feed_site_netloc": "localhost", 
    "campaign": "", 
    "type": "url", 
    "id": "anomali:indicator-578a9be5-0e03-4ec0-940d-4b1842f40fd0", 
    "date_last": "2020-07-15 08:12:07 AM",
"Url": "indicator"
  },{
    "indicator": "2010/12/19_16:35", 
    "tlp": "TLP:RED", 
    "itype": "mal_url", 
    "severity": "very-high", 
    "classification": "public", 
    "detail": "", 
    "confidence": 50, 
    "actor": "", 
    "feed_name": "import", 
    "source": "admin", 
    "feed_site_netloc": "localhost", 
    "campaign": "", 
    "type": "url", 
    "id": "anomali:indicator-52cadd07-330a-45fd-962f-32e22d36a89a", 
    "date_last": "2020-07-15 08:12:07 AM"
  }]

תעסוקה

מידע נוסף על משימות זמין במאמרים הגדרת משימה חדשה ו תזמון מתקדם.

סנכרון אירועים סגורים ב-Splunk ES

סנכרון של אירועים בולטים שנסגרו ב-Splunk ES והתראות ב-Google SecOps.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
כתובת השרת String https://IP:8089 כן כתובת השרת של המכונה ב-Splunk.
שם משתמש String לא רלוונטי לא שם המשתמש של החשבון ב-Splunk.
סיסמה סיסמה לא רלוונטי לא הסיסמה של חשבון Splunk.
טוקן API סיסמה לא רלוונטי כן טוקן API של Splunk. כשהשדה הזה לא ריק, לטוקן ה-API יש עדיפות על פני שיטות אימות אחרות.
מספר השעות המקסימלי אחורה מספר שלם 24 כן מציינים כמה שעות אחורה לסנכרן את הסטטוסים. ברירת המחדל: 24 שעות.
אימות SSL תיבת סימון סימן אישור כן אם היא מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Splunk תקף.

סנכרון הערות ב-Splunk ES

המשימה הזו תסנכרן את התגובות באירועים של Splunk ES ובבקשות התמיכה של Google SecOps.

פרמטרים

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
כתובת השרת String https://IP:8089 כן כתובת השרת של המכונה ב-Splunk.
שם משתמש String לא רלוונטי לא שם המשתמש של החשבון ב-Splunk.
סיסמה סיסמה לא רלוונטי לא הסיסמה של חשבון Splunk.
טוקן API סיסמה לא רלוונטי כן טוקן API של Splunk. כשהשדה הזה לא ריק, לטוקן ה-API יש עדיפות על פני שיטות אימות אחרות.
אימות SSL תיבת סימון סימן אישור כן אם היא מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת Splunk תקף.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.